Суб'єкт інформаційного захисту під час формування вимог до системи захисту повинен враховувати вимоги до захисту інформації та кіберзахисту законодавства України та цього Положення.
Суб'єкт інформаційного захисту зобов'язаний формувати вимоги до системи захисту інформації за результатами:
1) виявлення джерел загроз інформаційній безпеці та кібербезпеці, оцінювання можливостей потенційних зовнішніх і внутрішніх порушників;
2) аналізу можливих уразливостей всіх складових IC;
3) оцінювання можливих наслідків від виникнення загроз інформаційній безпеці та порушення властивостей системи захисту інформації в цілому.