La ley también exige que todos los operadores de sistemas informáticos federales, incluidos los organismos federales y sus contratistas, establezcan planes de seguridad.
Estos planes de seguridad son elaborados normalmente por ejecutivos con muy poco conocimiento de la computadora.