Organizacija mora identificirati moguće sigurnosne rizike i odgovarajuće sigurnosne mjere (vidjeti 3.1.1.
Organizácia musí mať plán, resp. plány, v ktorých sa opisuje spôsob, akým svoje bezpečnostné ciele dosiahne.