2.1.2. Za namene točke 2.1.1 zadevni subjekti vzpostavijo postopke za opredelitev, analizo, oceno …

(a)

upoštevajo metodologijo obvladovanja tveganj;

(b)

določijo tolerančno stopnjo tveganja v skladu z nagnjenostjo zadevnih subjektov k prevzemanju tveganj;

(c)

določijo in ohranjajo ustrezna merila tveganja;

(d)

v skladu s pristopom, ki upošteva vse nevarnosti, opredelijo in dokumentirajo tveganja za varnost omrežnih in informacijskih sistemov, zlasti v zvezi s tretjimi osebami, ter tveganja, ki bi lahko povzročila motnje v razpoložljivosti, celovitosti, avtentičnosti in zaupnosti omrežnih in informacijskih sistemov, vključno z opredelitvijo enotne točke odpovedi;

(e)

analizirajo tveganja za varnost omrežnih in informacijskih sistemov, vključno z grožnjami, verjetnostjo, učinkom in stopnjo tveganja, ob upoštevanju obveščevalnih podatkov o kibernetskih grožnjah in ranljivostih;

(f)

ovrednotijo ugotovljena tveganja na podlagi meril tveganja;

(g)

opredelijo in prednostno razvrstijo ustrezne možnosti in ukrepe za obvladovanje tveganj;

(h)

stalno spremljajo izvajanje ukrepov za obvladovanje tveganj;

(i)

opredelijo, kdo je odgovoren za izvajanje ukrepov za obvladovanje tveganj in kdaj jih je treba izvajati;

(j)

na razumljiv način dokumentirajo izbrane ukrepe za obvladovanje tveganj v načrtu za obvladovanje tveganj in razloge, ki upravičujejo sprejetje preostalih tveganj.