

Geriausia pradėti nuo oficialios ES paskelbtos NIS2 direktyvos. Nacionalinės reguliavimo institucijos taip pat teikia gaires, kaip ši direktyva taikoma vietos mastu, o tai padeda išsiaiškinti praktinius lūkesčius, pavyzdžiui, Lietuvos Respublikos Seimo priimtas Kibernetinio saugumo įstatymas.
Reikalingas struktūruotas dokumentų rinkinys, apimantis informacijos saugumo politiką, rizikų valdymo metodiką, incidentų valdymo procedūras, prieigos kontrolės taisykles, veiklos tęstinumo planus, tiekėjų saugumo reikalavimus ir darbuotojų saugumo gaires. Taip pat svarbu turėti įrodymus, kad šios politikos realiai taikomos praktikoje.
Pirmasis žingsnis yra įvertinti esamą kibernetinio saugumo būklę, palyginant ją su teisės aktuose nustatytais reikalavimais. Remiantis rezultatais sudaromas veiksmų planas, kuriame numatomos prioritetinės priemonės, dokumentacija, techniniai sprendimai ir atsakomybės. Tikslas – užtikrinti, kad organizacija galėtų pagrįstai įrodyti atitiktį.