Ändringar i informationssystem som inte hanteras på ett korrekt och säkert sätt ökar risken för incidenter. Detta kan i sin tur riskera att äventyra informationssystems eller informations konfidentialitet, riktighet och tillgänglighet genom att nya sårbarheter och hot uppstår. Incidentrapporteringen från statliga myndigheter och NIS-leverantörer har under flera år bekräftat detta. Organisationer bör således utveckla och följa arbetssätt där ändringar kan genomföras systematiskt, noggrant och processtyrt.