Av verksamhetsplanen ska det framgå hur företagets it-verksamhet ska vara organiserad, styras och följas upp. Det ska finnas en beskrivning av väsentliga itsystems funktioner och användningsområden.
Företaget ska i verksamhetsplanen även redogöra för hur det ska styra och följa upp sitt it-säkerhetsarbete. Det ska särskilt anges hur företaget ska följa bestämmelserna i Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, i dessa föreskrifter kallad Dora-förordningen. Företaget ska också beskriva om och hur det tillämpar etablerade standarder och ramverk, liksom aktuella och planerade oberoende granskningar av it-verksamheten och säkerhetsarbetet. Vidare ska företaget se till att verksamhetsplanen innehåller en översikt över aktuella beredskaps- och kontinuitetsplaner och, i förekommande fall, information om när dessa senast uppdaterades och testades.
