02 / Compliance und Zertifizierung
ISO/IEC 27701, Datenschutz mit einem Managementsystem dahinter
Wir helfen Ihnen, ein Datenschutz-Managementsystem aufzubauen, das zeigt, wie personenbezogene Daten verarbeitet werden, von wem und warum, und das eine Zertifizierungsstelle prüfen kann.
Überblick
Worum es bei ISO/IEC 27701 geht
ISO/IEC 27701 legt Anforderungen und Leitlinien für ein Datenschutz-Informationsmanagementsystem (PIMS) fest. Die Norm betrachtet personenbezogene Daten aus zwei Blickwinkeln: als Verantwortlicher, der über Zweck und Mittel der Verarbeitung entscheidet, und als Auftragsverarbeiter, der Daten im Auftrag anderer verarbeitet.
Die Norm wurde für das Zusammenspiel mit einem ISMS nach ISO/IEC 27001 entwickelt, und so setzen die meisten Organisationen sie bis heute um. Neuere Ausgaben haben das Verhältnis der beiden Normen verändert. Deshalb klären wir früh, nach welcher Ausgabe Ihre Zertifizierungsstelle prüft, und planen entsprechend.
Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus. Black Fox bereitet Sie vor, verknüpft die Arbeit dort, wo es Überschneidungen gibt, mit Ihren Pflichten aus der Datenschutz-Grundverordnung (DSGVO), koordiniert das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl und begleitet Sie auf Wunsch dabei.
Für wen es gedacht ist
Organisationen, die personenbezogene Daten für Kunden verarbeiten und nachweisen sollen, wie sie diese schützen, Verantwortliche, die ihr Datenschutzprogramm prüfen lassen wollen, und Teams mit einem ISMS nach ISO/IEC 27001, die den Datenschutz in dasselbe System holen möchten.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Rollen und Geltungsbereich
Wir klären, wo Sie Verantwortlicher und wo Auftragsverarbeiter sind und welche Verarbeitungstätigkeiten das PIMS umfasst.
Gap-Analyse
Ein Abgleich Ihrer heutigen Datenschutz- und Sicherheitspraxis mit der Norm, mit Feststellungen nach Risiko und Aufwand geordnet.
Datenschutzrisiken und Folgenabschätzung
Eine Methode für Datenschutzrisiken neben Ihrer Risikobeurteilung zur Informationssicherheit, und Folgenabschätzungen, wo die Verarbeitung sie erfordert.
Verzeichnisse und Maßnahmen
Verzeichnis von Verarbeitungstätigkeiten, Aufbewahrung, Betroffenenanfragen, Übermittlungen und Unterauftragsverarbeiter, jeweils mit Nachweisen.
Richtlinien und Verfahren
Datenschutzdokumente für die Menschen, die damit arbeiten, eingebunden in Ihr bestehendes ISMS statt daneben gestapelt.
Internes Audit
Ein internes Audit des PIMS, unabhängig von denen, die es aufgebaut haben, mit Feststellungen, die Sie vor der Zertifizierung noch schließen können.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Geltungsbereich, Ihre Rollen, die Beteiligten und die Frist. Auf Wunsch unterzeichnen wir vorab eine Vertraulichkeitsvereinbarung.
Gap-Analyse
Interviews, Dokumentenprüfung und ein Blick darauf, wie personenbezogene Daten tatsächlich fließen, am Ende ein priorisierter Bericht.
Begleitung der Umsetzung
Wir arbeiten mit Ihren Verantwortlichen an den Lücken: Verzeichnisse, Maßnahmen, Verträge, Verfahren und Nachweise.
Internes Audit
Ein vollständiges internes Audit gegen die Norm, durchgeführt wie das echte.
Zertifizierungsaudit
Wir koordinieren das Audit mit einem unserer langjährigen Zertifizierungspartner oder der akkreditierten Stelle Ihrer Wahl, bereiten Sie vor und helfen bei etwaigen Feststellungen.
Was Sie erhalten
- Geltungsbereich des PIMS mit Rollen als Verantwortlicher und Auftragsverarbeiter
- Gap-Analyse mit priorisiertem Maßnahmenplan
- Register der Datenschutzrisiken und Behandlungsplan
- Verzeichnis von Verarbeitungstätigkeiten und zugehörige Verfahren
- Aktualisierte Erklärung zur Anwendbarkeit oder Maßnahmenzuordnung
- Bericht zum internen Audit
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Brauchen wir zuerst ISO/IEC 27001?
Das hängt von der Ausgabe ab, nach der Ihre Zertifizierungsstelle prüft, und davon, wie sie die Zertifizierung aufbaut. In der Praxis betreiben die meisten Organisationen ISO/IEC 27701 zusammen mit einem ISMS, weil die Sicherheitsmaßnahmen einen großen Teil der Datenschutzarbeit tragen. Wir klären das mit Ihnen beim Auftakt.
Erfüllen wir mit ISO/IEC 27701 die DSGVO?
Das leistet keine Norm allein. ISO/IEC 27701 überschneidet sich mit vielen Pflichten aus der DSGVO und gibt Ihnen einen strukturierten Weg, deren Erfüllung zu zeigen, maßgeblich bleibt aber die Verordnung. Wir ordnen beides einander zu, damit die Lücken sichtbar werden.
Stellen Sie das Zertifikat aus?
Nein. Zertifikate stellen akkreditierte Zertifizierungsstellen aus, unabhängig von denen, die Sie bei der Umsetzung begleitet haben. Wir bereiten Sie vor, koordinieren das Audit mit einem unserer langjährigen Zertifizierungspartner oder einer Stelle Ihrer Wahl und unterstützen Sie dabei, sodass Sie in einem Auftrag von der Vorbereitung bis zum Zertifikat kommen.
Wir sind Auftragsverarbeiter. Ändert das viel?
Ja. Die Norm enthält getrennte Leitlinien für Verantwortliche und Auftragsverarbeiter. Ein Auftragsverarbeiter konzentriert sich darauf, Weisungen zu befolgen, seine Kunden bei deren Pflichten zu unterstützen und seine eigenen Unterauftragsverarbeiter zu steuern.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Compliance und ZertifizierungDSGVODSGVO mit Black Fox Security: Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung, Sicherheit der Verarbeitung, Auftragsverarbeitung und Datenpannen.
- Compliance und ZertifizierungISO/IEC 27017 und 27018ISO/IEC 27017 und 27018 mit Black Fox Security: Gap-Analyse der Cloud-Maßnahmen, geteilte Verantwortung, Maßnahmen für Auftragsverarbeiter und Auditvorbereitung.
- Governance und RisikoRichtlinien und VerfahrenBlack Fox Security schreibt und prüft Ihre Sicherheitsrichtlinien: Nutzung, Zugriff, Vorfallreaktion, Lieferanten, Backup und mehr, verständlich für die Anwender.
Finden Sie heraus, wo Ihr Datenschutzprogramm steht
Erzählen Sie uns, welche personenbezogenen Daten Sie verarbeiten und für wen. Wir zeigen Ihnen, was die Norm erwartet und was fehlt.