(1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a) organizačními opatřeními

1. systém řízení bezpečnosti informací,

2. požadavky na vrcholné vedení,

3. stanovení bezpečnostních rolí,

4. řízení bezpečnostní politiky a bezpečnostní dokumentace,

5. řízení aktiv,

6. řízení rizik,

7. řízení dodavatelů,

8. bezpečnost lidských zdrojů,

9. řízení změn,

10. akvizice, vývoj a údržba,

11. řízení přístupu,

12. zvládání kybernetických bezpečnostních událostí a incidentů,

13. řízení kontinuity činností a

14. provádění auditu kybernetické bezpečnosti,

b) technickými opatřeními

1. fyzická bezpečnost,

2. bezpečnost komunikačních sítí,

3. správa a ověřování identit,

4. řízení přístupových práv a oprávnění,

5. detekce kybernetických bezpečnostních událostí,

6. zaznamenávání událostí,

7. vyhodnocování kybernetických bezpečnostních událostí,

8. aplikační bezpečnost,

9. kryptografické algoritmy,

10. zajišťování dostupnosti regulované služby a

11. zabezpečení průmyslových, řídících a obdobných specifických technických aktiv.