Ett företag ska ha interna regler för säkerhetsarbete som innehåller uppgifter om vilka tillgångar och värden som ska skyddas. Företaget ska ange dels vilka åtgärder det ska vidta för att skydda dessa, dels hur omfattande åtgärderna ska vara.
Företaget ska när det tillämpar första stycket ta hänsyn till verksamhetens art, omfattning och komplexitet.
