4 — Decret 162/2025, del 23-4-2025, d’aprovació de la política de seguretat de la informació del Govern d’Andorra i de creació del Comitè Tècnic de Seguretat de la Informació. — Vigent

La gestió de riscos és el procés integral que implica la identificació, l’avaluació i la mitigació de les amenaces cibernètiques.
El delegat de la seguretat de la informació és l’encarregat d’assegurar que s’efectuï l’anàlisi de riscos, així com d’identificar mancances i debilitats i de posar-les en coneixement del Comitè Tècnic de Seguretat de la Informació.
El procés de gestió de riscos ha de complir els requeriments establerts en l’ENS-AD i les indicacions de l’ANC-AD (Agència Nacional de Ciberseguretat d’Andorra).
En l’anàlisi de riscos s’ha d’utilitzar una metodologia estàndard i reconeguda en l’àmbit internacional, alineada amb el que exigeix l’ENS-AD.
L’anàlisi i gestió de riscos és una part essencial del procés de seguretat, per assegurar el manteniment d’un entorn controlat i minimitzar els riscos fins a nivells considerats acceptables per l’organització.
La reducció del nivell de risc es fa desplegant mesures de seguretat i privacitat que es modulen en funció de la naturalesa de les dades i els tractaments de la informació, així com de l’impacte i la probabilitat dels riscos als quals estiguin exposats, buscant un compromís entre cost i eficàcia.