§ 28
(1) Integrita softwarového vybavení a informací musí být chráněna před působením škodlivého kódu.
(2) Softwarové a hardwarové vybavení systému musí být uvedeno v evidenci aktiv a smí být používáno pouze v souladu s podmínkami v uvedenými popisu bezpečnosti systému a provozní bezpečnostní směrnici.
(3) Analýza rizik a popis bezpečnosti systému stanoví požadavky na provádění zálohování softwarového vybavení a uložených informací. Záloha musí být uložena tak, aby nemohlo dojít k jejímu poškození, zničení nebo zneužití.
(4) Popis bezpečnosti systému stanoví postup odstranění utajovaných informací z hardwarového vybavení před jeho vyřazením z používání, případně před jeho zničením.