U legt vast hoe u risico's in kaart brengt en hoe u uw informatiesystemen beveiligt. Dit is het vertrekpunt: de analyse laat zien welke risico's het zwaarst wegen en welke maatregelen bij uw organisatie passen.

U regelt vooraf hoe u een incident opmerkt, beoordeelt, beperkt en afhandelt. Daar hoort ook bij wie welke rol heeft en wanneer een melding bij het NCSC nodig is.

U zorgt dat uw dienstverlening doorgaat of snel herstelt na uitval. Denk aan een back-upstrategie die u ook echt test, een herstelplan en een crisisorganisatie die geoefend is.

U kijkt naar de beveiliging bij uw directe leveranciers en dienstverleners. U beoordeelt hun risico's en legt afspraken vast in contracten.

U neemt beveiliging mee bij het aanschaffen, ontwikkelen en onderhouden van systemen. Daar hoort ook bij hoe u omgaat met kwetsbaarheden en hoe iemand die kan melden.

U toetst periodiek of uw maatregelen echt werken, bijvoorbeeld jaarlijks. U legt vast waarom, hoe vaak en hoe u toetst, wat u met de uitkomsten doet en wie daarvoor verantwoordelijk is.

U zorgt voor de basis op orde, zoals updates, wachtwoordbeleid en veilig werken. Daarnaast traint u medewerkers, zodat zij risico's herkennen.

U legt vast wanneer u versleuteling gebruikt en hoe. Denk aan gegevens op apparaten, in back-ups en tijdens verzending.

U weet welke systemen en gegevens u heeft en wie daar toegang toe heeft. U bepaalt per functie welke toegang nodig is en voor welke functies screening geldt

U gebruikt meervoudige of continue authenticatie, en beveiligde spraak-, video- en tekstcommunicatie. Ook zorgt u voor communicatie die blijft werken tijdens een crisis.