Artikel 4

Het lijnmanagement draagt er zorg voor dat voor elk informatiesysteem en voor elk verantwoordelijkheidsgebied op systematische wijze bepaald wordt welk stelsel van maatregelen uit hoofde van informatiebeveiliging getroffen dient te worden. Deze zorgplicht omvat tenminste:
a. Voor elk informatiesysteem wordt een afhankelijkheidsnanalyse uitgevoerd, uitmondend in aan het informatiesysteem te stellen betrouwbaarheidseisen.
b. Voor elk verantwoordelijkheidsgebied wordt een analyse uitgevoerd, uitmondend in aan het verantwoordelijkheidsgebied te stellen betrouwbaarheidseisen.
c. Voor elk informatiesysteem en voor elk verantwoordelijkheidsgebied worden de bedreigingen geïdentificeerd en geanalyseerd.
d. Voor elk informatiesysteem en voor elk verantwoordelijkheidsgebied worden dusdanig maatregelen gekozen dat door middel van een kwetsbaarheidsanalyse aangetoond kan worden dat aan de gestelde betrouwbaarheidseisen wordt voldaan.
e. Voor elk informatiesysteem en voor elk verantwoordelijkheidsgebied wordt een informatiebeveiligingsplan opgesteld. Hierin is een calamiteitenparagraaf opgenomen waarvan de effectiviteit periodiek wordt getoetst.
f. Elk informatiebeveiligingsplan wordt periodiek geëvalueerd en eventueel aangenast aan veranderde omstandiglteden.