Vyžaduje bezpečnostné programy agentúr primerané riziku, priraďuje celovládne a agentúrne zodpovednosti a adresuje systémy používané alebo prevádzkované agentúrami alebo inými v ich mene.
Public Law 113-283 je hlavne kodifikovaný v 44 United States Code §§3551–3558. Office of Management and Budget stanovuje politiku a dohľad, Department of Homeland Security administruje implementačné aktivity a National Institute of Standards and Technology vyvíja podporné štandardy a usmernenia; vedúci agentúr zostávajú zodpovední.
Kľúčové body
Určiť rozsahIdentifikovať federálne informácie, systémy agentúr, systémy prevádzkované dodávateľmi konajúce v mene agentúry, zodpovedných úradníkov a odlišné ustanovenia uplatňujúce sa na systémy národnej bezpečnosti.
Prevádzkovať rizikový programUdržiavať inventáre, hodnotiť riziko, implementovať politiky a kontroly, plánovať kontinuitu, školiť personál, testovať efektívnosť, remedovať slabiny a detekovať, hlásiť a reagovať na incidenty.
Podporovať dohľadProduktovať požadované správy a metriky, vykonávať ročné nezávislé hodnotenia, udržiavať dôkazy pre autorizáciu a kontinuálne monitorovanie a nasledovať aktuálne celovládne a agentúrne-špecifické usmernenia.
Dôležité obmedzenieFISMA nevytvára univerzálnu „certifikáciu FISMA" a kontrolný checklist ani autorizácia negarantuje bezpečnosť. Povinnosti závisia od aktuálneho zákona, politiky, štandardov, direktív, rozsahu systému a zmlúv; špecifická uplatniteľnosť vyžaduje kvalifikovanú federálnu právnu a akvizičnú kontrolu.