第3條
關於以下事宜的政策及指引 —— (a) 識別、評估、監察、應對和減低 —— (i) 有關關鍵電腦系統的電腦系統安全的相關風險； (ii) 該系統的保安漏洞；及 (iii) 該系統的電腦系統安全威脅及電腦系統安全事故； (b) 偵測該系統的電腦系統安全威脅及電腦系統安全事故； (c) 控制該系統的接達，以及防止在無合法權限下對該系統作出任何作為； (d) 確保任何對該系統的變更，是受到監察、管理和控制的； (e) 確保該系統的所有組件是受到保護、管理和控制，以保護儲存在該等組件、由該等組件傳送或處理，或可經該等組件取得的資料的； (f) 採納有以下效果的原則：在該系統的全個發展生命周期中，將各項安全措施作出優次排序，以及將其整合； (g) 確保該系統在遇到干擾期間的可用性； (h) 為確保 —— (i) 有關關鍵基礎設施營運者履行第1類責任、第2類責任及第3類責任；及 (ii) 該營運者所需的電腦系統安全措施，獲妥善地實行， 管理與下述服務及產品的供應商之間的合約及其他通訊：該系統所採用的、與電腦系統相關的服務及產品；及 (i) 審視根據第23條提交的電腦系統安全管理計劃。