ISO 27018 Cloud-Datenschutz
ISO 27018 Beratung: Wann Sie einen Berater brauchen und wann nicht
Die Norm schreibt keine externe Beratung vor. Ein Berater lohnt sich, wenn Ihnen Prozesse für Löschung, Unterauftragnehmer und Datenpannen noch fehlen. Sind sie vorhanden, kommen Sie mit dem Online-Selbstassessment von Zertify ohne Beratungsprojekt zum Zertifikat.
01: Ausgangslage
Braucht man für ISO 27018 einen Berater?
Nein, zwingend ist das nicht. Entscheidend ist, ob Ihr Unternehmen als Auftragsverarbeiter die Datenschutzkontrollen für personenbezogene Daten in der Cloud schon im Betrieb hat und belegen kann.
Ein Berater hilft dort, wo Prozesse fehlen. Zum Beispiel gibt es keinen dokumentierten Ablauf, wie Kundendaten gelöscht oder zurückgegeben werden. Oder die Unterauftragnehmer sind nirgends vollständig erfasst, und für die Meldung einer Datenpanne ist niemand zuständig. Sind diese Punkte geregelt, fehlt meist nur noch der Nachweis gegenüber Kunden.
Die Norm baut auf ISO 27001 auf. Beratungsangebote bündeln beide Normen deshalb häufig in einem Projekt. Ob Sie das brauchen, hängt davon ab, was Ihre Kunden im Supplier Questionnaire tatsächlich verlangen.
02: Leistungen
Was ein Berater bei ISO 27018 konkret tut
Der Ablauf ist von Anbieter zu Anbieter ähnlich. Die Arbeit gliedert sich in diese Schritte:
Bestandsaufnahme
Der Berater klärt, welche personenbezogenen Daten Sie in welcher Cloud verarbeiten und in welcher Rolle. Danach gleicht er den Ist-Zustand mit den Anforderungen der Norm ab und hält die Lücken schriftlich fest.
Richtlinien und Verfahren
Er formuliert oder überarbeitet die Regeln zu Zweckbindung, Löschung und Rückgabe von Daten sowie zum Umgang mit Unterauftragnehmern.
Verträge prüfen
Auftragsverarbeitungsverträge mit Kunden und Verträge mit Ihren eigenen Unterauftragnehmern werden auf Widersprüche zu diesen Regeln geprüft.
Datenschutz-Folgenabschätzung
Wo die Verarbeitung ein erhöhtes Risiko mit sich bringt, begleitet er die Folgenabschätzung und dokumentiert das Ergebnis.
Meldeprozess für Datenpannen
Er legt fest, wer eine Verletzung erkennt, wer sie bewertet und wie Ihre Kunden benachrichtigt werden. Meist wird der Ablauf einmal durchgespielt.
Zusätzlich schulen viele Berater die Mitarbeitenden, die mit Kundendaten arbeiten, und bereiten die Unterlagen für ein Audit vor.
03: Kosten
Umfang und Tagessätze einer ISO 27018 Beratung
Der Aufwand hängt vom Ausgangszustand ab. Die Tagessätze von Beratern für Informationssicherheit und Datenschutz liegen in der Schweiz indikativ zwischen 1'200 und 2'000 CHF. Die folgende Tabelle rechnet mit diesem Bereich.
| Ausgangslage | Beratungsaufwand | Honorar |
|---|---|---|
| Prozesse vorhanden, Nachweis fehlt | 2 bis 5 Tage | ca. 2'400 bis 10'000 CHF |
| Prozesse teilweise umgesetzt | 6 bis 15 Tage | ca. 7'200 bis 30'000 CHF |
| Kaum Dokumentation, ISO 27001 im selben Projekt | 15 bis 30 Tage | ca. 18'000 bis 60'000 CHF |
Dazu kommen bei der klassischen Route die Gebühren der Zertifizierungsstelle für das Audit vor Ort. Holen Sie mehrere Offerten ein und verlangen Sie, dass der Umfang in Tagen und Ergebnissen beschrieben ist.
04: Entscheidung
Wann ein Berater sinnvoll ist und wann das Selbstassessment reicht
Die Frage lässt sich an der Ausgangslage beantworten, nicht am Budget.
- Berater sinnvoll
- Sie müssen Löschkonzept, Unterauftragnehmer-Management oder Meldeprozess erst aufbauen. Ihre Datenflüsse sind komplex, etwa mit vielen Unterauftragnehmern oder mehreren Cloud-Umgebungen. Oder Sie wollen ISO 27001 und ISO 27018 gemeinsam einführen.
- Selbstassessment reicht
- Die Kontrollen laufen bereits im Betrieb, und Sie können sie belegen. Ein Kunde, ein Einkauf oder eine Ausschreibung verlangt einen Nachweis, und Sie brauchen ihn in dieser Woche, nicht in drei Monaten.
- Beides kombiniert
- Sie starten mit dem Assessment und sehen, welche Fragen offen bleiben. Nur diese Punkte geben Sie bei Bedarf an einen Berater ab.
05: Zertify
ISO 27018 Zertifikat ohne Beratungsprojekt
Bei Zertify beantworten Sie 32 Ja/Nein-Fragen zu ISO 27018. 11 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 21 Fragen müssen mindestens 14 mit Ja beantwortet sein. Das Assessment ist kostenlos und braucht kein Konto.
Haben Sie bestanden und bezahlt, erhalten Sie das Zertifikat innerhalb von 4 Stunden. Es wird von der G6 Agency AG unter Lizenz von SICE ausgestellt, und SICE prüft jedes Assessment, bevor das Zertifikat erscheint. Ein Audit vor Ort findet nicht statt. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code auf dem PDF verifizieren, Ihr Kunde kann das selbst nachprüfen.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive der jährlichen Online-Rezertifizierung. Das Zertifikat gilt 3 Jahre. Das Jahresabo verlängert sich automatisch und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Dann endet das Zertifikat mit dem bezahlten Jahr. Für 2 Normen gibt es 20% Rabatt, ab 3 Normen 30%, auch auf die Jahresgebühr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MWST enthalten.
06: Vorbereitung
So bereiten Sie das Assessment ohne Berater vor
Klären Sie vorab fünf Punkte. Wer sie sauber beantworten kann, beantwortet auch die Fragen im Assessment ohne Mühe.
Datenflüsse erfassen
Welche personenbezogenen Daten Ihrer Kunden liegen wo, und wer im Team hat Zugriff?
Rolle festhalten
Verarbeiten Sie die Daten im Auftrag Ihrer Kunden und nach deren Weisung? Dann sind Sie Auftragsverarbeiter, und die Norm gilt für Sie.
Löschung und Rückgabe testen
Probieren Sie an einem Testkunden aus, ob Sie Daten vollständig zurückgeben und löschen können.
Unterauftragnehmer auflisten
Halten Sie fest, wer in Ihrem Auftrag Daten verarbeitet, und prüfen Sie, ob die Verträge die gleichen Datenschutzpflichten weitergeben.
Meldeweg bestimmen
Legen Sie fest, wer bei einer Datenpanne entscheidet und wie Kunden informiert werden.
Zeigt das Assessment Lücken, beheben Sie diese und starten es erneut. Bei einzelnen Punkten, die Sie nicht selbst lösen können, genügt ein gezielter Beratungstag statt eines Projekts.
07: FAQ
Häufige Fragen zur ISO 27018 Beratung
08: Leitfaden
Verwandte Seiten
Prüfen Sie, ob Sie ISO 27018 ohne Beratung erfüllen
Beantworten Sie 32 Fragen und sehen Sie sofort, wo Ihr Unternehmen steht.
Kostenlos und ohne Registrierung.