A ser definido de maneira única, objetivando alcançar de forma irrestrita toda a organização, fazendo uso de uma abordagem genérica, para que tenha a abrangência necessária em todos os aspectos críticos que possam ocasionar impactos negativos ao negócio.
B priorizar e estabelecer ações de implantação como resultado de uma ampla análise de risco.
C conter apenas procedimentos de emergência, restauração, recuperação e retomada.
D ser específico para cada sistema de informação da organização, pois deve ser baseado em uma análise de impacto no negócio caso ocorra uma indisponibilidade dos recursos de informação, podendo, por conseguinte, constituir, para cada sistema, um modelo único, a ser aproveitado pelas diversas organizações que usem a mesma solução.
E prioritariamente envolver os seguintes processos: tratamento de incidentes, solução de problemas e acordo de nível de operação.