ISO 27018 · IT-Branche
ISO 27018 für IT-Branche: Cloud-Datenschutz belegen
Kunden, Einkaufsabteilungen und Ausschreibungen wollen von IT-Anbietern wissen, wie sie Personendaten in der Cloud schützen. ISO 27018 liefert dafür den Nachweis. Mit Zertify beantworten Sie 32 Fragen online und erhalten das Zertifikat innert 4 Stunden nach bestandener Selbstbeurteilung und Zahlung.
01: Nachfrage
Warum fragen Kunden in der IT-Branche nach ISO 27018?
Ein IT-Anbieter verarbeitet Personendaten selten für sich selbst. Er hostet das CRM einer Treuhandfirma, betreibt die Lohnsoftware einer Gemeindeverwaltung oder sichert die Patientendaten einer Praxisgruppe. Damit ist er Auftragsverarbeiter. Die Verantwortung bleibt beim Kunden, und deshalb will der Kunde sehen, wie sein Anbieter mit den Daten umgeht.
Der Beleg taucht zuerst im Lieferantenfragebogen auf. Eine Zeile wie «Zertifizierung nach ISO 27018 vorhanden?» lässt sich mit einem Zertifikat in einem Wort beantworten. Ohne Zertifikat folgen Textblöcke, Rückfragen und im ungünstigen Fall ein Ausschluss durch den Einkauf. In Ausschreibungen kann das Zertifikat ein Eignungskriterium sein oder Punkte in der Bewertung bringen. Auch Reseller, die Ihre Software in eigene Angebote einbauen, prüfen vorher, ob Sie die Datenschutzpflichten in der Kette tragen.
ISO 27001 und ISO 27018 beantworten unterschiedliche Fragen. Die erste zeigt, dass Informationssicherheit im Unternehmen geführt wird. Die zweite betrifft die Personendaten, die Kunden Ihnen anvertrauen, und unterstützt Sie bei den Pflichten aus DSGVO und Schweizer DSG. Verlangt eine Ausschreibung ausdrücklich eine Vor-Ort-Prüfung durch eine Zertifizierungsstelle, lesen Sie den Wortlaut genau. Den Vergleich der Wege finden Sie im Leitfaden.
02: Risiken
Welche Risiken der IT-Branche deckt ISO 27018 ab?
Die Norm schaut auf Stellen, an denen in IT-Betrieben Personendaten unbemerkt den vereinbarten Rahmen verlassen. Sechs davon kommen im Alltag laufend vor.
- Zweckbindung
- Das Support-Team darf Kundendaten nur für den erteilten Auftrag verwenden. Produktivdaten als Testdaten in die Entwicklung zu kopieren, ist ohne Weisung des Kunden nicht vorgesehen.
- Löschung und Rückgabe
- Kündigt ein Kunde seinen SaaS-Vertrag, braucht es einen Datenexport und eine Löschung, die Backups und Logs einschliesst.
- Unterauftragnehmer
- Rechenzentrum, E-Mail-Versand, Monitoring-Tool: Jeder Dienstleister, der Personendaten berührt, ist vertraglich eingebunden und dem Kunden bekannt.
- Meldung von Datenpannen
- Wird ein Storage-Bucket versehentlich öffentlich freigegeben, erfährt der Kunde es rechtzeitig und mit Angaben, die ihm bei seiner eigenen Meldung helfen.
- Transparenz
- Kunden können nachvollziehen, in welchen Ländern ihre Daten liegen und wer im Unternehmen darauf zugreifen darf.
- Datenschutz-Folgenabschätzung
- Bevor eine neue Auswertungsfunktion auf Nutzerdaten zugreift, wird das Risiko für die betroffenen Personen bewertet und festgehalten.
03: Umsetzung
Wie erfüllt ein IT-Unternehmen die Anforderungen in der Praxis?
Die meisten Bausteine existieren in einem IT-Betrieb bereits, nur selten sind sie dokumentiert. Die Tabelle zeigt, wie sich die Anforderungen mit vorhandenen Abläufen belegen lassen.
| Anforderung | Beispiel aus dem Betrieb | Möglicher Nachweis |
|---|---|---|
| Transparenz | Ein Managed-Service-Provider führt eine Liste der Standorte und Unterauftragnehmer und gibt sie Kunden auf Anfrage ab. | Standort- und Lieferantenliste |
| Zweckbindung | Support greift nur mit Ticket und Freigabe des Kunden auf Produktivdaten zu. | Ticketverlauf, Zugriffsprotokoll |
| Löschung und Rückgabe | Ein SaaS-Anbieter exportiert beim Vertragsende die Daten und löscht sie nach einer festen Frist, Backups nach dem Rotationszyklus. | Löschprotokoll, Beschrieb des Exports |
| Unterauftragnehmer | Der Hosting-Partner ist per Auftragsverarbeitungsvertrag an dieselben Pflichten gebunden. | Verträge, Lieferantenverzeichnis |
| Folgenabschätzung | Vor dem Livegang einer Analysefunktion wird das Risiko bewertet und von der Geschäftsleitung abgenommen. | Bewertungsdokument |
| Meldung bei Datenpannen | Ein Notfallprozess legt Zuständigkeiten fest und enthält eine Vorlage für die Information der Kunden. | Incident-Prozess, Übungsprotokoll |
Welche Nachweise im Einzelfall genügen, zeigt die Selbstbeurteilung Frage für Frage.
04: Vorbereitung
Für welche IT-Unternehmen lohnt sich ISO 27018 und wie bereiten Sie sich vor?
ISO 27018 richtet sich an Anbieter, die als Auftragsverarbeiter Personendaten in der Public Cloud verarbeiten. Dazu gehören SaaS-Anbieter, Hosting- und Backup-Dienste, HR- und Payroll-Software, Healthcare-Clouds und E-Commerce-Plattformen. Wer nur Software installiert und nie Zugriff auf Kundendaten hat, ist kaum im Anwendungsbereich. Vor der Selbstbeurteilung genügt ein halber Arbeitstag mit diesen fünf Schritten.
Datenflüsse erfassen
Notieren Sie, welche Personendaten Ihrer Kunden in welchen Systemen liegen und wer darauf zugreift.
Unterauftragnehmer auflisten
Halten Sie Hoster, Support-Tools und Versanddienste mit Standort und Vertrag fest.
Löschkonzept prüfen
Klären Sie, was beim Vertragsende mit Daten, Backups und Logs geschieht und wie lange es dauert.
Meldeweg festlegen
Bestimmen Sie, wer bei einer Datenpanne den Kunden informiert, mit welcher Vorlage und in welcher Frist.
Verträge sichten
Kontrollieren Sie, ob Ihre Auftragsverarbeitungsverträge Zweckbindung, Unterauftragnehmer und Rückgabe regeln.
05: Zertify
Wie erhalten Sie das ISO-27018-Zertifikat mit Zertify?
Sie beantworten online 32 Ja/Nein-Fragen zu ISO 27018. 11 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 21 Fragen braucht es mindestens 14 Ja-Antworten. Es gibt kein Audit vor Ort. SICE prüft jede Selbstbeurteilung, bevor G6 Agency AG das Zertifikat im Rahmen der Lizenz von SICE ausstellt. Das Zertifikat kommt innert 4 Stunden nach bestandener Beurteilung und Zahlung.
Das PDF trägt eine Zertifikatsnummer und einen QR-Code. Der Einkauf Ihres Kunden scannt ihn und landet auf der öffentlichen Verifizierungsseite. Das Zertifikat ist 3 Jahre gültig und wird jedes Jahr durch ein kurzes Online-Re-Audit bestätigt.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive Online-Re-Audit. Es handelt sich um ein automatisches Jahresabo, das Sie im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen können. Danach endet das Zertifikat mit dem bezahlten Jahr. Für 2 Normen gilt ein Rabatt von 20%, ab 3 Normen von 30%, auch auf die Jahresgebühr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MwSt. enthalten. Zum Kauf brauchen Sie kein Konto.
06: FAQ
Häufige Fragen zu ISO 27018 in der IT-Branche
07: Leitfaden
Verwandte Seiten
Prüfen Sie Ihren Stand bei ISO 27018
Die Selbstbeurteilung zeigt Ihnen in wenigen Minuten, welche Anforderungen Ihr Unternehmen bereits erfüllt.
Kostenlos und ohne Registrierung.