Im dritten Schritt ist unter Beachtung der Vorgaben der Datenschutz-Grundverordnung sowie des Bundesdatenschutzgesetzes der Soll-Zustand zu bestimmen. Es sind die Maßnahmen aufzulisten, welche umzusetzen sind. Je nach Unternehmensgröße kann es sich empfehlen, Unterprojekte zu bilden und einen jeweils Verantwortlichen zu bestimmen.