Datenschutz nach Norm (ISO 27100 / ISO 27701)
Informations- sicherheit / OT / Datenschutz > Datenschutz
Datenschutz nach Norm
Derzeit ist große Bewegung in den Normen um den Datenschutz.
BS10012
Der British Standard BS10012 war der erste Vorstoß, eine Norm für ein Datenschutzmanagementsystem (DSMS) bereit zu stellen. Eine Konformitätsbestätigung ist möglich.
ISO 29100 und ISO 29101
Die ISO 29100 und ISO 29101 formulieren, wir zukünftig ein Datenschutzmanagementsystem aufgebaut sein soll.
ISO 29134
Gibt einen Rahmen für die Datenschutzfolgeabschätzung
ISO 29151
Ist ein Leitfaden, wie der Datenschutz mit Maßnahmen abgebildet werden sollte
ISO 27019
Gibt Vorgaben für den Datenschutz bei Services aus der Cloud
ISO 27552
Hier handelt es sich um eine Erweiterung des ISMS nach ISO 27001 um die Anforderungen des Datenschutzes in Bezug auf die Maßnahmen. Damit kann die Erklärung auf Anwendbarkeit des ISMS um die Anforderungen des Datenschutzes erweitert werden.
Datenschutz auf der Basis von ISO 27100 und ISO 27701
Wir unterstützen Unternehmen beim Aufbau eines integrierten Datenschutz- und Informationssicherheits-Managements auf Basis des Cybersecurity-Rahmenwerks ISO/IEC TS 27100 und eines Privacy Information Management Systems (PIMS) nach ISO/IEC 27701. Ziel ist ein nachvollziehbares, risikobasiertes Datenschutzmanagement, das die Anforderungen der DSGVO und anderer Rechtsnormen systematisch in Prozesse, Rollen und technische Maßnahmen überführt.
Rolle von ISO 27100
ISO/IEC TS 27100 liefert den übergeordneten Rahmen für Cybersecurity: zentrale Begriffe, Prinzipien, Sicherheitsziele, Risiko- und Governance-Ansätze. In der Beratung nutze ich diesen Rahmen, um Datenschutz nicht isoliert, sondern eingebettet in ein gesamtheitliches Cybersecurity- und Informationssicherheitskonzept zu etablieren. Dazu gehören insbesondere:
- Definition eines Cybersecurity-/Datenschutz-Governance-Modells mit klaren Rollen, Verantwortlichkeiten und Eskalationswegen auf Management-Ebene.
- Aufbau eines konsistenten Begriffs- und Rollenmodells (z. B. PII controller/processor, Asset Owner, Risk Owner), das sich in Policies, Verfahren und Verträgen wiederfindet.
- Etablierung eines risikobasierten Vorgehens zur Bewertung von Cyber- und Privacy-Risiken, inkl. Bedrohungen, Schwachstellen, Schadensszenarien und Akzeptanzkriterien.
- Verankerung von „Privacy & Security by Design“ in Entwicklungs-, Beschaffungs- und Änderungsprozessen, basierend auf den in ISO 27100 beschriebenen Konzepten.
Aufbau eines PIMS nach ISO 27701
ISO/IEC 27701 beschreibt Anforderungen an ein Privacy Information Management System (PIMS) und konkrete Steuerungsmaßnahmen für Verantwortliche und Auftragsverarbeiter. In der externen Beratung implementiere ich mit dir u. a. folgende Elemente:
- Scope & Rollenmodell: Festlegung des Geltungsbereichs des PIMS (Organisationseinheiten, Standorte, Prozesse, IT-Systeme) und klare Zuordnung von Rollen als PII-Verantwortlicher bzw. PII-Auftragsverarbeiter.
- Verzeichnis der Verarbeitungstätigkeiten & Datenflüsse: Systematische Erhebung, Strukturierung und Dokumentation der relevanten Verarbeitungstätigkeiten inkl. Kategorien von PII, Rechtsgrundlagen, Empfängern, Übermittlungen in Drittländer und Aufbewahrungsfristen.
- Privacy Risk Assessment: Erweiterung bestehender Risiko-Methoden um Datenschutz- und Persönlichkeitsrechtsrisiken (z. B. über PIAs/DPIAs) unter Einbezug der Prinzipien aus dem ISO-Privacy-Framework (Zweckbindung, Datenminimierung, Transparenz, Betroffenenrechte).
- Kontrollen für Verantwortliche und Auftragsverarbeiter: Umsetzung und Dokumentation der in ISO 27701 beschriebenen zusätzlichen Controls, z. B. Umgang mit Betroffenenrechten, DPIA-Verfahren, Lösch-/Retention-Konzepte, Regeln für Auftragsverarbeiter, Beendigung der Verarbeitung.
- Integration in bestehende Prozesse: Einbindung von Datenschutzanforderungen in Change-, Projekt-, Beschaffungs- und Incident-Management (z. B. automatischer PIA-Trigger bei Veränderungen, abgestimmtes Security- und Privacy-Incident-Handling).
Operative Maßnahmen und Dokumente
Auf operativer Ebene werden aus ISO 27100 (Konzept- und Governance-Rahmen) und ISO 27701 (PIMS-Anforderungen) konkrete Artefakte und Maßnahmen abgeleitet, z. B.:
- Richtlinien-Set (Privacy Policy, Data Protection Policy, Data Breach Policy, Rollen- & Verantwortlichkeitsrichtlinie)
- Verfahren zur Bearbeitung von Betroffenenrechten (Auskunft, Löschung, Widerspruch, Einschränkung etc.) inkl. Fristen- und Nachweismanagement
- Standardisierte DPIA-/PIA-Templates und Entscheidungslogik, wann eine DPIA erforderlich ist
- Dokumentierte Prozesse für Datentransfers (z. B. Drittlandtransfers, Joint Controllership, Auftragsverarbeitung)
- Sicherheits- und Datenschutzmaßnahmenkatalog (technisch/organisatorisch) mit Zuordnung zu Risiken und Verarbeitungstätigkeiten
- Awareness- und Schulungskonzept für Rollen mit besonderem Datenschutzbezug
Kontinuierliche Verbesserung und externe Rolle
Abschließend begleiten wir Unternehmen laufend bei der Weiterentwicklung ihres Datenschutzmanagements im Sinne eines kontinuierlichen Verbesserungsprozesses, wie er in Managementsystemnormen vorgesehen ist. Dazu gehören regelmäßige Reviews, interne Audits, KPI-/Kennzahlenkonzepte sowie die Vorbereitung auf mögliche Kundenaudits oder Prüfungen der Aufsichtsbehörden – ohne dass eine formale ISO-Zertifizierung zwingende Voraussetzung ist.
Zertifizierung ISO27701
Wir begleiten Unternehmen bis zur erfolgreichen Zertifizierung nach ISO 27701.
Interessiert Sie das Thema Datenschutz nach ISO 27701 und ISO 27100, dann folgen Sie dem Link auf www.ISO27701.biz