Die Verantwortung für das Risikomanagement und die Bereitstellung von Sicherheitsmassnahmen liegt bei der Geschäftsleitung – nicht allein bei der IT-Abteilung. Sie entscheidet, welche Restrisiken akzeptiert oder durch entsprechende Ressourcen weiter minimiert werden.​