ISO 27701: Das ISO 27001 Datenschutz-Add-on

Vereinfacht handelt es sich um eine Erweiterung der zertifizierungsfähigen Normen ISO/IEC 27001 und ISO/IEC 27002 für das Datenschutzmanagement. Der Zertifizierungsstandard soll das bestehende Informationssicherheits-Managementsystem (ISMS) um zusätzliche Anforderungen erweitern, um ein Privacy Information Management System (PIMS) einzurichten, zu implementieren, zu pflegen und kontinuierlich zu verbessern.

Damit können Organisationen das Datenschutzniveau verbessern und den Schutz der Grundrechte und der Grundfreiheiten in den Fokus rücken.  Mit ihrer Hilfe lässt sich ein Datenschutzmanagementsystem etablieren, mit dem sich die Anforderungen aus der Datenschutzgrundverordnung hinsichtlich der Dokumentation der Abläufe und der Rechenschaftsverpflichtung umsetzen lassen. Neben eindeutigen Anforderungen für den Verantwortlichen für die Verarbeitung von personenbezogenen Daten wird auch der Auftragsverarbeiter konkret in die Pflicht genommen.

Eine solche Implementierung ermöglicht Unternehmen, die Risiken im Zusammenhang mit der Erhebung, Pflege und Verarbeitung personenbezogener Daten zu bewerten, zu behandeln und zu reduzieren.

Darüberhinaus bildet eine Zertifizierung Vertrauen am Markt. Der Bekanntheitsgrad einer ISO-Zertifizierung ist hoch, sowohl beim B2C Endkunden als auch beim B2B Firmenkunden. Durch ein Zertifikat nach ISO 27001 mit Erweiterungsnorm ISO 27701 wird die Compliance mit den Anforderungen an Informationssicherheit und Datenschutz nachgewiesen. Eine ISO-Zertifizierung ist auch häufig eine Voraussetzung, um an Ausschreibungen teilnehmen zu können. Und ISO-Zertifikate werden von den Datenschutzbehörden akzeptiert.

Die ISO 27701 erweitert 37 bestehende Controls (Maßnahmen) der ISO 27000-Reihe durch sogenannte „PIMS-specific Requirements“. Zusätzlich werden abhängig von der Art der Datenverarbeitung (Data Controller vs. Data Processor) zwischen 18 und 31 zusätzliche Controls durch ISO 27701 eingeführt. Hier entsteht selbstverständlich zusätzlicher Aufwand.

Ausschlaggebend jedoch ist, ob die Controls in den Prozessen verankert sind, also die Prüfungsgrundlage ein „Abfallprodukt“ der täglichen Arbeit ist, oder mühsam vor jeder Prüfung nachträglich rekonstruiert werden muss.

Es ist angeraten, die privacy-relevanten Daten bzw. Auswertungen in lediglich einem System zu hinterlegen. Hiermit entfällt z.B. die aufwendige Suche in Verzeichnisbäumen, das Einräumen von Zugriffsrechten auf Systeme und der Betreuungsaufwand während der Prüfung. Die Prüfung selbst kann effizienter und für den Geprüften auch günstiger durchgeführt werden.  Aus diesem Grund werden wir bei unserem Training mit einer Standard-Softwarelösung im Bereich Privacy arbeiten, die die im Training behandelten Privacy-Prozesse unterstützt.

Es wird in die Phasen „Implementation“ und „Run“ unterschieden

Implementation: Erst muss die Übereinstimmung der internen Prozesse mit den Anforderungen aus dem ISO-Standard überprüft werden. Hierzu wird zunächst der Anwendungsbereich bestimmt. Alle Geschäftseinheiten / Teams, die mit PII (Personally Identifiable Information; personenbezogenen Daten) befasst sind, üblicherweise Vertrieb, Support, Marketing, Finanzen, Recht, IT, Compliance und HR. Die betroffenen Projektteams, Abteilungen und Standorte werden einer Gap-Analyse unterzogen, um zu validieren und zu verifizieren, dass die Unternehmensprozesse mit den Kontrollen der Norm übereinstimmen. Es muss dokumentiert, neue Prozesse definiert – etwa für Auskunftsverlangen – und Schulungsunterlagen erstellt werden.

Run: Eine Zertifizierung hat ein Haltbarkeitsdatum von 3 Jahren. Neben den jährlichen Zwischenaudits, die auch durch ein Selfassessment erledigt werden können, muss alle 3 Jahre eine vollumfängliche Prüfung durchgeführt werden.

Die Norm ist anwendbar auf alle Arten und Größen von Organisationen, einschließlich öffentlicher und privater Unternehmen, staatlicher Einrichtungen und gemeinnütziger Organisationen.

Solltest du noch keine Zertifizierung nach ISO 27001 haben, bietet sich mit der ISO 27701 eine gute Möglichkeit, beides in einem Zug einzuführen.

Wenn bereits die Strukturen und Prozesse für die ISO 27001 implementiert und wirksam betrieben werden, ist der Aufwand für eine Erweiterung der Anforderungen aus der ISO 27701 deutlich geringer als ein weiteres Managementsystem für den Datenschutz autark aufzubauen.