La legislazione è il processo di creazione delle leggi, e il risultato è uno statuto o un insieme di regole che ha forza legale. Nel campo della sicurezza informatica, la legislazione stabilisce il livello minimo di ciò che le organizzazioni devono proteggere, comunicare e documentare. Può definire i requisiti per la notifica delle violazioni, i controlli di sicurezza, la conservazione dei registri, la crittografia, la gestione degli accessi e il trattamento della privacy, trasformando le buone pratiche in un obbligo legale.
La legislazione è importante perché gli aggressori spesso sfruttano una governance debole tanto quanto una tecnologia debole. Requisiti legali chiari aiutano i difensori a giustificare i budget, standardizzare i controlli e costruire piani di risposta agli incidenti che rispettino scadenze e obblighi di segnalazione. Nella pratica, i team di sicurezza usano la legislazione per definire politiche, contratti con i fornitori, registrazione dei log e verifiche di conformità. Quando le leggi sono vaghe o in conflitto, le organizzazioni possono configurare in modo errato i sistemi, ritardare le segnalazioni o non adottare le protezioni richieste, creando rischi sia per la sicurezza sia per la conformità.