ISO 27018:2019 Cloud-Datenschutz
ISO 27018 Ablauf: vom Fragebogen zum verifizierbaren Zertifikat
Der Weg besteht aus einer Online-Selbstbewertung mit 32 Ja-Nein-Fragen, einer Prüfung durch SICE und dem Zertifikat innerhalb von 4 Stunden nach bestandener Bewertung und Zahlung. Einen Audit vor Ort gibt es nicht. Jedes Zertifikat lässt sich öffentlich verifizieren.
01: Überblick
Die sechs Schritte zum ISO 27018 Zertifikat
Der gesamte Ablauf findet online statt. Sie brauchen weder einen Termin mit einem Auditor noch ein Benutzerkonto, um zu bestellen.
Selbstbewertung starten
Sie öffnen die Bewertung für ISO 27018:2019 und beantworten 32 Fragen mit Ja oder Nein. Der Start ist kostenlos.
Elf Pflichtfragen beantworten
11 der 32 Fragen bilden zwingende Anforderungen der Norm. Alle elf müssen Sie mit Ja beantworten.
Übrige Fragen beantworten
Bei den restlichen 21 Fragen sind mindestens 14 Ja-Antworten nötig. Höchstens sieben dürfen also offen bleiben.
Bestellen und bezahlen
Nach bestandener Bewertung zahlen Sie 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive jährlichem Online-Re-Audit.
Prüfung durch SICE
SICE prüft jede Bewertung, bevor ein Zertifikat ausgestellt wird.
Zertifikat erhalten
G6 Agency AG stellt das Zertifikat unter Lizenz von SICE aus, innerhalb von 4 Stunden nach bestandener Bewertung und Zahlung. Sie erhalten es als PDF mit Zertifikatsnummer und QR-Code.
02: Fragen
Was die 32 Fragen zu ISO 27018 abdecken
ISO 27018 erweitert ISO 27001 um Datenschutzkontrollen für Cloud-Anbieter, die als Auftragsverarbeiter personenbezogene Daten (PII) in der Public Cloud verarbeiten. Die Fragen orientieren sich an diesen Kontrollen. Sie betreffen folgende Anforderungen der Norm:
- Transparenz
- Ihre Kunden wissen, wie und wo ihre Daten verarbeitet werden.
- Zweckbindung
- Personenbezogene Daten werden nur für den vereinbarten Zweck verarbeitet, nicht für eigene Auswertungen.
- Löschung und Rückgabe
- Sie können PII auf Verlangen zurückgeben und löschen.
- Unterauftragnehmer
- Wer in Ihrer Kette Daten verarbeitet, ist datenschutzkonform eingebunden.
- Datenschutz-Folgenabschätzung
- Risiken für die Betroffenen werden vor der Verarbeitung bewertet.
- Datenschutzverletzungen
- Kunden werden bei einer Datenpanne benachrichtigt, und der Ablauf dafür ist geregelt.
Die Norm unterstützt Sie bei den Pflichten aus DSGVO und Schweizer DSG. Sie ersetzt aber keine rechtliche Beratung zu Ihrem Einzelfall.
03: Vorbereitung
Was Sie vor dem Start bereithalten sollten
Beantworten Sie die Fragen so, wie Ihr Unternehmen heute arbeitet. Die Bewertung ist eine Selbstauskunft, und SICE prüft sie vor der Ausstellung.
Legen Sie vorab diese Unterlagen zurecht: die Liste Ihrer Unterauftragnehmer, Ihre Verträge zur Auftragsverarbeitung, das Vorgehen bei Löschung und Rückgabe von Kundendaten und den Ablauf bei einer Datenpanne. Wer bereits nach ISO 27001 arbeitet, findet viele dieser Dokumente schon vor.
Fällt bei einer Pflichtfrage ein Nein an, schliessen Sie zuerst die Lücke. Da die Bewertung kostenlos ist, können Sie danach erneut beginnen.
04: Nach Ausstellung
Zertifikat, Verifizierung und jährliches Re-Audit
Das PDF trägt eine Zertifikatsnummer und einen QR-Code. Ihr Kunde oder die Einkaufsabteilung scannt den Code oder gibt die Nummer auf der öffentlichen Verifizierungsseite ein und sieht, ob das Zertifikat gültig ist. Sie können es also direkt in ein Angebot, eine Ausschreibung oder einen Lieferantenfragebogen einfügen.
Das Zertifikat gilt 3 Jahre. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit, das in der Jahresgebühr enthalten ist.
Die Verlängerung läuft als automatisches Jahresabo. Sie können im Kundenkonto jederzeit zum Ende des laufenden Jahres kündigen. Das Zertifikat endet dann mit dem bezahlten Jahr.
05: Vergleich
Zertify oder klassische Route mit Audit vor Ort
Verlangt ein Kunde ausdrücklich einen Audit vor Ort, ist die klassische Route die passende Wahl. Fragt er nur nach einem belegbaren ISO-Nachweis, reicht oft die Online-Variante. Klären Sie das am besten vorab mit der Einkaufsabteilung.
| Punkt | Zertify | Klassische Route mit Audit vor Ort |
|---|---|---|
| Bewertung | Online-Selbstbewertung mit 32 Fragen | Audit vor Ort durch eine Zertifizierungsstelle |
| Termine | Keine Terminabstimmung, Start jederzeit | Termine mit dem Auditor nötig |
| Dauer bis Zertifikat | 4 Stunden nach bestandener Bewertung und Zahlung | Richtwert: mehrere Wochen bis Monate |
| Kosten | 799 CHF im ersten Jahr, danach 529 CHF pro Jahr inklusive Online-Re-Audit | Richtwert: mehrere tausend Franken, je nach Offerte |
| Nachweis | Öffentliche Verifizierung per Nummer und QR-Code | Zertifikat der Zertifizierungsstelle |
06: Zertify
Wie Zertify zu Ihrem Vorgehen passt
Wenn Sie Cloud- oder SaaS-Dienste anbieten und Kunden nach einem Datenschutznachweis fragen, gehen Sie die Schritte oben in einer Sitzung durch. Die Anforderungen der Norm finden Sie auf der Seite zu ISO 27018, die Kosten auf der Preisseite.
Zertifizieren Sie mehrere Normen, gilt ein Rabatt von 20% bei 2 Standards und 30% ab 3 Standards, auch auf die Jahresgebühr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% Mehrwertsteuer im Preis enthalten.
07: FAQ
Häufige Fragen zum ISO 27018 Ablauf
08: Leitfaden
Weiterführende Seiten
Prüfen Sie, wo Sie bei ISO 27018 stehen
Beantworten Sie die 32 Fragen und sehen Sie sofort, ob Ihr Unternehmen die Anforderungen erfüllt.
Kostenlos und ohne Registrierung.