Ett företag ska när det inträffar en incident dokumentera och analysera incidenten. Företaget ska även dokumentera de förluster som har uppstått i samband med denna. Företaget ska ha rutiner för att säkerställa att dessa uppgifter är korrekta. Detta gäller inte om en incident anmäls anonymt.
Företaget ska använda uppgifterna i första stycket när det identifierar och mäter operativa risker enligt 3 §.
