Av verksamhetsplanen ska det framgå hur företagets it-verksamhet ska vara organiserad, styras och följas upp. Det ska finnas en beskrivning av väsentliga itsystems funktioner och användningsområden.
Företaget ska i verksamhetsplanen även redogöra för hur det ska styra och följa upp sitt it-säkerhetsarbete. Eventuell tillämpning av etablerade standarder och ramverk ska beskrivas liksom aktuella och planerade oberoende granskningar av itverksamheten och säkerhetsarbetet. Vidare ska verksamhetsplanen innehålla en översikt över aktuella beredskaps- och kontinuitetsplaner och, i förekommande fall, information om när dessa senast uppdaterats och testats.
