ISO 27701

Wer ein Informationssicherheitsmanagementsystem betreibt und daneben eine Datenschutzorganisation aufgebaut hat, führt zwei Systeme mit erheblicher Überschneidung. Die ISO 27701 ist der Versuch, daraus eines zu machen: Sie erweitert das ISMS um die Anforderungen des Datenschutzes.

Was sie ist – und was sie voraussetzt

Die Norm ist keine eigenständige Managementsystemnorm, sondern eine Erweiterung. Sie ergänzt die Anforderungen der ISO 27001 und die Maßnahmen der ISO 27002 um datenschutzspezifische Vorgaben und beschreibt damit ein Datenschutzmanagementsystem, das im Fachjargon PIMS heißt.

Daraus folgt die wichtigste praktische Bedingung: Ohne ISO 27001 geht es nicht. Eine Zertifizierung nach 27701 ist nur zusammen mit oder aufbauend auf einer Zertifizierung nach 27001 möglich. Wer nur den Datenschutz zertifizieren lassen will, ist hier falsch.

Die Norm unterscheidet außerdem nach Rolle: Es gibt getrennte Anforderungssätze für Verantwortliche und für Auftragsverarbeiter. Wer beides ist – der Regelfall bei Dienstleistern – erfüllt beide.

Was sie zusätzlich verlangt

Gegenüber der reinen Informationssicherheit kommen die Themen hinzu, die das Datenschutzrecht prägen:

  • Rollen und Verantwortlichkeiten für den Datenschutz, einschließlich der Benennung einer zuständigen Person
  • Rechtsgrundlagen und Zwecke je Verarbeitung – das Gegenstück zum Verarbeitungsverzeichnis
  • Umgang mit Betroffenenrechten, mit Fristen und Verfahren
  • Einwilligungen einholen, dokumentieren und widerrufbar halten
  • Datenminimierung und Löschung, technisch umgesetzt
  • Verträge mit Auftragsverarbeitern und die Kontrolle ihrer Einhaltung
  • Übermittlungen in Drittländer mit Grundlage und Dokumentation
  • Folgenabschätzungen für risikoreiche Verarbeitungen
  • Meldeprozesse für Verletzungen des Schutzes personenbezogener Daten

Wer diese Liste liest, erkennt: Es ist im Wesentlichen das, was die DSGVO ohnehin verlangt – aber in der Struktur eines Managementsystems, mit Zielen, Kennzahlen, internem Audit und Managementbewertung.

Belegt sie DSGVO-Konformität?

Nein – und diese Frage ist der Grund für die meisten Enttäuschungen.

Ein Zertifikat nach ISO 27701 ist keine Zertifizierung nach Art. 42 DSGVO. Solche Zertifizierungen setzen ein von der Aufsichtsbehörde genehmigtes Verfahren voraus; die ISO-Norm ist ein internationaler Standard, der nicht auf das europäische Recht zugeschnitten ist. Sie kennt Begriffe wie „PII-Verantwortlicher”, nicht die Systematik der Verordnung.

Was das Zertifikat leistet, ist etwas anderes und durchaus wertvoll: Es belegt, dass eine Organisation für den Datenschutz existiert und wirksam ist. Gegenüber Kunden, in Ausschreibungen und in Lieferantenaudits ist das ein starkes Argument – und es erspart die immer gleichen Fragebögen.

Was es nicht leistet: die Aussage, dass jede einzelne Ihrer Verarbeitungen rechtmäßig ist. Diese Prüfung bleibt Aufgabe des Datenschutzbeauftragten.

Für wen sich der Schritt lohnt

Für Auftragsverarbeiter. Wer im Auftrag anderer Daten verarbeitet – Rechenzentren, Softwareanbieter, Dienstleister im Personalwesen –, wird ständig geprüft. Ein Zertifikat kürzt diese Prüfungen ab und ist häufig Voraussetzung für größere Aufträge.

Für Unternehmen mit bestehender ISO 27001. Der zusätzliche Aufwand ist überschaubar, weil das Managementsystem steht. Häufig fehlen nur die datenschutzspezifischen Nachweise – und die sollten ohnehin vorliegen.

Nicht lohnend ist der Weg für Unternehmen ohne Managementsystem, die nur einen Nachweis für den Datenschutz suchen. Dafür ist der Aufbau eines vollständigen ISMS ein unverhältnismäßiger Umweg; siehe ISMS aufbauen und, für den schlanken Einstieg, VdS 10000.

Der Weg zur Zertifizierung

Der Ablauf entspricht dem der ISO 27001: Geltungsbereich festlegen, Lücken erheben, Dokumentation ergänzen, internes Audit, Managementbewertung, Zertifizierungsaudit in zwei Stufen. Die Erweiterung wird üblicherweise im selben Audit mitgeprüft, was Kosten spart.

Wo Sie stehen, zeigt eine Gegenüberstellung Ihrer vorhandenen Datenschutzdokumentation mit den Anforderungen der Norm – das ist meist ein Termin und keine Projektphase.

Kontakt

Sie haben ein ISMS und fragen sich, ob die Erweiterung sich lohnt? Das hängt daran, wer von Ihnen Nachweise verlangt.