Artikel 3

De secretaris-generaal van een Ministerie stelt het informatiebeveiligingsbeleid vast, draagt dit uit en legt verantwoording hierover af. Het beleid omvat ten minste:
a. De strategische uitgangspunten en randvoorwaarden die het Ministerie hanteert voor informatiebeveiliging en in het bijzonder de inbedding in, en afstemming op het algemene beveiligingsbeleid en het informatievoorzieningsbeleid;
b. De organisatie van de informatiebeveiligingsfunctie, waaronder verantwoordelijkheden, taken en bevoegdheden;
c. De toewijzing van de verantwoordelijkheden voor ketens van informatiesystemen aan lijnmanagers;
d. De gemeenschappelijke betrouwbaarheidseisen en normen die op het Ministerie van toepassing zijn;
e. De frequentie waarmee het informatiebeveiligingsbeleid wordt geëvalueerd;
f. De bevordering van het beveiligingsbewustzijn;