(1) V informačním systému se zavádí vhodný systém bezpečnostní správy informačního systému. V rámci systému bezpečnostní správy informačního systému se zavádí role bezpečnostního správce informačního systému, odděleně od jiných rolí ve správě informačního systému, pokud není dále stanoveno jinak.