L'ente stabilisce un processo di gestione della continuità del servizio (ITSCM) per garantire la continuità dei propri servizi, in particolare quelli che comportano operazioni critiche, e mantiene la disponibilità delle informazioni a un livello accettabile in caso di interruzione significativa. L'ITSCM dovrebbe concentrarsi su quegli eventi che l'ente considera sufficientemente significativi da essere trattati come un "disastro".

I rischi di una perdita di un processo aziendale, come perdita finanziaria, danno alla reputazione o violazione delle normative, vengono misurati attraverso un esercizio congiunto tra team funzionale e ICT – chiamato analisi di impatto aziendale –, che determina i requisiti critici minimi.