ISO 27018:2019 Cloud-Datenschutz
ISO 27018 Checkliste: Ist Ihr Cloud-Dienst bereit?
Diese Checkliste folgt den Kapiteln 4 bis 10 der Norm und nennt für jeden Punkt die Nachweise, die ein Cloud-Anbieter normalerweise schon besitzt. Wer die Punkte durchgeht, sieht sofort, wo noch ein Dokument, ein Vertrag oder ein Prozess fehlt. Danach lässt sich der Stand in der Selbstbeurteilung bestätigen.
01: Aufbau
Wie ist die ISO 27018 Checkliste aufgebaut?
ISO 27018:2019 regelt, wie Sie als Auftragsverarbeiter personenbezogene Daten in der Public Cloud schützen. Die Norm erweitert ISO 27001 um Datenschutzkontrollen. Deshalb enthält die Checkliste zuerst die Punkte des Managementsystems und dann die Kontrollen, die direkt die Verarbeitung der Daten betreffen.
Jeder Punkt unten ist als Frage gedacht, die Sie mit Ja beantworten können, wenn ein Nachweis vorliegt. Der Nachweis ist meist ein Dokument, ein Vertrag oder ein Protokoll. Die Tabelle zeigt vorab, welches Kapitel welchen Nachweistyp verlangt.
| Kapitel | Thema | Typischer Nachweis |
|---|---|---|
| 4 Kontext | Rolle und Geltungsbereich | Scope-Dokument, Auftragsverarbeitungsverträge |
| 5 Führung | Verantwortung der Leitung | Datenschutzrichtlinie, Rollenbeschreibung |
| 6 Planung | Risiken und Ziele | Risikoregister, Folgenabschätzung |
| 7 Unterstützung | Schulung und Dokumentation | Schulungsliste, Dokumentenübersicht |
| 8 Betrieb | Umgang mit PII | Löschkonzept, Unterauftragnehmerliste, Incident-Prozess |
| 9 Bewertung | Überprüfung der Wirksamkeit | Auditbericht, Protokoll der Managementbewertung |
| 10 Verbesserung | Korrekturen | Massnahmenliste mit Status |
02: Kapitel 4 und 5
Checkliste Kontext und Führung: Rolle, Geltungsbereich, Verantwortung
Diese Punkte klären, für wen Sie welche Daten verarbeiten und wer im Unternehmen dafür geradesteht. Kunden fragen im Lieferantenfragebogen meist zuerst danach.
Rolle als Auftragsverarbeiter ist festgelegt
Sie wissen, für welche Dienste Sie Daten im Auftrag Ihrer Kunden verarbeiten. Nachweis: Auftragsverarbeitungsverträge und eine kurze Rollenbeschreibung in der Dokumentation.
Geltungsbereich ist beschrieben
Dienste, Standorte und Datenarten sind benannt. Nachweis: Scope-Dokument und eine Übersicht der eingesetzten Systeme.
Gesetzliche und vertragliche Anforderungen sind erfasst
DSGVO, Schweizer DSG und Kundenverträge sind in einer Liste zusammengeführt. Nachweis: Anforderungsregister mit Verantwortlichem.
Die Leitung hat eine Datenschutzrichtlinie verabschiedet
Die Richtlinie nennt den Umgang mit PII ausdrücklich. Nachweis: unterzeichnete Richtlinie oder Beschluss im Protokoll.
Verantwortlichkeiten sind zugewiesen
Eine Person ist für Datenschutz in der Cloud-Verarbeitung zuständig. Nachweis: Organigramm oder Funktionsbeschreibung.
03: Kapitel 6 und 7
Checkliste Planung und Unterstützung: Risiken, Schulung, Dokumentation
Hier geht es um Vorbereitung. Wer Risiken kennt und sein Team geschult hat, besteht den Rest der Prüfung deutlich leichter.
Risiken für personenbezogene Daten sind bewertet
Dazu gehört eine Datenschutz-Folgenabschätzung, wo die Verarbeitung ein hohes Risiko birgt. Nachweis: Risikoregister und dokumentierte Folgenabschätzung.
Datenschutzziele haben Massnahmen
Ein Ziel wie «Löschanfragen werden innert definierter Frist erledigt» ist mit einer Massnahme verknüpft. Nachweis: Zielliste mit Verantwortlichem und Termin.
Mitarbeitende sind geschult und zur Vertraulichkeit verpflichtet
Wer Zugriff auf Kundendaten hat, kennt die Regeln. Nachweis: Schulungsliste und unterzeichnete Vertraulichkeitserklärungen.
Dokumente sind gelenkt
Richtlinien tragen Version, Datum und Freigabe. Nachweis: Dokumentenübersicht mit Änderungshistorie.
Kunden erfahren, wie ihre Daten verarbeitet werden
Die Verarbeitung ist transparent beschrieben, inklusive Standorte der Verarbeitung. Nachweis: Leistungsbeschreibung, Datenschutzinformation, Standortangaben im Vertrag.
04: Kapitel 8
Checkliste Betrieb: die Datenschutzkontrollen für PII
Dieses Kapitel ist der Kern von ISO 27018. Es entscheidet, ob Ihr Dienst Kundendaten tatsächlich so behandelt, wie der Vertrag es verspricht.
Zweckbindung ist durchgesetzt
Sie verarbeiten PII nur nach Weisung des Kunden, nicht für eigene Zwecke wie Werbung. Nachweis: Weisungsregelung im Vertrag und ein Berechtigungskonzept, das andere Zugriffe ausschliesst.
Löschung und Rückgabe funktionieren
Kunden können ihre Daten exportieren und löschen lassen, auch aus Backups und temporären Dateien. Nachweis: Löschkonzept, Exportfunktion, Löschprotokolle.
Unterauftragnehmer sind datenschutzkonform eingebunden
Jeder Unterauftragnehmer ist erfasst und an dieselben Datenschutzpflichten gebunden. Nachweis: aktuelle Liste, Verträge, Information der Kunden bei Änderungen.
Datenpannen werden gemeldet
Ein Ablauf regelt, wer wann welchen Kunden informiert. Nachweis: Incident-Prozess, Meldevorlage, Protokoll einer Übung oder eines realen Falls.
Zugriffe auf PII sind begrenzt und nachvollziehbar
Nur berechtigte Personen greifen auf Kundendaten zu. Nachweis: Rollenkonzept und Zugriffsprotokolle.
Offenlegungsanfragen sind geregelt
Verlangt eine Behörde Daten, ist klar, wer prüft und wann der Kunde informiert wird. Nachweis: dokumentierter Ablauf mit Zuständigkeit.
05: Kapitel 9 und 10
Checkliste Bewertung und Verbesserung: Wirksamkeit belegen
Ein System, das nie geprüft wird, bleibt Papier. Diese vier Punkte zeigen, dass Ihre Kontrollen laufend kontrolliert werden.
Interne Prüfung hat stattgefunden
Jemand ausserhalb des geprüften Bereichs hat die Kontrollen angeschaut. Nachweis: Auditbericht mit Feststellungen.
Die Leitung bewertet das System
Mindestens einmal im Jahr werden Ergebnisse, Vorfälle und Ziele besprochen. Nachweis: Protokoll der Managementbewertung.
Abweichungen führen zu Korrekturen
Jede Feststellung hat eine Ursache, eine Massnahme und einen Abschluss. Nachweis: Massnahmenliste mit Status.
Kennzahlen sind definiert
Zum Beispiel Bearbeitungszeit von Löschanfragen oder Meldezeit bei Datenpannen. Nachweis: Auswertung der letzten zwölf Monate.
06: Zertify
Wie bestätigen Sie die Checkliste mit Zertify?
Die Selbstbeurteilung für ISO 27018 besteht aus 32 Ja/Nein-Fragen. 11 davon sind Pflichtanforderungen der Norm und müssen alle mit Ja beantwortet werden. Bei den übrigen 21 Fragen sind mindestens 14 Ja-Antworten nötig. Wer die Checkliste oben abgearbeitet hat, kennt die Antworten.
Das Zertifikat wird von der G6 Agency AG unter Lizenz von SICE ausgestellt. SICE prüft jede Beurteilung, bevor das Zertifikat entsteht. Nach bestandener Beurteilung und Zahlung liegt es innert 4 Stunden vor. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code auf dem PDF verifizieren. Ein Einkauf oder ein Kunde kann also selbst nachprüfen, ob es echt ist.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive der jährlichen Online-Rezertifizierung. Das Zertifikat gilt 3 Jahre. Es gibt keine Vor-Ort-Prüfung. Wer den klassischen Weg mit Audit durch eine Zertifizierungsstelle sucht, findet den Vergleich im Leitfaden.
07: FAQ
Häufige Fragen zur ISO 27018 Checkliste
08: Leitfaden
Verwandte Seiten
Prüfen Sie Ihren Stand gegen ISO 27018
Beantworten Sie die 32 Fragen und sehen Sie, ob Ihr Cloud-Dienst die Anforderungen erfüllt.
Kostenlos und ohne Registrierung.