(1) V prípade závažného kybernetického bezpečnostného incidentu alebo jeho hrozby, môže úrad

a) vyhlásiť výstrahu a varovanie pred závažným kybernetickým bezpečnostným incidentom,

b) uložiť povinnosť riešiť kybernetický bezpečnostný incident,

c) uložiť povinnosť vykonať reaktívne opatrenie,

d) požadovať návrh opatrení a vykonanie opatrení určených na zabránenie ďalšieho pokračovania, šírenia a opakovaného výskytu závažného kybernetického bezpečnostného incidentu (ďalej len „ochranné opatrenie“).