Администраторът на лични данни е длъжен да осигури минималното ниво на технически и организационни мерки при обработване на лични данни и допустимия вид защита в съответствие с тази наредба:
- 1. в срок до 6 месеца от влизане на наредбата в сила администраторът е длъжен да определи нивото на въздействие на обработваните от него регистри;
- 2. за регистри с лични данни, водени към момента на влизане в сила на тази наредба, мерките за защита на ниско ниво, предвидени в нея, трябва да бъдат изпълнени до 6 месеца след определяне на нивото на въздействие;
- 3. за регистри с лични данни, водени към момента на влизане в сила на тази наредба, мерките за защита на средно ниво, предвидени в нея, трябва да бъдат изпълнени до 9 месеца след определяне на нивото на въздействие;
- 4. за регистри с лични данни, водени към момента на влизане в сила на тази наредба, мерките за защита на високо и изключително високо ниво, предвидени в нея, трябва да бъдат изпълнени до една година след определяне на нивото на въздействие.