Loven krever også at alle operatører av føderale datasystemer, inkludert både føderale etater og deres entreprenører, etablerer sikkerhetsplaner.
Disse sikkerhetsplanene er vanligvis utarbeidet av ledere med svært lite datakunnskap.