ISO 27018:2019 Cloud-Datenschutz
ISO 27018 Erneuerung: So bleibt Ihr Zertifikat gültig
Ein Zertify-Zertifikat für ISO 27018 gilt 3 Jahre. Jedes Jahr bestätigen Sie es in einem kurzen Online-Re-Audit, das in der Jahresgebühr enthalten ist. Hier steht, was Sie vorher im Unternehmen prüfen sollten und wie sich das vom klassischen Weg mit Audit vor Ort unterscheidet.
01: Laufzeit
Wie lange gilt ein ISO 27018 Zertifikat?
Das Zertifikat ist 3 Jahre gültig. Diese Laufzeit gilt allerdings nur zusammen mit der jährlichen Bestätigung: Sie zeigen einmal pro Jahr in einem kurzen Online-Re-Audit, dass Ihre Angaben weiterhin zutreffen.
Das Re-Audit ist keine zweite Zertifizierung. Es hält den Stand Ihrer Datenschutzkontrollen aktuell, damit das Zertifikat bei Ihren Kunden belastbar bleibt.
Erstes Jahr
Sie bestehen die Selbstbeurteilung und lösen das Zertifikat. Es trägt eine Nummer und einen QR-Code, über die jeder es öffentlich verifizieren kann.
Jährliche Bestätigung
Pro Jahr beantworten Sie das Re-Audit online. Es ist Teil der Jahresgebühr und kostet nichts zusätzlich.
Kündigung
Wenn Sie kündigen, endet das Zertifikat mit dem bezahlten Jahr.
02: Vorbereitung
Was Sie vor dem Re-Audit im Unternehmen prüfen
Ein Jahr ist in einem Cloud-Betrieb lang. Neue Subunternehmer, neue Funktionen und neue Kunden verändern, wer welche personenbezogenen Daten verarbeitet. Gehen Sie vor dem Re-Audit sechs Punkte durch.
- Unterauftragnehmer
- Gleichen Sie Ihre Liste mit den Diensten ab, die tatsächlich im Einsatz sind. Ein neuer Hosting-, Support- oder Analyseanbieter braucht einen Vertrag, der Ihre Datenschutzpflichten weitergibt.
- Zweckbindung
- Prüfen Sie, ob neue Funktionen Daten für andere Zwecke nutzen, als in den Verträgen mit Ihren Kunden festgelegt ist.
- Löschung und Rückgabe
- Spielen Sie einen echten Fall durch: Ein Kunde kündigt, seine Daten werden zurückgegeben und danach gelöscht. Funktioniert der Ablauf, so wie er beschrieben ist?
- Meldung von Datenpannen
- Kontrollieren Sie Meldekette, Zuständigkeiten und Kontaktdaten. Nach Personalwechseln sind Namen und Nummern schnell veraltet.
- Datenschutz-Folgenabschätzung
- Neue Datenkategorien oder neue Verarbeitungen sind ein Anlass, die bestehende Folgenabschätzung zu überarbeiten.
- Transparenz
- Datenschutzerklärung und Informationen an Ihre Kunden müssen zur heutigen Verarbeitung passen, nicht zu jener vom Vorjahr.
Halten Sie die Ergebnisse kurz schriftlich fest, mit Datum und verantwortlicher Person. Das entspricht dem Gedanken von Kapitel 9 (Bewertung der Leistung) und Kapitel 10 (Verbesserung) der Managementsystem-Normen.
03: Verspätung
Was passiert, wenn das Re-Audit überfällig ist?
Die 3 Jahre sind eine Obergrenze, kein Freipass. Das Zertifikat bleibt aussagekräftig, solange die jährliche Bestätigung vorliegt. Fehlt sie, können Sie gegenüber Kunden nicht mehr belegen, dass Ihre Angaben aktuell sind.
Das zählt im Alltag. Ein Einkäufer, der den QR-Code auf dem PDF scannt, landet auf der Verifikationsseite und stützt sich auf den dort angezeigten Stand. Bei einem laufenden Tender oder einem Lieferantenfragebogen wollen Sie nicht erst dann feststellen, dass die Bestätigung fehlt.
Planen Sie das Re-Audit deshalb einige Wochen vor dem Jahrestag ein. Zeigt die interne Prüfung eine Lücke, etwa einen Unterauftragnehmer ohne Vertrag, schliessen Sie diese zuerst und beantworten die Fragen danach wahrheitsgemäss.
04: Klassischer Weg
Re-Audit, Überwachungsaudit und Rezertifizierung im Vergleich
Auf dem klassischen Weg mit Audit vor Ort durch eine Zertifizierungsstelle läuft ein Dreijahreszyklus: Erstzertifizierung, jährliche Überwachungsaudits und nach drei Jahren ein Rezertifizierungsaudit. Die Auditoren besuchen Ihren Betrieb und sichten Nachweise im Gespräch.
| Merkmal | Zertify | Klassischer Weg |
|---|---|---|
| Laufzeit des Zertifikats | 3 Jahre | 3 Jahre |
| Jährliche Prüfung | Kurzes Online-Re-Audit | Überwachungsaudit |
| Prüfung nach drei Jahren | Teil des laufenden Abonnements | Rezertifizierungsaudit |
| Form | Online, ohne Besuch vor Ort | Audit durch eine Zertifizierungsstelle, meist vor Ort |
| Aufwand für Ihr Team | Fragen online beantworten | Termine koordinieren, Gespräche führen, Nachweise bereithalten |
| Kosten | 529 CHF pro Jahr inklusive Re-Audit (799 CHF im ersten Jahr) | Nach Audittagen berechnet, je Zertifizierungsstelle verschieden |
Welcher Weg für Ihre Kunden zählt, hängt von deren Anforderungen ab. Fragen Sie im Zweifel bei der Einkaufsabteilung nach, bevor Sie sich entscheiden.
05: Zertify
Erneuerung bei Zertify: Ablauf und Kosten
Die Selbstbeurteilung zu ISO 27018 besteht aus 32 Ja/Nein-Fragen. 11 davon sind Pflichtanforderungen der Norm und müssen alle mit Ja beantwortet werden. Bei den übrigen 21 Fragen braucht es mindestens 14 Ja. SICE prüft jede Beurteilung. Das Zertifikat stellt G6 Agency AG im Rahmen der Lizenz von SICE aus, innerhalb von 4 Stunden nach bestandener Beurteilung und Zahlung.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive jährlichem Online-Re-Audit. Das Abonnement verlängert sich jährlich automatisch. Sie kündigen es jederzeit im Kundenkonto auf das Ende des laufenden Jahres.
Zertifizieren Sie zwei Normen, erhalten Sie 20 % Rabatt, ab drei Normen 30 %, jeweils auch auf die Jahresgebühr. In der Schweiz und in Liechtenstein sind 8.1 % MWST im Preis enthalten. Für den Kauf brauchen Sie kein Konto.
06: FAQ
Häufige Fragen zur ISO 27018 Erneuerung
07: Leitfaden
Weiterführende Seiten
Prüfen Sie, wo Ihr Unternehmen heute steht
Die Selbstbeurteilung zu ISO 27018 zeigt, ob Ihre Datenschutzkontrollen die Anforderungen der Norm erfüllen.
Kostenlos und ohne Registrierung