ISO 27018 Anforderungen: Was Cloud-Anbieter nachweisen müssen

ISO 27018:2019 richtet sich an Anbieter, die in einer Public Cloud personenbezogene Daten (PII) für andere verarbeiten. Dazu gehören SaaS-Anbieter, Hosting-Dienste, Payroll- und HR-Software sowie E-Commerce-Plattformen. Im Datenschutzrecht heissen sie Auftragsverarbeiter: Die Daten gehören dem Kunden, Sie verarbeiten sie in dessen Auftrag.

Die Norm ist kein eigenständiges Managementsystem. Sie ergänzt ISO 27001 um Datenschutzkontrollen für genau diese Rolle. Wenn ein Kunde im Lieferantenfragebogen wissen will, wie Sie mit seinen Personendaten umgehen, geben Ihre Unterlagen zu ISO 27018 die Antwort. Die Norm unterstützt Sie bei den Pflichten aus DSGVO und Schweizer DSG, ersetzt aber keine rechtliche Prüfung.

• Die Norm ISO 27018 im Überblick

ISO 27018 setzt ein Informationssicherheits-Managementsystem voraus. Dessen Aufbau folgt den Kapiteln 4 bis 10, die Sie auch aus ISO 9001 und ISO 27001 kennen. Für ISO 27018 betrachten Sie jedes Kapitel mit Blick auf die Personendaten Ihrer Kunden.

Der eigentliche Zusatz der Norm gegenüber ISO 27001 liegt in sechs Themen. Sie beschreiben, wie ein Auftragsverarbeiter mit PII umgeht.

Transparenz

Kunden erfahren, welche Personendaten Sie wo und wofür verarbeiten und welche Unterauftragnehmer beteiligt sind. Das betrifft auch die Länder, in denen Daten gespeichert werden.

Zweckbindung

Sie verarbeiten PII nur für den Zweck, den der Kunde vorgibt. Eigene Auswertungen oder Werbung mit diesen Daten sind ohne ausdrückliche Zustimmung des Kunden ausgeschlossen.

Löschung und Rückgabe

Auf Verlangen des Kunden geben Sie PII zurück oder löschen sie. Das gilt auch für Kopien, Backups und temporäre Dateien.

Unterauftragnehmer

Wer für Sie Daten verarbeitet, etwa ein Rechenzentrumsbetreiber, wird dem Kunden offengelegt. Er wird vertraglich auf dieselben Datenschutzpflichten verpflichtet wie Sie.

Datenschutz-Folgenabschätzung

Wo eine Verarbeitung ein hohes Risiko für Betroffene birgt, beurteilen Sie dieses Risiko oder unterstützen den Kunden bei seiner Beurteilung.

Benachrichtigung bei Datenschutzverletzungen

Sie erkennen Verletzungen des Schutzes von PII und informieren den Kunden. Welche Fristen gelten, ergibt sich aus Vertrag und anwendbarem Recht.

Eine Anforderung gilt als erfüllt, wenn Sie sie belegen können. Diese fünf Unterlagen werden bei ISO 27018 am häufigsten verlangt:

1. 01

   Auftragsverarbeitungsvertrag

   Er hält Zweck, Weisungsrecht und Pflichten fest. Er ist die Grundlage für Zweckbindung und Rückgabe.

2. 02

   Verzeichnis der Verarbeitungen

   Welche Datenkategorien liegen in welchem Dienst, an welchem Standort, mit welchem Zugriff?

3. 03

   Löschkonzept

   Es regelt, wie Daten auf Kundenwunsch und nach Vertragsende gelöscht oder zurückgegeben werden, und wie Sie das protokollieren.

4. 04

   Liste der Unterauftragnehmer

   Mit Vertrag, Leistungsumfang und der Prüfung, die Sie vor der Beauftragung gemacht haben.

5. 05

   Prozess für Datenpannen

   Meldeweg, Verantwortliche, Vorlage für die Kundeninformation und ein Register der bisherigen Vorfälle.

Bei Zertify beantworten Sie 32 Ja/Nein-Fragen zu ISO 27018. 11 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 21 Fragen braucht es mindestens 14 Ja-Antworten. Die Selbstbeurteilung ist kostenlos. Ein Vor-Ort-Audit gibt es nicht; SICE prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird.

Das Zertifikat stellt die G6 Agency AG unter Lizenz von SICE aus, und zwar innerhalb von 4 Stunden nach bestandener Beurteilung und Zahlung. Es kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive kurzem Online-Re-Audit. Das Zertifikat gilt 3 Jahre. Ihre Kunden prüfen es mit Zertifikatsnummer oder QR-Code auf dem PDF auf der öffentlichen Verifizierungsseite.

Wie sich dieser Weg vom klassischen Weg mit Vor-Ort-Audit einer Zertifizierungsstelle unterscheidet, steht im Vergleich der Zertifizierungswege.

• Kostenlose Selbstbeurteilung starten
• Preise und Mehrfachrabatt
• Zertifizierungswege vergleichen

ISO 27001 beschreibt das Managementsystem für Informationssicherheit insgesamt. ISO 27017 ergänzt Sicherheitskontrollen für Cloud-Dienste. ISO 27018 konzentriert sich auf den Schutz von Personendaten in der Public Cloud.

Welche Norm Ihr Kunde verlangt, steht meist im Lieferantenfragebogen oder in der Ausschreibung. Wer mehrere Normen braucht, bekommt bei Zertify 20% Rabatt für 2 Standards und 30% für 3 oder mehr, auch auf die jährliche Gebühr.

• ISO 27001
• ISO 27017