Ihre ISO 27701 Checkliste zur Einführung

Verständnis der ISO 27701 Datenschutzerweiterung

Organisationen, die bereits eine ISO 27001-Zertifizierung erreicht haben, verfügen über ein starkes Fundament in der Informationssicherheit. Der Schutz von Daten vor Hackern ist jedoch nur die halbe Miete; Sie müssen auch die Datenschutzrechte der Personen schützen, deren Daten Sie verarbeiten. Hier kommt die Norm ISO 27701 ins Spiel. ISO 27701 ist eine Datenschutzerweiterung zur ISO 27001 und ISO 27002. Sie bietet den Rahmen für den Aufbau eines Datenschutzmanagementsystems (PIMS).

Da es sich um eine Erweiterung handelt, können Sie sich nicht unabhängig nach ISO 27701 zertifizieren lassen; sie muss zusammen mit oder nach Ihrer ISO 27001-Zertifizierung auditiert werden. Die Norm verlangt, dass Sie Ihr bestehendes Informationssicherheits-Managementsystem (ISMS) mit den Datenschutzanforderungen verknüpfen.

Ein entscheidender erster Schritt in jeder ISO 27701 Checkliste ist die Bestimmung Ihrer organisatorischen Rolle. Die Norm stellt spezifische, getrennte Anforderungen, je nachdem, ob Sie ein Verantwortlicher für personenbezogene Daten (PII-Controller) sind (Sie entscheiden, warum und wie Daten verarbeitet werden) oder ein Auftragsverarbeiter (PII-Processor) sind (Sie verarbeiten Daten im Auftrag eines Dritten). Viele moderne Organisationen fungieren als beides, was bedeutet, dass Sie Maßnahmen aus Kapitel 7 und Kapitel 8 der Norm implementieren müssen.

Phase Eins Kontext Anwendungsbereich und Daten-Mapping

Das Fundament Ihres PIMS beginnt mit Kapitel 5.1, welches verlangt, dass Sie den Kontext Ihrer Organisation aktualisieren. Während sich Ihr ISMS-Kontext auf Cybersicherheitsbedrohungen und Business Continuity konzentrierte, muss Ihr PIMS-Kontext globale Datenschutzgesetze wie die DSGVO (GDPR), den CCPA oder andere regionale Datenschutzgesetze einbeziehen.

Als Nächstes müssen Sie den Anwendungsbereich Ihres Managementsystems formell erweitern (Kapitel 5.2), um die Verarbeitung von personenbezogenen Daten einzuschließen. Um dies effektiv zu tun, müssen Sie genau verstehen, welche Daten Sie haben. Das Daten-Mapping ist wohl der zeitaufwändigste Teil der ISO 27701 Checkliste zur Implementierung.

Checkliste für das Daten-Mapping

• Identifizieren Sie alle Kategorien von personenbezogenen Daten, die von Ihrer Organisation erfasst werden.
• Dokumentieren Sie die Quelle der Daten und die Rechtsgrundlage für deren Erhebung.
• Bilden Sie den Datenfluss durch Ihre internen Systeme und externen Dienstleister ab.
• Identifizieren Sie grenzüberschreitende Datenübermittlungen und die Mechanismen zu deren Schutz.

Typische Auditorenfrage: "Wie stellen Sie sicher, dass Ihr PIMS-Anwendungsbereich alle Abteilungen und Systeme, die personenbezogene Daten verarbeiten, genau widerspiegelt?" Stellen Sie sicher, dass Ihre Erklärung zum Anwendungsbereich den Datenschutz ausdrücklich erwähnt und mit Ihrem aktualisierten Datenverzeichnis übereinstimmt. Eine häufige Abweichung ist die Entdeckung eines Schatten-IT-Systems, das personenbezogene Daten verarbeitet und vom PIMS-Anwendungsbereich ausgeschlossen wurde.

Phase Zwei Aktualisierung der Risikobewertungsmethodik

Kapitel 5.4 schreibt vor, dass Ihr Risikobewertungsprozess aktualisiert werden muss, um Datenschutzrisiken zu adressieren. Dies ist ein großer Paradigmenwechsel für Sicherheitsteams. In einem Standard-ISMS werden Risiken basierend auf ihren Auswirkungen auf die Organisation (z. B. finanzieller Verlust, Reputationsschaden) bewertet. In einem PIMS müssen Risiken basierend auf ihren Auswirkungen auf die betroffene Person bewertet werden.

Ihre aktualisierte Methodik muss die Vertraulichkeit, Integrität, Verfügbarkeit und den Datenschutz (CIA+P) der Daten berücksichtigen. Sie sollten Datenschutz-Folgenabschätzungen (DSFA) in Ihr Risikomanagement-Framework integrieren.

Schritte zur Datenschutz-Risikobewertung

• Identifizieren Sie Bedrohungen für die Privatsphäre der Betroffenen (z. B. übermäßige Datenerfassung, unbefugte Weitergabe, Aufbewahrung von Daten über die gesetzliche Frist hinaus).
• Bewerten Sie die Wahrscheinlichkeit und die potenziellen Auswirkungen dieser Bedrohungen auf die Personen.
• Wählen Sie geeignete Optionen zur Risikobehandlung aus den ISO 27701 Kapiteln 6, 7 und 8 aus.

Auditoren werden Ihr Risikoregister genau prüfen. Eine häufige Abweichung ist die Vorlage eines Risikoregisters, das nur geschäftliche Auswirkungen auflistet. Wenn Ihre Risikobewertung den potenziellen Schaden für die betroffenen Personen – wie Identitätsdiebstahl, Diskriminierung oder Verlust der Privatsphäre – nicht ausdrücklich erwähnt, werden Sie das Zertifizierungsaudit nicht bestehen.

Phase Drei Umsetzung der Maßnahmen für Verantwortliche

Wenn Ihre Organisation die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt, sind Sie ein Verantwortlicher (Controller). Kapitel 7 der ISO 27701 beschreibt die spezifischen Maßnahmen, die Sie umsetzen müssen. Verantwortliche tragen die Hauptverantwortung dafür, dass die Rechte der Betroffenen gewahrt bleiben und die Verarbeitung rechtmäßig ist.

Ihre ISO 27701 Checkliste muss robuste Mechanismen für Einwilligung und Transparenz enthalten. Sie müssen klare Datenschutzerklärungen bereitstellen, die erläutern, welche Daten erfasst werden, warum sie erfasst werden und mit wem sie geteilt werden.

Wichtige Maßnahmen für Verantwortliche

• Privacy by Design und Default: Integrieren Sie Datenschutzkontrollen in den Entwicklungslebenszyklus neuer Produkte und Dienstleistungen.
• Datenminimierung: Stellen Sie sicher, dass Sie nur die Daten erfassen, die für Ihren angegebenen Zweck unbedingt erforderlich sind.
• Betroffenenrechte: Implementieren Sie dokumentierte Verfahren zur Bearbeitung von Anfragen auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit innerhalb der gesetzlich vorgeschriebenen Fristen.
• Datenaufbewahrung: Setzen Sie automatisierte oder manuelle Prozesse durch, um personenbezogene Daten sicher zu vernichten, wenn sie nicht mehr benötigt werden.

Häufige Abweichung: Eine schriftliche Richtlinie zur Datenaufbewahrung zu haben, aber alte Kundendaten nicht tatsächlich aus Altsystemen zu löschen. Auditoren werden nach technischen Beweisen fragen, dass die Datenlöschung aktiv durchgeführt wird.

Phase Drei Fortsetzung Maßnahmen für Auftragsverarbeiter

Wenn Ihre Organisation personenbezogene Daten im Auftrag eines Kunden oder Partners verarbeitet, sind Sie ein Auftragsverarbeiter (Processor), und Kapitel 8 gilt für Sie. Auftragsverarbeiter müssen sicherstellen, dass sie nur auf dokumentierte Weisung des Verantwortlichen handeln. Sie dürfen die Daten nicht für eigene Zwecke wie Marketing oder unbefugte Analysen verwenden.

Das Lieferantenmanagement ist hier von entscheidender Bedeutung. Wenn Sie Unterauftragsverarbeiter (z. B. Cloud-Hosting-Anbieter, Analysetools von Drittanbietern) einsetzen, müssen Sie dieselben Datenschutzpflichten an diese weitergeben.

Wichtige Maßnahmen für Auftragsverarbeiter

• Verarbeitungsanweisungen: Führen Sie Aufzeichnungen über die Anweisungen des Verantwortlichen und stellen Sie sicher, dass die gesamte Verarbeitung strikt diesen entspricht.
• Management von Unterauftragsverarbeitern: Holen Sie eine schriftliche Genehmigung des Verantwortlichen ein, bevor Sie Unterauftragsverarbeiter beauftragen.
• Unterstützung des Verantwortlichen: Bieten Sie technische und organisatorische Unterstützung, um dem Verantwortlichen bei der Erfüllung von Betroffenenanfragen und der Untersuchung von Datenschutzverletzungen zu helfen.
• Datenrückgabe oder -vernichtung: Geben Sie alle personenbezogenen Daten nach Beendigung des Verarbeitungsvertrags sicher zurück oder vernichten Sie diese.

Auditoren werden verlangen, Ihre Auftragsverarbeitungsverträge (AVV) zu sehen. Eine typische Auditorenfrage lautet: "Zeigen Sie mir den Prozess, den Sie befolgen, um einen Verantwortlichen zu benachrichtigen, wenn Sie der Meinung sind, dass seine Verarbeitungsanweisungen gegen eine Datenschutzverordnung verstoßen."

Phase Vier Dokumentation Schulung und die SoA

Die Erweiterung Ihres ISMS zu einem PIMS erfordert erhebliche Aktualisierungen der Dokumentation. Zunächst müssen Sie Ihre übergeordnete Informationssicherheitsrichtlinie aktualisieren, um ausdrückliche Verpflichtungen zum Datenschutz und zur Einhaltung der Datenschutzgesetze aufzunehmen (Kapitel 5.2).

Als Nächstes müssen Sie Ihre Erklärung zur Anwendbarkeit (SoA) überarbeiten. Ihre neue SoA muss alle Maßnahmen aus ISO 27001 Anhang A sowie die relevanten PIMS-Maßnahmen aus den ISO 27701 Kapiteln 6, 7 und 8 auflisten. Für jede Maßnahme müssen Sie angeben, ob sie anwendbar ist, die Begründung für ihre Aufnahme oder ihren Ausschluss und wie sie umgesetzt wird.

Checkliste für Dokumentation und Schulung

• Aktualisieren Sie den Incident Response Plan, um spezifische Workflows und strenge Fristen für Meldungen von Datenschutzverletzungen aufzunehmen.
• Überarbeiten Sie HR-Richtlinien, um Vertraulichkeitsvereinbarungen aufzunehmen, die sich speziell auf personenbezogene Daten beziehen.
• Führen Sie rollenbasierte Datenschutzschulungen für alle Mitarbeiter durch, die mit personenbezogenen Daten umgehen.

Die Verwaltung dieser sich überschneidenden Dokumente kann chaotisch werden. Die Nutzung eines Compliance-Roadmap-Tools oder strukturierter Vorlagen, wie sie von KaliteGO bereitgestellt werden, kann Ihnen helfen, Dokumentenversionen zu verfolgen und sicherzustellen, dass während Ihrer Implementierungsreise keine obligatorischen Klauseln durchs Raster fallen.

Phase Fünf Internes Audit und Zertifizierungsvorbereitung

Bevor Sie eine externe Zertifizierungsstelle einladen können, Ihr PIMS zu bewerten, müssen Sie ein umfassendes internes Audit durchführen (Kapitel 5.9). Ihre internen Auditoren müssen objektiv sein und idealerweise eine spezifische Schulung zu Datenschutzbestimmungen und ISO 27701-Anforderungen absolviert haben. Sie müssen Stichproben von Nachweisen sowohl im Sicherheits- als auch im Datenschutzbereich prüfen.

Im Anschluss an das interne Audit muss die oberste Leitung eine Managementbewertung durchführen (Kapitel 5.10). Die Agenda für diese Bewertung muss um PIMS-spezifische Kennzahlen erweitert werden, wie z. B. das Volumen der bearbeiteten Betroffenenanfragen, Trends bei Datenschutzverletzungen und Änderungen in der globalen Datenschutzgesetzgebung.

Vorbereitung auf das externe Audit

• Stellen Sie sicher, dass alle im internen Audit festgestellten Abweichungen mit dokumentierten Korrekturmaßnahmen geschlossen werden.
• Überprüfen Sie, ob Datenschutzerklärungen, AVVs und Einwilligungsprotokolle für den Auditor leicht zugänglich sind.
• Seien Sie bereit zu demonstrieren, wie der Datenschutz in Ihre täglichen Abläufe integriert ist und nicht nur in Richtlinien steht.

Während des Stufe-1-Audits wird der Auditor Ihr PIMS-Framework und Ihre Dokumentation überprüfen. In Stufe 2 wird er Mitarbeiter befragen und die operative Wirksamkeit Ihrer Maßnahmen testen. Wenn Sie diese ISO 27701 Checkliste befolgen, bauen Sie ein belastbares System auf, das Datenschutz und Sicherheit nahtlos integriert und einen reibungslosen Weg zur Zertifizierung gewährleistet.