ISO 27001 zwingend?

[Thomas Maggnussen 2]

Hallo Zusammen, 

 

ab dem 25.05.2018 tritt ja das neue Datenschutzgesetz in Kraft. Es ist hierbei immer wieder mal die Rede von der DIN ISO 27001 Zertifizierung. 

 

Ich bin jetzt etwas verunsichert, da ich kein Rechtler (sondern IT´ler bin). Muss man so eine ISO erstellen bzw. erstellen lassen bzw. ab welcher Größe? Oder ist das nur notwendig, wenn ich bekannt machen will das ich nach ISO 27001 Zertifiziert bin?

 

Danke & LG

Thomas

[Dukel 454]

Diese Zertifizierung macht die Firma und nicht du. Das kann dir aber euer Datenschutzbeauftrage oder Rechtsbeistand genauer erläutern ob Ihr dies braucht.

 

EDIT: Habe etwas über das Datenschutzgesetz gefunden:

https://www.datenschutzbeauftragter-info.de/fachbeitraege/eu-datenschutz-grundverordnung/

bearbeitet 26. September 2017 von Dukel

[NilsK 2.934]

Moin,

 

die DSGVO und ISO 27001 haben zunächst einmal wenig miteinander zu tun. Allgemein ist aber sehr zu empfehlen, das Thema mit Fachjuristen zu besprechen.

 

Gruß, Nils

[BuzzeR 10]

Hallo zusammen.

 

 

In der Tat haben beide Themen nur bedingt etwas miteinander zu tun. Hier ist es vielleicht erst einmal hilfreich eine genaue Abgrenzung beider Themen vorzunehmen.

 

Die DSGVO hat den Schutz personenbezogener Daten zum Inhalt und wird federführend durch den i.d.R. externen Beauftragten für Datenschutz voran getrieben.

 

Die Normenreihe der DIN ISO / IEC 27000 behandelt den Aufbau eines Informationssicherheits-Managementsystems (ISMS) und definiert Prozesse und Maßnahmen

für die kontinuierliche Verbesserung der Informationssicherheit.

 

Hier möchte ich noch einen Tip los werden ... unter [1] findet Ihr eine Veröffentlichung des Bundesanzeiger-Verlags, welche die DIN ISO / IEC Normen 27001 / 2 zum

Inhalt hat und Ihr nicht gesondert für einige hundert Euro beschaffen müßt.

 

I love BSI!!!

 

Related Links

[1] https://shop.bundesanzeiger-verlag.de/compliance-und-sicherheit/it-grundschutz-arbeitshandbuch/

 

 

 

LG,

Marco

[NilsK 2.934]

Moin,

 

cool, danke für den Tipp!

 

Gruß, Nils

[BuzzeR 10]

Hi Nils.

 

Sehr gerne !!!

 

 

LG,

Marco

Hallo Thomas,

 

wurde Deine Frage beantwortet, oder benötigst Du weitere Informationen?

 

 

Gerne unterstützen wir Dich bei Deiner Fragestellung.

 

 

LG,

Marco

[Thomas Maggnussen 2]

Hallo, 

 

ich bin ja gefragt worden, was da zu tun ist. Wir in bzg. Persönlich bezogene Daten seit jeher hohe Anforderungen (Reiswolf etc.) IT-Technisch sowieso (sichere Passwörter, Zugangskontrolle etc.). 

Bei dem Kunden handelt es sich aber um 20 Leute und daher die Frage ob man das ZWINGEND durchführen lassen muss? Fachjouristen und Beratungsunternehmen treiben wahrscheinlich die Kosten in die Höhe. 

 

Daher denke ich, würde doch eine komplette Dokumentation, Schulung der Mitarbeiter mit Notfallplan etc. ausreichen oder?

 

danke

[Otaku19 33]

Wie schon geschrieben, zwingend ist hier garnichts, zwingend sind die Auflagen die einem die DSGVO  abverlangt, im Fall von Deutschland gibt es darüber hinaus noch strengere Auflagen aus anderen Rechtsvorschriften.. Da gibt es afaik einige bereiche die das gleiche Thema beleuchten. Daher mus sman sich alles was es an branchenrelevanten Vorschriften gibt vornehmen. Wie jede Firma das macht bleibt ihr überlassen, Rechtsberatung ist hier in jedem Fall schwer zu empfehlen.

 

Es gibt aber eien losen Zusammenhang der immer wieder genannt wird, Zertifizierungen des Unternehmens können sich im Kontext der DSGVO strafmildernd auswirken. Wie schnell und hart die kommende Datenschutzbehörde (ich glaube, die gibts auch bei euch noch nicht) strafen wird ist Spekulation, Von "wird schon nix passieren" bis "der erste den sie drankriegen wird zum Exempel gestempelt und gestraft das einem die Ohren schlackern" gibts da alles

[Thomas Maggnussen 2]

Okay danke. Hab auch schon einiges darüber gelesen. Bei den meisten klingts nach ner Arbeitsbeschaffungsmaßnahme. Klar, für große Unternehmen ist das kein Ding, aber für den Mittelstand. 

[Otaku19 33]

denke nicht das so vielen leuten langweilig ist, aber ja, um das sauber über die Bühne zu kommen benötigt man einiges an Manpower. Ein vernünftiges Verfahrensverzeichnis ist shcon jede Menge Arbeit. Oder man trennt sich von einem Großtel des Personenbezugs, wäre auch eine denkbare Alternative ;)

[NilsK 2.934]

Moin,

 

an der Stelle ist ein IT-Dienstleister nicht der richtige Ansprechpartner. Es braucht juristische Beratung. Die IT ist dann wieder dran, wenn es um die Umsetzung geht.

 

Gruß, Nils