2.1. Rámec riadenia rizík

a)

dodržiavajú metodiku riadenia rizík;

b)

stanovia úroveň tolerancie rizika v súlade s ochotou príslušných subjektov podstupovať riziká;

c)

stanovia a udržiavajú príslušné kritériá v oblasti rizík;

d)

v súlade s prístupom zohľadňujúcim všetky riziká určia a zaznamenajú riziká pre bezpečnosť sietí a informačných systémov, a to najmä v súvislosti s tretími stranami a rizikami, ktoré by mohli viesť k narušeniam dostupnosti, integrity, pravosti a dôvernosti sietí a informačných systémov vrátane určenia jediných bodov zlyhania;

e)

analyzujú riziká pre bezpečnosť sietí a informačných systémov vrátane hrozby, pravdepodobnosti, vplyvu a úrovne rizika, pričom zohľadnia spravodajské informácie o kybernetických hrozbách a zraniteľnosti;

f)

vyhodnocujú zistené riziká na základe kritérií v oblasti rizík;

g)

určia vhodné možnosti ošetrenia rizík a opatrenia na ošetrenie rizík a stanovia ich priority;

h)

nepretržite monitorujú vykonávanie opatrení na ošetrenie rizík;

i)

určia osobu zodpovednú za vykonávanie opatrení na ošetrenie rizík a to, kedy by sa tieto opatrenia mali vykonať;

j)

zrozumiteľne zaznamenajú zvolené opatrenia na ošetrenie rizík a dôvody opodstatňujúce akceptáciu zvyškových IKT rizík v pláne ošetrenia rizík.