ISO 27018:2019 Cloud-Datenschutz
ISO 27018 ohne Audit: Zertifikat per Selbstbeurteilung
Sie beantworten 32 Ja/Nein-Fragen online, ein Besuch vor Ort entfällt. Haben Sie bestanden und bezahlt, liegt das Zertifikat innert 4 Stunden vor. Jedes Zertifikat lässt sich öffentlich per Nummer und QR-Code prüfen.
01: Einordnung
Was heisst ISO 27018 ohne Audit?
ISO 27018:2019 regelt, wie Cloud-Anbieter als Auftragsverarbeiter personenbezogene Daten in der Public Cloud schützen. Die Norm ergänzt ISO 27001 um Datenschutzkontrollen: Zweckbindung, Löschung und Rückgabe, Unterauftragnehmer und die Meldung von Datenpannen. Sie unterstützt Anbieter bei den Pflichten aus DSGVO und Schweizer DSG.
Auf dem klassischen Weg schickt eine Zertifizierungsstelle Auditoren in Ihr Unternehmen. Es gibt Termine, Interviews und eine Begehung. Bei Zertify entfällt dieser Besuch. Die Prüfung läuft als strukturierte Selbstbeurteilung online, und SICE prüft jede Beurteilung, bevor ein Zertifikat ausgestellt wird.
02: Ablauf
Wie die Selbstbeurteilung den Besuch vor Ort ersetzt
Der Fragenkatalog bildet die Anforderungen der Norm ab. Sie müssen ihn nicht in Ihrem Büro mit einem Auditor durchgehen, sondern beantworten ihn selbst, wenn Sie Ihre Dokumentation und Ihre Abläufe zur Hand haben.
32 Fragen beantworten
Jede Frage ist mit Ja oder Nein zu beantworten. Sie betreffen Transparenz, Zweckbindung, Löschung und Rückgabe, Unterauftragnehmer, Folgenabschätzungen und die Benachrichtigung bei Datenschutzverletzungen.
11 Pflichtanforderungen erfüllen
Elf der 32 Fragen sind zwingende Anforderungen der Norm. Alle elf müssen mit Ja beantwortet sein.
14 von 21 weiteren Fragen bejahen
Bei den übrigen 21 Fragen braucht es mindestens 14 Ja-Antworten.
Prüfung, Zahlung, Zertifikat
Nach bestandener Beurteilung und Zahlung stellt Zertify das Zertifikat aus. Es trägt eine Nummer und einen QR-Code.
Eine Nein-Antwort bei einer Pflichtfrage bedeutet, dass die Anforderung noch nicht erfüllt ist. Dann schliessen Sie zuerst die Lücke in Ihrem Betrieb.
03: Aussage
Was das Zertifikat bestätigt
Das Zertifikat hält fest, dass Ihr Unternehmen als Cloud-Anbieter die Datenschutzkontrollen der ISO 27018:2019 nach eigener, von SICE geprüfter Beurteilung umsetzt. Inhaltlich geht es um diese Punkte:
- Transparenz
- Kunden erfahren, wie und wo ihre personenbezogenen Daten verarbeitet werden.
- Zweckbindung
- Die Daten werden nur für den vereinbarten Zweck verwendet, nicht für eigene Zwecke des Anbieters.
- Löschung und Rückgabe
- Kunden können ihre Daten zurückerhalten, und sie werden auf Verlangen gelöscht.
- Unterauftragnehmer
- Hosting-Partner und andere Dienstleister sind datenschutzkonform eingebunden.
- Folgenabschätzung
- Datenschutz-Folgenabschätzungen werden durchgeführt, wo sie nötig sind.
- Datenpannen
- Kunden werden bei einer Verletzung des Datenschutzes benachrichtigt.
Das Zertifikat gilt 3 Jahre. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit. Es ersetzt keinen Auftragsverarbeitungsvertrag, kann aber im Lieferantenfragebogen den Nachweis liefern, den Ihr Kunde sehen will.
04: Zielgruppe
Für welche Anbieter ISO 27018 ohne Audit passt
Am häufigsten fragen SaaS-Anbieter im B2B- und B2C-Bereich nach dem Zertifikat. Dazu kommen HR- und Payroll-Software, E-Commerce-Plattformen, Healthcare-Cloud-Anbieter und generell Auftragsverarbeiter nach DSGVO. Der Anlass ist meist konkret: Der Einkauf eines Kunden schickt einen Lieferantenfragebogen, oder eine Ausschreibung verlangt einen Nachweis zum Datenschutz in der Cloud.
Prüfen Sie in solchen Fällen den Wortlaut der Anforderung. Verlangt ein Kunde ausdrücklich ein Audit vor Ort durch eine Zertifizierungsstelle, ist der klassische Weg die richtige Wahl. Genügt ein überprüfbares Zertifikat, sparen Sie sich Terminabstimmung und Auditkosten.
05: Vergleich
ISO 27018 ohne Audit und klassischer Weg im Vergleich
Die Unterschiede liegen bei Dauer, Aufwand und Kosten. Die Werte für den klassischen Weg sind indikative Bandbreiten und hängen von Unternehmensgrösse, Zertifizierungsstelle und Vorbereitung ab.
| Kriterium | Zertify (Selbstbeurteilung) | Klassisch (Audit vor Ort) |
|---|---|---|
| Prüfung | Online-Selbstbeurteilung, von SICE geprüft | Auditoren einer Zertifizierungsstelle bei Ihnen vor Ort |
| Zeit bis zum Zertifikat | 4 Stunden nach bestandener Beurteilung und Zahlung | Indikativ: mehrere Wochen bis Monate inklusive Terminfindung |
| Kosten | 799 CHF im ersten Jahr, danach 529 CHF pro Jahr inklusive Online-Re-Audit | Indikativ: ab mehreren tausend CHF, je nach Umfang und Aufwand |
| Aufwand im Betrieb | Fragen beantworten, Unterlagen bereithalten | Vorbereitung, Interviews, Begehung, Auditbericht |
| Nachweis für Kunden | Öffentliche Prüfung per Nummer und QR-Code | Zertifikat und Auditbericht der Zertifizierungsstelle |
Eine ausführliche Rechnung mit allen Posten finden Sie im Leitfaden zu den Zertifizierungskosten.
06: Zertify
So passt Zertify zu ISO 27018
Das Zertifikat wird von G6 Agency AG unter Lizenz von SICE (Swiss Institute of Certification and Education) ausgestellt. Gekauft wird ohne Kundenkonto. Das Konto brauchen Sie erst, um Ihr Abonnement zu verwalten.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive Online-Re-Audit. Die Preise enthalten für Kunden in der Schweiz und in Liechtenstein 8.1 % MWST. Das Abonnement verlängert sich jährlich automatisch und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen.
Beginnen Sie mit der Selbstbeurteilung. Sie ist kostenlos, und Sie sehen sofort, welche Anforderungen noch offen sind.
07: FAQ
Häufige Fragen zu ISO 27018 ohne Audit
08: Leitfaden
Verwandte Seiten
Prüfen Sie Ihren Stand bei ISO 27018
Die Selbstbeurteilung zeigt Ihnen in wenigen Minuten, welche Anforderungen Sie bereits erfüllen.
Kostenlos und ohne Registrierung.