Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om ett systematiskt och riskbaserat informationssäkerhetsarbete och den närmare utformningen av säkerhetsåtgärder .