ISO 27018:2019 Cloud-Datenschutz
ISO 27018 Pflicht: Wann Sie das Zertifikat brauchen
Kein Gesetz schreibt ISO 27018 vor. Verbindlich wird die Norm, sobald ein Kunde, ein Vertrag oder eine Ausschreibung den Nachweis verlangt. Dann zählt, wie schnell Sie ihn liefern können.
01: Rechtslage
Ist ISO 27018 gesetzlich vorgeschrieben?
Nein. ISO 27018 ist eine freiwillige Norm. Weder das Schweizer DSG noch die DSGVO nennen dieses Zertifikat als Pflicht für Cloud-Anbieter.
Die Datenschutzgesetze stellen allerdings Anforderungen an Auftragsverarbeiter, etwa bei Zweckbindung, Löschung und der Meldung von Datenpannen. ISO 27018 beschreibt, wie sich solche Pflichten in einer Public Cloud umsetzen lassen. Das Zertifikat belegt, dass Sie diese Kontrollen geprüft haben.
Zur Pflicht wird es also erst durch Dritte. Wer das Zertifikat nicht hat, verliert dann nicht eine Rechtsposition, sondern einen Auftrag.
02: Praxis
Wann ISO 27018 in der Praxis verlangt wird
Die Anfrage kommt selten als Gesetzesverweis. Sie kommt als Zeile in einem Dokument, das Sie beantworten müssen.
- Lieferantenfragebogen
- Der Einkauf Ihres Kunden fragt, ob Sie nach ISO 27018 zertifiziert sind. Ohne Zertifikat bleibt das Feld leer, und Ihre Bewertung fällt schlechter aus.
- Ausschreibung
- Einzelne Ausschreibungen nennen den Nachweis als Eignungs- oder Zuschlagskriterium. Fehlt er, kann Ihr Angebot ausscheiden.
- Rahmenvertrag
- Ein Grosskunde schreibt in den Vertrag oder in die Anlage zur Auftragsverarbeitung, dass Sie Ihren Cloud-Datenschutz zertifiziert nachweisen.
- Lieferkette
- Ihr Kunde wird selbst von seinen Kunden geprüft und gibt die Anforderungen an seine Unterauftragnehmer weiter. Sie sind dann Teil dieser Kette.
- Branche
- Bei Healthcare-Clouds, HR- und Payroll-Software oder E-Commerce-Plattformen gehört ein Nachweis zum Schutz personenbezogener Daten zur Erwartung der Käufer.
03: Übersicht
Was Kunden fragen und was Sie vorlegen
Die Tabelle ordnet die häufigsten Auslöser ein. Entscheidend ist jeweils, welches Dokument am Ende im Anhang der Antwort liegt.
| Situation | Was verlangt wird | Was Sie vorlegen |
|---|---|---|
| Lieferantenfragebogen | Angabe zu Zertifizierungen im Cloud-Datenschutz | Zertifikatsnummer und PDF mit QR-Code |
| Ausschreibung | Nachweis mit der Offerte, meist mit Frist | Zertifikat als Beilage zum Angebot |
| Vertragsverhandlung | Zusicherung im Vertrag oder in der Anlage | Zertifikat und Verweis auf die Verifikationsseite |
| Kundenaudit | Belege zu Löschung, Zweckbindung und Unterauftragnehmern | Zertifikat plus Ihre eigenen Prozessunterlagen |
04: Inhalt
Was die Norm von einem Cloud-Anbieter verlangt
ISO 27018:2019 erweitert ISO 27001 um Datenschutzkontrollen für personenbezogene Daten (PII), die Sie als Auftragsverarbeiter in der Public Cloud halten. Sechs Anforderungen stehen im Zentrum.
- Transparenz
- Ihre Kunden wissen, wie und wo ihre Daten verarbeitet werden.
- Zweckbindung
- Sie verarbeiten die Daten nur für den Zweck, den der Kunde vorgibt.
- Löschung und Rückgabe
- Sie können Daten auf Verlangen zurückgeben und endgültig löschen.
- Unterauftragnehmer
- Wer in Ihrem Auftrag Daten verarbeitet, ist datenschutzkonform eingebunden.
- Folgenabschätzung
- Sie führen Datenschutz-Folgenabschätzungen durch, wo das Risiko es verlangt.
- Meldung von Datenpannen
- Ihre Kunden werden bei Verletzungen des Datenschutzes benachrichtigt.
05: Vorgehen
So reagieren Sie, wenn ein Kunde das Zertifikat verlangt
Meist läuft eine Frist. Diese Reihenfolge verhindert, dass Sie Zeit mit der falschen Frage verlieren.
Anfrage genau lesen
Verlangt der Kunde ein Zertifikat, einen Prüfbericht oder nur eine Auskunft? Notieren Sie die Frist und den Ansprechpartner im Einkauf.
Geltungsbereich klären
Legen Sie fest, welche Ihrer Dienste personenbezogene Daten als Auftragsverarbeiter verarbeiten. Nur diese gehören in die Bewertung.
Selbstbewertung ausfüllen
Beantworten Sie die Fragen mit Ihrem Datenschutz- oder IT-Verantwortlichen am Tisch. Die Antworten müssen zu Ihren tatsächlichen Abläufen passen.
Zertifikat in die Antwort einsetzen
Tragen Sie die Zertifikatsnummer im Fragebogen ein und legen Sie das PDF bei. Ihr Kunde kann es über den QR-Code prüfen.
Verlangt der Kunde ausdrücklich ein Audit vor Ort durch eine Zertifizierungsstelle, klären Sie das vor dem Start. Der Leitfaden vergleicht die beiden Wege.
06: Zertify
ISO 27018 mit Zertify in vier Stunden
Das Zertifikat von Zertify beruht auf einer Online-Selbstbewertung, ein Audit vor Ort entfällt. Sie beantworten 32 Ja/Nein-Fragen zu ISO 27018. Elf davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet sein. Bei den übrigen 21 Fragen braucht es mindestens 14 Ja-Antworten. Ausgestellt wird das Zertifikat von G6 Agency AG unter Lizenz von SICE, und SICE prüft jede Bewertung vor der Ausstellung. Nach bestandener Bewertung und Zahlung liegt es innert 4 Stunden vor. Jedes Zertifikat ist öffentlich über Nummer und QR-Code verifizierbar.
Das Zertifikat kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive der jährlichen Online-Re-Audits. Es gilt 3 Jahre. Die Abrechnung läuft als automatisches Jahresabonnement, das Sie jederzeit im Kundenkonto auf das Ende des laufenden Jahres kündigen können. Mit der Kündigung endet das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1 % MwSt. enthalten. Zum Kauf brauchen Sie kein Konto.
Fragt Ihr Kunde auch nach ISO 27001, lohnt sich die Kombination: 20 % Rabatt bei zwei Normen, 30 % ab drei Normen, auch auf die jährliche Gebühr.
07: FAQ
Häufige Fragen zur ISO 27018 Pflicht
08: Leitfaden
Verwandte Seiten
Der Kunde wartet auf Ihre Antwort
Prüfen Sie in der Selbstbewertung, ob Ihre Abläufe die Anforderungen von ISO 27018 erfüllen.
Kostenlos und ohne Registrierung.