La estructura de este punto de la norma es:
10.1. Procedimientos y responsabilidades de operación.
10.1.1. Documentación de procedimientos operativos.
10.1.2. Control de cambios operacionales.
10.1.3. Segregación de tareas.
10.1.4. Separación de los recursos para desarrollo y producción.
10.2. Supervisión de los servicios contratados a terceros.
10.2.1. Prestación de servicios.
10.2.2. Monitorización y revisión de los servicios contratados.
10.2.3. Gestión de los cambios en los servicios contratados.
10.3. Planificación y aceptación del sistema.
10.4. Protección contra software malicioso y código móvil.
10.5. Gestión interna de soportes y recuperación.
10.7. Utilización y seguridad de los soportes de información.
10.7.1. Gestión de soportes extraíbles.
10.7.2. Eliminación de soportes.
10.8. Intercambio de información y software.
10.8.1. Acuerdos para intercambio de información y software.
10.8.2. Seguridad de soportes en tránsito.
10.8.3. Mensajería electrónica.
10.8.4. Interconexión de sistemas con información de negocio
10.9. Servicios de comercio electrónico.
10.9.1. Seguridad en comercio electrónico.
10.10.1. Registro de incidencias.
10.10.2. Seguimiento del uso de los sistemas.
10.10.3. Protección de los registros de incidencias.