A Administração Federal deve nomear Gestor de Segurança da Informação e Comunicações, observando as práticas da NBR ISO/IEC 27.002, item 6.1.3 - Atribuição de responsabilidade para segurança da informação (Instrução Normativa GSI/PR 1/2008, artigos 5º, inciso IV, e 7º, c/c a Norma Complementar 3/IN01/DSIC/GSIPR, item 5.3.7.2).