Indirekt ergibt sich die Pflicht aus Art. 32 DSGVO. Dort wird darauf verwiesen, dass die Sicherheitsmaßnahmen am Risiko auszurichten sind. Dementsprechend, muss eine Risikoanalyse durchgeführt werden, um z.B. die technischen und organisatorischen Maßnahmen entsprechend dem Risikoprofil zu wählen. Nicht zu vergessen ist auch die Rechenschaftspflicht des Verantwortlichen. Sie sind in der Bringschuld, Ihre Datenverarbeitungen umfangreich zu prüfen und zu dokumentieren, dabei kann eine ausführliche Risikoanalyse helfen.