§ 24 b. Operatørsikkerhetsplan

Utpekt europeisk kritisk infrastruktur skal ha en operatørsikkerhetsplan. Operatørsikkerhetsplanen skal identifisere kritiske aktiva samt presisere hvilke sikkerhetsløsninger som er eller skal bli iverksatt med henblikk på å beskytte disse. Prosedyren ved utarbeidelse av operatørsikkerhetsplanen skal minst dekke følgende: a) identifisering av viktige aktiva, b) gjennomføring av en risikoanalyse med grunnlag i alvorlige trussel scenarioer, hver aktivas sårbarhet og potensielle konsekvenser, c) identifisering, utvelgelse og prioritering av mottiltak og prosedyrer med en vurdering mellom permanente og graderte sikkerhetstiltak. Operatørsikkerhetsplanen skal være iverksatt senest ett år etter at en infrastruktur er blitt utpekt som europeisk kritisk infrastruktur. Operatørsikkerhetsplanen skal oppdateres jevnlig.