Ключовий суб'єкт інформаційного захисту повинен:
1) забезпечувати безперервну технічну підтримку системи захисту інформації, що ним використовується;
2) проводити функціональні випробування новоствореного чи доопрацьованого ключовим суб'єктом інформаційного захисту ПЗ, що забезпечує захист інформації, перед його впровадженням у дослідну чи промислову експлуатацію;
3) під час розроблення, впровадження та експлуатації власного ПЗ, що використовується для захисту інформації, забезпечувати усунення всіх відомих вразливостей, що впливають на досягнення мети розроблення.