Organizační opatření pro vyšší režim zahrnují:

• systém řízení bezpečnosti informací,
• požadavky na vrcholné vedení,
• stanovení bezpečnostních rolí,
• řízení bezpečnostní politiky a bezpečnostní dokumentace,
• řízení aktiv,
• řízení rizik,
• řízení dodavatelů,
• bezpečnost lidských zdrojů,
• řízení změn,
• akvizice, vývoj a údržba,
• řízení přístupu,
• zvládání kybernetických bezpečnostních událostí a incidentů,
• řízení kontinuity činností a
• provádění auditu kybernetické bezpečnosti,

Organizační opatření pro nižší režim zahrnují:

• systém zajišťování minimální kybernetické bezpečnosti,
• požadavky na vrcholné vedení,
• řízení aktiv,
• řízení rizik,
• bezpečnost lidských zdrojů,
• řízení kontinuity činností,
• řízení přístupu,
• řešení kybernetických bezpečnostních incidentů

• Stanovit rozsah řízení kyberbezpečnosti identifikací primárních a podpůrných aktiv + vést evidenci všech aktiv v rozsahu (i těch vyřazených, včetně důvodu vyřazení).
• Zavádět bezpečnostní opatření podle režimu nejpozději do 1 roku od doručení rozhodnutí o registraci od NÚKIB.
• Hlásit kyber incidenty na portál NÚKIB (vyšší režim NÚKIB, nižší Národnímu CERT).
• Informovat zákazníky o incidentech a hrozbách max. do 1 roku od doručení rozhodnutí o registraci od NÚKIB.
• Provádět protiopatření vydané NÚKIB (výstraha, varování, reaktivní protiopatření — nižší režim nezavazuje varování) ve lhůtě a podle úkonů v protiopatření a výsledek hlásit NÚKIB.
• Pokud jste strategicky významnou službou (NÚKIB vám sdělí už při registraci), tak rok ode dne, kdy jste se jí stali, musíte začít zjišťovat a evidovat informace o dodavatelích bezpečnostně významných dodávek (mechanismus BDŘ).
• Stejně, jako výše, pokud jste strategicky významní, musíte zajišťovat dostupnost regulované služby v nezbytném rozsahu, ve stanoveném čase a kvalitě z území České republiky.