(1) Субектите разработват и приемат собствена политика за мрежова и информационна сигурност, която се преразглежда редовно, но не по-рядко от веднъж годишно, и при необходимост се актуализира.
(2) Политиката съдържа стратегическите цели на Субекта за мрежовата и информационната сигурност и подхода за постигането им в съответствие с общите му стратегически и оперативни цели, нормативните актове и договорите, текущите и потенциалните вътрешни и външни заплахи за постигането на тези цели и за сигурността на информацията.
(3) Политиката има отношение към или включва всички съответни специфични политики за сигурност на информационните и комуникационните системи, като обмен на информация, използване на мобилни устройства, работа от разстояние, използване на криптографски механизми, управление на достъпите и автентикацията, разработване на нови системи, управление на инциденти, взаимоотношение с трети страни, повишаване на квалификацията на служителите и на осведомеността по отношение на мрежовата и информационната сигурност и др.