Loven krever også at alle operatører av føderale datasystemer, inkludert både føderale etater og deres entreprenører, etablerer sikkerhetsplaner.
Sikkerhetsplaner er valgfrie for alle organisasjoner som driver alle typer datasystemer.