Установа зобов’язана з урахуванням вимог законодавства України у сфері захисту інформації, інформаційної безпеки та кіберзахисту розробити внутрішні документи, які встановлюють вимоги щодо надання, скасування та контролю доступу до інформаційних систем установи, що використовуються для приймання, реєстрації, оброблення, зберігання, надсилання електронних документів, і мають містити:
1) вимоги до ідентифікації, автентифікації, авторизації клієнтів установи;
2) послідовність дій під час управління доступом, послідовність дій під час управління віддаленим доступом (реєстрація, надання повноважень, перегляд та скасування доступу);
3) перелік типових функцій та прав доступу до інформаційних систем установи;
4) вимоги щодо здійснення заходів контролю доступу;
5) періодичність контролю наданих прав доступу;
6) вимоги до протоколювання дій під час управління доступом.
Установа зобов’язана забезпечити дотримання принципу надання мінімального рівня повноважень під час надання доступу до інформаційних систем установи, що використовуються для приймання, реєстрації, оброблення, зберігання, надсилання електронних документів.
Внутрішні документи, зазначені в пункті 11 розділу I цього Положення, є обов’язковими для виконання всіма працівниками установи й уповноваженими представниками установи та можуть оформлятися у вигляді окремих документів, одного документа або бути частиною / частинами іншого / інших документа / документів.