Article considérant 11

(11) Afin d’identifier et de traiter les risques qui pèsent sur la sécurité des réseaux et des systèmes d’information, les entités concernées devraient établir et maintenir un cadre approprié de gestion des risques. Les entités concernées devraient inscrire dans ce cadre l’établissement, la mise en œuvre et le suivi d’un plan de traitement des risques. Les entités concernées peuvent utiliser le plan de traitement des risques pour inventorier et hiérarchiser les options et les mesures relatives au traitement des risques. Parmi les options de traitement des risques figurent notamment la prévention, la réduction ou, dans des cas exceptionnels, l’acceptation des risques. Le choix des options de traitement des risques devrait tenir compte des résultats de l’évaluation des risques effectuée par l’entité concernée et être conforme à la politique de cette dernière en matière de sécurité des réseaux et des systèmes d’information. Afin de donner effet aux options de traitement des risques choisies, les entités concernées devraient prendre les mesures de traitement des risques appropriées.