2.1.2. Vid tillämningen av punkt 2.1.1 ska de berörda entiteterna fastställa förfaranden för …

(a)

följa en riskhanteringsmetod,

(b)

fastställa risktoleransnivån i enlighet med de berörda entiteternas riskbenägenhet,

(c)

fastställa och upprätthålla relevanta riskkriterier,

(d)

i enlighet med en allriskansats identifiera och dokumentera riskerna för säkerheten i nätverks- och informationssystem, i synnerhet i förhållande till tredje parter och när det gäller risker som kan leda till störningar vad gäller tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten för nätverks- och informationssystemen, inbegripet identifiering av felkritiska systemdelar (SPOF),

(e)

analysera riskerna för säkerheten i nätverks- och informationssystem, inklusive hot, sannolikhet, konsekvenser och risknivå, med beaktande av underrättelser om cyberhot och sårbarheter,

(f)

bedöma de identifierade riskerna baserat på riskkriterierna,

(g)

identifiera och prioritera lämpliga riskhanteringsalternativ och -åtgärder,

(h)

kontinuerligt övervaka genomförandet av riskhanteringsåtgärderna,

(i)

identifiera vem som har ansvaret för riskhanteringsåtgärderna och när dessa bör genomföras,

(j)

på ett begripligt sätt dokumentera de valda riskhanteringsåtgärderna i en riskhanteringsplan, liksom skälen till att kvarstående risker godtas.