1. I. - L'opérateur définit et met en œuvre, dès la phase de conception et durant toutes les phases ultérieures de l'existence des SIISN, un ensemble de dispositions techniques, organisationnelles et humaines cohérentes et proportionnées aux enjeux permettant de les protéger contre les actes malveillants auxquels ils peuvent être exposés.
2. II. - Les dispositions définies et mises en œuvre permettent notamment :
3. - d'éviter la présence et l'apparition de failles de sécurité ;
4. - d'empêcher les actes de malveillance ;
5. - de détecter et d'identifier les actes de malveillance survenant sur un système d'information ;
6. - de limiter les conséquences d'un acte de malveillance ;
7. - de disposer de moyens pour remettre le système en fonctionnement et en condition de sécurité à la suite d'un dysfonctionnement ou d'un acte de malveillance.
8. III. - Le cas échéant, pour les SIISN qui sont également des SIIV, l'application de la réglementation applicable à ces SIIV vaut respect du présent article.
9. Le cas échéant, pour les SIISN qui sont également des SI classifiés ou DR, l'application de l'instruction générale interministérielle n° 1300 vaut respect du présent article.
10. IV. - L'opérateur tient à disposition du ministre compétent les informations relatives aux SIISN, notamment les documents techniques, les configurations, les architectures, ainsi que les justifications des choix des dispositions définies et mises en œuvre en application des I et II du présent article.