Planificación y Control Operacional.
La organización debe planificar, implementar y controlar los procesos necesarios para cumplir los requisitos de seguridad de la información y para
implementar las acciones determinadas en el apartado 6.1. La organización debe implementar también planes para alcanzar los objetivos de seguridad de la información determinados en el apartado 6.2.
En la medida necesaria la organización debe mantener información documentada, para tener la confianza de que los procesos se han llevado a cabo según lo planificado.
La organización debe controlar los cambios planificados y revisar las consecuencias de los cambios no previstos, llevando a cabo acciones para mitigar los efectos adversos, cuando sea necesario.
La organización debe garantizar que los procesos contratados externamente estén controlados.