(1) Die Behörde richtet eine interne IT-Governance auf der Ebene des Exekutivdirektors ein, die den IT-Haushalt aufstellt und verwaltet und sicherstellt, dass dem Direktorium regelmäßig über die Einhaltung der geltenden IT-Sicherheitsvorschriften und -standards Bericht erstattet wird.

(2) Die Behörde stellt sicher, dass der direkten IT-Sicherheit ein ausreichender Teil ihrer IT-Ausgaben transparent zugewiesen wird. Der Beitrag zum IT-Notfallteam der Organe, Einrichtungen und sonstigen Stellen der EU (CERT-EU) kann auf diesen Anteil angerechnet werden.

(3) Es wird ein angemessener Überwachungs-, Erkennungs- und Reaktionsdienst im Bereich der IT-Sicherheit unter Nutzung der Dienste des CERT-EU eingerichtet. Schwerwiegende Vorfälle werden dem CERT-EU und der Kommission innerhalb von 24 Stunden nach ihrer Aufdeckung gemeldet.