Artikel 3

1. Het CSIRT voldoet aan het Security Incident Management Maturity Model (SIM3) op minimaal het niveau intermediate voor zover het de taken betreft die zij op grond van de wet en de daarop berustende bepalingen vervult.
2. Het niveau, bedoeld in het eerste lid, wordt vastgesteld door middel van een audit door een onafhankelijke en gekwalificeerde deskundige.
3. Het CSIRT beschikt over een rapport van een audit, bedoeld in het tweede lid, waaruit blijkt dat wordt voldaan aan het in het eerste lid bedoelde niveau, dat in ieder geval niet ouder is dan drie jaar. Het CSIRT legt het rapport van een audit over aan Onze Minister die het aangaat.
4. Indien het CSIRT blijkens een rapport van een audit, bedoeld in het tweede lid, niet meer voldoet aan het niveau, bedoeld in het eerste lid, stelt het CSIRT een verbeterplan op en voert zij op basis daarvan wijzigingen door om aan het niveau te voldoen. Het CSIRT legt het verbeterplan over aan Onze Minister die het aangaat.