1. Le DCT procède à une analyse des répercussions sur son activité afin:
a) de dresser la liste de tous les processus et activités contribuant à l'exécution des services qu'il fournit;
b) d'identifier et d'inventorier tous les éléments de son système informatique sur lesquels s'appuient les processus et activités mentionnés au point a), ainsi que leurs interdépendances respectives;
c) de déterminer et de documenter les incidences qualitatives et quantitatives d'un scénario de rétablissement après sinistre pour chaque processus et activité visés au point a), ainsi que l'évolution de ces incidences au fil du temps en cas de perturbation;
d) de définir et de documenter les niveaux de service minimaux considérés comme acceptables et suffisants du point de vue des utilisateurs du DCT;
e) de déterminer et de documenter les ressources minimales requises en ce qui concerne le personnel et les compétences, l'espace de travail et les technologies de l'information pour que chaque fonction critique soit exécutée au niveau minimal acceptable.
2. Le DCT procède à une analyse des risques afin de déterminer l'incidence de différents scénarios sur la continuité de ses opérations critiques.
3. Le DCT veille à ce que l'analyse des répercussions sur son activité et l'analyse des risques satisfassent à l'ensemble des exigences ci-après:
a) elles sont tenues à jour;
b) elles font l'objet d'un réexamen à la suite d'un incident important ou de changements opérationnels significatifs ainsi qu'au moins une fois par an;
c) elles prennent en compte toutes les évolutions pertinentes, y compris l'évolution du marché et des technologies de l'information.