A Administração Federal deve nomear gestor de segurança da informação e comunicações, com observância da NBR ISO/IEC 27.002, item 6.1.3 - Atribuição de responsabilidade para segurança da informação (IN GSI/PR 01/2008, art. 5º, inciso IV, e art. 7º, e Norma Complementar 03/IN01/DSIC/GSIPR, item 5.3.7.2).