Przepisy nie narzucają formy zatrudnienia osoby odpowiedzialnej za bezpieczeństwo informacji. O wyborze między vCISO a CISO na etacie decydują progi skali, reżim regulacyjny, dostępność kadr i bezstronność przeglądów.
Struktura planu ciągłości działania według rozdziału 8 normy ISO 22301:2019, siedem kroków opracowania dokumentu i drabinka czterech poziomów sprawdzania planu według NIST SP 800-84.
Siedem etapów certyfikacji ISO/IEC 27001 w kolejności, twarde terminy po decyzji certyfikacyjnej i sposób sprawdzenia, czy jednostka certyfikująca ma akredytację obejmującą ISMS.
Broken access control wypada w testach najczęściej, bo dotyczy logiki biznesowej aplikacji. Cztery procedury WSTG-ATHZ, ich odpowiedniki w OWASP API Security Top 10 i macierz autoryzacji, którą programista wpina do własnych testów integracyjnych.
W 2026 roku obowiązuje rozporządzenie Rady Ministrów z 21 maja 2024 r. (Dz.U. 2024 poz. 773). Akt z 2012 r. jest uchylony, a system zarządzania bezpieczeństwem informacji opisuje dziś § 19, nie § 20.