(1) Činnost uživatele, bezpečnostního správce a správce informačního systému v informačním systému se umožňuje na základě jeho autorizace pro tuto činnost, která musí být změněna při změně jeho role v rámci informačního systému nebo zrušena, pokud přestal splňovat podmínky přístupu k utajované informaci. Bezpečnostní správce vede seznam uživatelů informačního systému.