ISO 27701: Erstes Datenschutz-Zertifikat mit internationaler Geltung

Als Erweiterung zu einem Informationssicherheits-Managementsystem werden bei einem Zertifizierungsaudit nach ISO 27701 die Datenschutz-Anforderungen ebenfalls auditiert. Datenschutz damit wird zum integralen Bestandteil des Gesamtsystems. [...]

Mit CIS – im Bild CIS-Prokurist Klaus Veselko – wurde nun in Österreich die erste Zertifizierungsgesellschaft für ISO 27701 durch das Wirtschaftsministerium akkreditiert.
Mit CIS – im Bild CIS-Prokurist Klaus Veselko – wurde nun in Österreich die erste Zertifizierungsgesellschaft für ISO 27701 durch das Wirtschaftsministerium akkreditiert.

Während die EU beim Thema Datenschutz hohe Strafen vorsieht, ist ein anerkanntes Datenschutz-Zertifizierungsverfahren bis heute ausständig. Besonders prekär ist die Situation, weil ein Daten-Eigentümer mithaftet, wenn bei seinem Provider eine Datenpanne passiert und er sich zuvor keinen Nachweis für sorgfältiges Vorgehen eingeholt hat. Ohne anerkannte Zertifizierung war dies bis dato schwierig.

Abhilfe soll die Zertifizierung nach ISO 27701 für Datenschutzmanagement schaffen, welche als Addon zu dem weltweit anerkannten Standard für Informationssicherheit ISO 27001 konzipiert ist. In Österreich wurde nun mit der CIS die erste Zertifizierungsgesellschaft für ISO 27701 durch das Wirtschaftsministerium akkreditiert. „Da die Datenschutzmanagement-Norm auf dem internationalen Standard für Informationssicherheit aufbaut, ist dies die bisher einzige Datenschutz-Zertifizierung mit internationaler Tragweite – anwendbar für Organisationen aller Größen und Branchen“, betont CIS-Prokurist Klaus Veselko.

Globale Vorreiter setzen auf ISO 27701

Einige Global Player sind bereits weltweite Vorreiter: So hat Microsoft jene Teile der IT-Infrastruktur für Cloud Services wie Dynamics oder Azure nach ISO 27701 zertifizieren lassen. Auch IT-Größen wie OneTrust oder Infosys setzen auf die neue Datenschutz-Zertifizierung aus dem Hause ISO.

Grundsätzlich ist der Standard eine Subnorm der ISO-27000-Familie. „Als Erweiterung zu einem Informationssicherheits-Managementsystem werden bei einem Zertifizierungsaudit die Datenschutz-Anforderungen ebenfalls auditiert. Datenschutz wird zum integralen Bestandteil des Gesamtsystems und ist dann in dieser Form zertifizierbar“, erklärt Veselko. „Das auditierte Unternehmen erhält ein eigenes Zertifikat für Datenschutzmanagement nach ISO 27701 – als Vertrauenssignal für Kunden und Lieferanten.“

Rechtssicherheit durch Sorgfaltsprinzip

Ein wichtiger Punkt ist die erzielbare Rechtssicherheit. Nach aktuellem Stand werden von der EU-Kommission jene Zertifizierungsverfahren anerkannt werden, welche gemäß Art. 42 der Datenschutz-Grundverordnung (DSGVO) auf Prozesse und Produkte abzielen – und nicht auf ein Managementsystem, wie es bei ISO 27701 der Fall ist. Allerdings hilft im Behördenverfahren oder vor Gericht letztendlich nicht das „Pickerl“ auf einem IT-Service. „Haftungsminimierend wirkt aber sehr wohl ein Nachweis, wie im Unternehmen mit dem Datenschutz tagtäglich umgegangen wird – also, welche Maßnahmen gesetzt werden und die entsprechende Dokumentation dazu“, erläutert Rechtsanwalt und Datenschutzexperte Dr. Markus Frank.

Systematisches Monitoring für DSGVO-Compliance

Vor diesem Hintergrund ist mit einer ISO-27701-Zertifizierung eine hohe Rechtssicherheit zu erzielen, wenn das System nach der Zertifizierung ernsthaft gelebt wird: Denn die DSGVO fordert „geeignete technische und organisatorische Maßnahmen und Verfahren“ für die Datenverarbeitung. „Derart systematische Anforderungen lassen sich mit einem Datenschutzmanagement-System besser erfüllen als ohne“, unterstreicht CIS-Auditor Robert Jamnik. „Die System-immanente Logik des Monitorings, der ständigen Optimierung und Dokumentation gemäß ISO 27701 ermöglichen eine höchstmögliche DSGVO-Compliance.“


Mehr Artikel

News

Die Zukunft des Container-Managements

Die Cloud-native Landschaft hat Unternehmen und Technologie in den letzten zehn Jahren verändert, und es ist klar, dass ihre Entwicklung noch lange nicht abgeschlossen ist. Mit Containern, Microservices und Kubernetes an vorderster Front definiert das Ökosystem weiterhin neu, wie Unternehmen Anwendungen erstellen, bereitstellen und verwalten. […]

Dominic Rizzo, Portfoliomanager bei T. Rowe Price (c) T. Rowe Price
Kommentar

Auswirkungen des KI-Modells von DeepSeek auf den Markt

Das chinesische Unternehmen für künstliche Intelligenz, DeepSeek, hat bekannt gegeben, dass es ein Open-Source-Modell für große Sprachen entwickelt hat, das relativ kostengünstig zu trainieren ist und weniger Energie und Rechenleistung benötigt als die führenden Anwendungen. Das Ergebnis war ein deutlicher Ausverkauf bei US-Technologieaktien – insbesondere bei Halbleiterunternehmen, die sich auf Chips für KI-Anwendungen spezialisiert haben. […]

News

Datensouveränität in einer globalisierten Welt

In einer zunehmend digitalisierten und global vernetzten Welt sind Datenschutz und -sicherheit so wichtig wie nie. Der rasante technologische Fortschritt, insbesondere im KI-Bereich, sowie geopolitische Spannungen bedeuten zusätzliche Herausforderungen. Lesen Sie hier, welche Maßnahmen Unternehmen ergreifen sollten, um Datenschutz nicht nur als Pflicht, sondern als Wettbewerbsvorteil für sich zu nutzen. […]

1 Comment

  1. Ich halte die Kernaussagen des Artikels und von Herrn Jamnik für hochgradig irreführend. Die ISO-Zertifizierung ist datenschutzrechtlich völlig unverbindlich. Es handelt sich nicht (!) um ein von den Datenschutzbehörden genehmigtes „Datenschutz-Zertifikat“ nach Art. 28 Abs. 5 DSGVO. „Höchstmögliche DSGVO-Compliance“ kann man damit weder gegenüber den Aufsichtsbehörden noch gegenüber Unternehmen nachweisen.

Leave a Reply

Your email address will not be published.


*