Welche Sicherheitsmassnahmen jeweils erforderlich sind, ist eine Frage der Umstände, z.B. des Systems der Datenbearbeitung, der Risiken und der faktisch in Frage kommenden Massnahmen. Die DSGVO nennt nicht abschliessend folgende Massnahmen, die teilweise aber eher Schutzziele denn Massnahmen sind: Pseudonymisierung und Verschlüsselung; Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen; Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. Der EDÖB hat in seinem etwas angejahrten Leitfaden zu technischen und organisatorischen Massnahmen Beispiele aufgeführt (die je nach Umständen erforderlich sind oder nicht). Konkrete Sicherheitsmassnahmen werden auch in branchenspezifischen Regelungen vorgegeben, z.B. - selbstredend nicht abschliessend - für die Kreditkartenbranche im Payment Card Industry Data Security Standard (PCI DSS), für Banken und Wertpapierhäuser im Rundschreiben Operationelle Risiken, in den Leitlinien der Bankiervereinigung für Data Leakage Prevention und den Empfehlungen für das Business Continuity Management, und für den Bund im kommenden Informationssicherheitsgesetz.