•Disziplinarmaßnahmen, die bei Verstößen gegen die Sicherheitsbestimmungen relevant sind, müssen vorhanden und bekannt sein, aber auch angewandt werden.

•Regelmäßige Kontrollen auf Einhaltung der Sicherungsmaßnahmen müssen durch den Sicherheitsmanager und den Datenschutzbeauftragten durchgeführt werden.

•Regelungen zur Handhabung von personenbezogenen Daten müssen kontrolliert eingehalten werden, dazu sollte es eine detaillierte Datenschutz-Regelung mit Datenschutzpolicy, Weisungen und Auflagen für die Öffentlichkeit (z.B. im Qualität- oder integrierten Managementhandbuch) geben.

•Selbstverpflichtungen für PC-Nutzer zur Einhaltung der erlassenen Regeln sollten bekannt und gegebenenfalls unterschrieben sein.

•Eine Sicherheitsklassifizierung von Verfahren, Daten und Dokumenten muss mit entsprechenden Handhabungsregelungen definiert sein und angewandt werden.

•Schutz- und Präventiv-Maßnahmen zum Virenschutz müssen im Einsatz sein und regelmäßig auf den EDV Geräten aktualisiert werden. Zu berücksichtigen sind auch - soweit irgend möglich - mobile Endgeräte mit der Möglichkeit zum Datenaustausch.

•Regelungen zu Netzwerk- und Internet-Zugangsberechtigungen müssen definiert, eingehaltenen und aktuell gehalten werden. Dies schließt unbedingt eindeutige Regelungen zur Privatnutzung ein, möglichst durch Vereinbarung mit Arbeitnehmervertretungen (sic. Letzteres selbstverständlich nur bei Zulassung von privater Nutzung).

•Regelungen zur Nutzung des Internets müssen bekannt sein und verifiziert eingehalten werden einschließlich des Verbots unkontrollierter Modemanschlüsse. Dies kann z.B. durch interne Audits verifiziert werden.

•Passwortregeln und Passworthistorien müssen definiert und bekannt sein, eingehalten und systemgesteuert auf Verfalldatum kontrolliert werden.

•Anweisungen zur Vorgehensweise bei System Updates müssen organisatorisch und terminlich festgelegt und kontrolliert eingehalten werden, besonders für Sicherheits-Updates.

•Datensicherungsroutinen mit Anweisung zur Auslagerung und aktuelle Restoreverfahren sollten dokumentiert und getestet sein.

•Notfall- und Katastrophenvorsorgemaßnahmen müssen definiert, getestet und aktuell gehalten sein. Hier ist die Relation zu anderen gesetzlichen Vorschriften vorhanden (KonTraG, AktG, GmbHG und HGB).

Angaben aus: Hauschka, Corporate Compliance, Handbuch der Haftungsvermeidung im Unternehmen, C.H.Beck Verlag