Dit strategisch beleid is een verantwoordelijkheid van het bestuur van de organisaties. De bestuurders en directeuren zullen richting en sturing geven aan het onderwerp informatieveiligheid door het geven van voorbeeldgedrag en het vragen om informatie.
De directie is verantwoordelijk voor het gevraagd en ongevraagd rapporteren over informatieveiligheid aan respectievelijke portefeuillehouders. De directie rapporteert daarnaast over de mate waarin zij invulling hebben gegeven aan het uitwerken van tactische (deel) beleidsonderwerpen die aanvullend zijn op dit strategische beleid.
Hoofdstuk 4.
Artikel 4.3