Foranstaltningerne skal sikre et sikkerhedsniveau, der passer til risiciene — vurderet ud fra det aktuelle tekniske niveau, implementeringsomkostningerne, behandlingens karakter, omfang, sammenhæng og formål, samt risiciene af varierende sandsynlighed og alvor.
Et krav om maksimal sikkerhed. Bestemmelsen nævner udtrykkeligt IMPLEMENTERINGSOMKOSTNINGERNE som en faktor — niveauet er relativt, ikke absolut. Men det er risikoen for de REGISTREREDE, der vejer, ikke virksomhedens egen risiko.