§ 27
(1) Pro bezpečný provoz systému jsou v popisu bezpečnosti systému stanovena
a) práva a povinnosti uživatelů v jednotlivých rolích a
b) provozní pravidla a postupy
1. pro uvedení systému do provozu, ukončení provozu a obnovení provozu po selhání, chybě nebo mimořádné události,
2. pro sledování a vyhodnocování auditních záznamů a pro ochranu přístupu k těmto auditním záznamům,
3. pro řešení a vyhodnocování detekovaných bezpečnostních událostí a
4. řízení a schvalování provozních změn.
(2) Popis bezpečnosti systému obsahuje pravidla pro průběžné prověřování a vyhodnocování bezpečnosti provozu.
(3) Provozovatel systému je povinen řídit veškeré změny v rámci provozu systému. V popisu bezpečnosti systému musí být uvedeny postupy a mechanismy, které příslušné změny umožňují.