「マイナンバーが万が一漏洩してしまったら・・・中小企業の方へ」に素朴な疑問

表題の件、以下のサイトに有るのだが・・・

中小企業の方へ
マイナンバー（個人番号）が万が一漏えいしてしまったら・・・
http://www.ppc.go.jp/files/pdf/160104_mynumber_rouei.pdf


このときの対応（以下太字は上記サイトより引用）

（１）事業者内部における報告、被害の拡大防止
（２）事実関係の調査、原因の究明
（３）影響範囲の特定
（４）再発防止策の検討・実施
（５）影響を受ける可能性のある本人への連絡等
（６）個人情報保護委員会等への報告の要否の確認

で、（１）をしてから（２）～（５）となっているが、
（１）のあとは（３）、（５）ではなくて？

（２）の原因究明は簡単ではないこともあるし、
（４）とかは、もっと先だろう・・・
（５）を早くするべきだと思うんだけどなあ・・・

※ちなみに、大手企業の人はこちら

特定個人情報の漏えい事案等が発生した場合の対応について
http://www.ppc.go.jp/legal/policy/rouei/