De organisatie behoort haar eisen voor informatiebeveiliging en de continuïteit bij ongunstige situaties te bepalen.
De organisatie behoort processen, procedures en beheersmaatregelen vast te stellen om continuïteit voor informatiebeveiliging te waarborgen.
De vastgestelde beheersmaatregelen voor de continuïteit van informatiebeveiliging behoren regelmatig te worden geverifieerd.
Informatieverwerkende faciliteiten behoren te worden geimplementeerd met voldoende redundantie.