Er behoren beheersverantwoordelijkheden en -procedures te worden vastgesteld om een snelle, doeltreffende reactie op incidenten te waarborgen.

Informatiebeveiligingsgebeurtenissen behoren zo snel mogelijk via passende leidinggevende kanalen te worden gerapporteerd.

Van medewerkers behoort te worden verlangd dat zij waargenomen zwakke plekken in de informatiebeveiliging rapporteren.

Informatiebeveiligingsgebeurtenissen behoren te worden beoordeeld en er behoort te worden beslist of zij als incident moeten worden geclassificeerd.

Op informatiebeveiligingsincidenten behoort te worden gereageerd in overeenstemming met gedocumenteerde procedures.

Kennis verkregen door het analyseren van incidenten behoort te worden gebruikt om de kans op toekomstige incidenten te verminderen.

De organisatie behoort procedures te definieren voor de identificatie, verzameling en bewaring van informatie die als bewijs kan dienen.