Karl hat in seiner Antwort schon auf TOMs verwiesen. Das ist ein wesentlicher Punkt bei der Sache.

Wenn man die verwendete Software immer auf dem aktuellen Stand hält und zeitnah Updates installiert, folgt man der empfohlenen „Best Practice“ und muss dazu nicht viel sagen.

Wenn man davon abweicht und Software verwendet, die nicht mehr aktiv supported wird, dann sollte man dokumentieren, warum man das tut, welche zusätzlichen Risiken in den eigenen Prozessen dadurch entstehen können und was man konkret tut (TOMs!), um solche zusätzlichen Sicherheitsrisiken zu minimieren oder auszuschließen.

Wenn man das unterlässt, sieht das aus DSGVO-Perspektive meiner Meinung nach schon nach fahrlässigem Ignorieren der Datensicherheit aus.