L’institution évalue la situation existante en matière de sécurité et définit une stratégie institutionnelle et un modèle de gouvernance relatifs à la cybersécurité.

Les institutions de sécurité sociale font désormais partie des infrastructures critiques (IC) et des infrastructures d’information critiques (IIC) et doivent, par conséquent, avoir une posture solide en matière de cybersécurité. De manière générale, les IC recouvrent les secteurs, services et actifs vitaux pour le bon fonctionnement et la résilience de la société. Quant aux IIC, elles recouvrent les systèmes TIC qui sont des IC en eux-mêmes ou qui sont indispensables au fonctionnement d’une IC.