Communication and information systems need to be provided with a level of protection commensurate with the likelihood, impact and nature of the risks to which they are exposed.
Il peut notamment s'agir d'accidents, d'erreurs, d'attaques délibérées et de phénomènes naturels, qui doivent être reconnus comme des risques opérationnels.