La ley también exige que todos los operadores de sistemas informáticos federales, incluidos los organismos federales y sus contratistas, establezcan planes de seguridad.
Los planes de seguridad son opcionales para todas las organizaciones que operan cualquier tipo de sistema informático.