Alates 2026. aastast peavad CISOd tõendama, et ettevõtte juhtkond on riskianalüüsid dokumenteeritult läbi viinud ja heaks kiitnud.