DSGVO vs. ISO 27001: Was ist der Unterschied?

Wer denkt: „Ich bin ISO 27001-konform, also bin ich fast DSGVO-konform“, der irrt sich gewaltig! Das ist ein weit verbreiteter Irrtum, und wir erklären Ihnen in diesem Artikel, warum. Die Debatte um DSGVO versus ISO 27001 rührt daher, dass zahlreiche Online-Foren behaupten, ISO 27001 sei ein Ausgangspunkt für die DSGVO und beide Standards würden bestimmte Aspekte des Datenschutzes verdeutlichen. Diese Aussagen sind jedoch weder ganz richtig noch ganz falsch. Zwar gibt es viele ähnliche und miteinander verwendbare Sicherheitskontrollen und -maßnahmen, doch der Hauptfokus der DSGVO und von ISO 27001 ist nicht derselbe.

Während die Datenschutz-Grundverordnung (DSGVO) den Schutz der Datenschutzrechte von betroffenen Personen (Einzelpersonen) in der Europäischen Union (EU) regelt, befasst sich ISO 27001 mit der Bereitstellung von Maßnahmen zur kontinuierlichen Verbesserung der Informationssicherheits-Managementsysteme (ISMS) einer Organisation.

Bevor wir mit dem Vergleich zwischen ISO 27001 und der DSGVO beginnen, wollen wir zunächst klären, was ISO 27001 und die DSGVO überhaupt sind.

Was ist ISO 27001?

Die Internationale Organisation für Normung (ISO) hat den ISO-27001-Standard zur Entwicklung und Verbesserung des Informationssicherheitsmanagementsystems (ISMS) von Organisationen ins Leben gerufen. Er definiert weltweit bewährte Verfahren für den Schutz von Kundendaten, die Verwaltung von Sicherheitsprozessen und die Festlegung grundlegender Mindestanforderungen an Schutz und Verschlüsselung. Diese Maßnahmen gelten für die Datenbestände und Kundendaten der Organisation.

Die Auswirkungen der ISMS-Standardisierung nach ISO 27001 sind tiefgreifend. Wenn ein Unternehmen beispielsweise seinen ISO-27001-Bericht veröffentlicht , signalisiert es der Welt, dass seine Informationssicherheitspraktiken den aktuellen globalen Standards entsprechen. Dies stärkt das Vertrauen und eröffnet neue Geschäftsmöglichkeiten, die sonst unerreichbar geblieben wären.

ISO 27001 legt den Schwerpunkt auf Datenschutz, und der ISO-Datenschutz konzentriert sich auf Folgendes:

• Informationssicherheitsmanagement
• Change Control
• Unternehmensprozesse
• Mitarbeiterprozesse
• HR-Prozesse
• Sicherheit und Verschlüsselung

Eine ISO 27001-Zertifizierung spiegelt den Reifegrad eines Unternehmens in Bezug auf Sicherheit und Datenschutz wider und zeigt dessen Engagement, Zeit, Kapital und Ressourcen in die kontinuierliche Aufrechterhaltung dieses Standards zu investieren.

Es ermöglicht einer Organisation außerdem, potenzielle Sicherheitsrisiken vorherzusehen und entsprechend zu planen. Hier ist eine Zusammenfassung der Kernprinzipien von ISO 27001.

Asset Management

Eine Organisation sollte die verschiedenen Informationswerte, die sie verarbeitet, identifizieren und Sicherheitsmaßnahmen zuweisen, um diese Werte in einer geschützten Umgebung zu verwalten. Dieses Prinzip konzentriert sich auf die Bestandsaufnahme der Werte, die zulässige Nutzung der Werte, das Eigentum und die Rückgabe der Werte.

Zugriffsverwaltung

Hier wird erläutert, wie der Zugang zu bestimmten sicheren Netzwerken oder Ressourcen innerhalb einer Organisation geregelt wird.

Jedem Job werden Regeln und unterschiedliche Zugriffsebenen zugewiesen. Beispielsweise hat eine Person mit Zugriffsebene A Zugriff auf alle Basisanwendungen.

Ein Mitarbeiter der Stufe B erhält privilegierten Zugriff, d. h. Mitarbeiter der Stufe B können auf grundlegende Anwendungen sowie auf sensible Informationen zugreifen, da dies für ihre Tätigkeit erforderlich ist.

Betriebssicherheit

Anhang A12 der ISO 27001 befasst sich mit der Betriebssicherheit.
Im Fokus stehen:

• Dokumentation der betrieblichen Abläufe
• Nutzung von Veränderungsmanagement innerhalb einer Organisation
• Durchführung von Kapazitätsinformationsmanagement
• Trennung von Entwicklungs-, Test- und Betriebsumgebungen

Incident Management

Sicherheitsvorfälle und Cyberangriffe lassen sich selbst bei besten Sicherheitsvorkehrungen eines Unternehmens nicht vollständig vermeiden. ISO 27001 verpflichtet Organisationen, Richtlinien und Verfahren für den Umgang mit Sicherheitsvorfällen zu implementieren.
Zu diesem Zweck muss jedes Unternehmen, das eine ISO 27001-Zertifizierung anstrebt, Folgendes erfüllen:

• Definieren Sie Rollen, deren Hauptaufgabe die Bearbeitung von Sicherheitsvorfällen wäre.
• Identifizieren und melden Sie alle Schwachstellen in Ihren Geschäftsumgebungen, die zu Sicherheitsvorfällen führen könnten.
• Definieren Sie ein Verfahren zur Beurteilung der Art und der Auswirkungen eines Vorfalls (falls ein solcher eintritt).
• Ein vordefiniertes Notfallreaktionsprogramm einsetzen (Benachrichtigung bei Sicherheitsverletzungen plus Risikominderung).
• Dokumentieren Sie Ihre Erkenntnisse während und nach einem Vorfall.
• Sammeln Sie alle Beweismittel, die mit einem Vorfall in Zusammenhang stehen könnten.

Zusammenfassung

ISO 27001 hilft Unternehmen dabei, ihre Sicherheitsmaßnahmen zu verbessern, um sich vor jeglichen Risiken zu schützen, die potenziellen Schaden verursachen könnten.
Es ist so konzipiert, dass die Bedürfnisse des Unternehmens Vorrang vor den Daten der einzelnen Person haben, die es verarbeitet.

Die DSGVO hingegen konzentriert sich auf den Schutz der Rechte von Betroffenen gegenüber Unternehmen. Der Unterschied zwischen DSGVO und ISO 27001 wird aufgrund der vielen Gemeinsamkeiten leicht übersehen. Betrachten wir die DSGVO daher genauer.

Was ist die DSGVO?

Die DSGVO wurde im Mai 2016 eingeführt und ist seit 2018 vollständig in Kraft. Ziel der DSGVO ist der Schutz der Rechte und Freiheiten von betroffenen Personen (Einzelpersonen) sowie die Festlegung der Maßnahmen und Richtlinien, die Organisationen bei der Verarbeitung personenbezogener Daten von betroffenen Personen (Einzelpersonen) umsetzen müssen. Die DSGVO erläutert dies anhand ihrer sieben Grundsätze:

 Rechtmäßigkeit, Fairness und Transparenz

Unternehmen müssen Daten rechtmäßig erheben. Sie müssen gegenüber den Nutzern transparent darlegen, wie und wie lange sie die Daten verarbeiten und speichern wollen. Die Nutzer dürfen in keiner Hinsicht irregeführt werden. Die übrigen Grundsätze der DSGVO verschärfen dies zusätzlich, indem sie Grenzen für Zweck, Aufbewahrung, Richtigkeit und Rechenschaftspflicht festlegen, sodass eine rechtmäßige Grundlage bei der Datenerhebung nicht auf zukünftige, nicht damit zusammenhängende Verarbeitungsvorgänge ausgedehnt werden kann.

Zweckbindung

Unternehmen müssen Daten für einen bestimmten, festgelegten Zweck erheben und dürfen diese später nicht für andere Verarbeitungszwecke verwenden, nur weil sie noch Zugriff darauf haben. Der Datenerhebungsprozess darf nicht illegal sein.

Datenminimierung

Bei der Erhebung sensibler personenbezogener Daten sollten Unternehmen nur solche Datensätze erfassen, die für ihre Datenverarbeitungstätigkeiten erforderlich sind.

Genauigkeit

Unternehmen sind verpflichtet, korrekte Daten zu speichern und zu verarbeiten. Meldet eine betroffene Person eine Unrichtigkeit oder beantragt sie eine Änderung ihrer Daten, haben Unternehmen 30 Tage Zeit, diesem Antrag nachzukommen. Das Recht auf Berichtigung ist Teil der umfassenderen Rechte betroffener Personen gemäß DSGVO , darunter Auskunft, Löschung und Datenübertragbarkeit. Für diese Rechte gilt ebenfalls eine 30-Tage-Frist, und es bestehen ähnliche operative Anforderungen an das Unternehmen, das den jeweiligen Antrag bearbeitet.

Speicherbeschränkung

Gemäß der DSGVO dürfen Unternehmen Daten nicht länger speichern als ursprünglich vorgesehen. Die Aufbewahrungsrichtlinien machen einen erheblichen Teil der Kosten für die DSGVO-Konformität aus , da die Erstellung von Löschprozessen, die Automatisierung von Aufbewahrungsrichtlinien und der Nachweis der Löschungen spezielle Tools und keine Ad-hoc-Prozesse erfordern.

Integrität und Vertraulichkeit (Sicherheit)

Unternehmen müssen die notwendigen Verfahren implementieren, um sicherzustellen, dass die personenbezogenen Daten der betroffenen Personen nicht von unbefugten Benutzern (intern und extern) eingesehen werden.

Verantwortlichkeit

Alle Verantwortlichen und Auftragsverarbeiter, die sensible personenbezogene Daten verarbeiten, müssen die Einhaltung der DSGVO bei der Verarbeitung personenbezogener Daten von EU-Bürgern und -Einwohnern nachweisen.

Zusammenfassung

Die DSGVO stellt den Schutz der Rechte und Freiheiten der Betroffenen in der EU in den Mittelpunkt. Die DSGVO-Grundsätze legen fest, welche Regeln Organisationen bei der Verarbeitung personenbezogener Daten beachten müssen. Betroffene haben zudem Rechte, die es ihnen ermöglichen, die Verarbeitung ihrer personenbezogenen Daten zu kontrollieren. Mit ihrem Recht auf Löschung und ihrem Recht auf Berichtigung liegt die Entscheidungsgewalt darüber, in welchem ​​Umfang die Datenverarbeitung als Eingriff in die Privatsphäre empfunden wird, beim Nutzer.

DSGVO vs. ISO 27001: Die wichtigsten Unterschiede

Hier ist der Vergleich zwischen DSGVO und ISO 27001.

DSGVO und ISO 27001 konzentrieren sich auf unterschiedliche Dinge.

Die DSGVO zielt darauf ab, die Freiheit und die Rechte von Einzelpersonen in Bezug auf ihre personenbezogenen Daten und den Fluss dieser sensiblen Daten zu schützen. Die DSGVO betont die rechtmäßige Datenerhebung, die Einholung der ausdrücklichen Einwilligung des Nutzers zur Datenweitergabe, die Verarbeitung von Nutzerdaten gemäß den sieben Grundsätzen der DSGVO und gegebenenfalls die Benennung eines Datenschutzbeauftragten. Keiner dieser Punkte ist in ISO 27001 explizit enthalten. 

ISO 27001 wurde entwickelt, um Organisationen dabei zu helfen, die Sicherheit und Integrität ihrer Daten zu schützen.

Ziel ist es, globale Anforderungen für die Einrichtung, Implementierung und kontinuierliche Überwachung und Verbesserung von ISMS festzulegen und Organisationen dabei zu helfen, diese zu erfüllen.

In ISO 27001 wird zwar auch über Sicherheit gesprochen, der Fokus liegt jedoch eher auf dem Schutz der Informationswerte einer Organisation. Die DSGVO hingegen betrachtet Sicherheit aus einer Perspektive, die den Schutz personenbezogener Daten in den Mittelpunkt stellt.

Das entspricht aber noch nicht der DSGVO. Soweit verstanden? Wunderbar! Dann machen wir weiter.

Eines der sieben Prinzipien der DSGVO befasst sich mit der Sicherheit.

Nur einer der sieben Grundsätze der DSGVO befasst sich mit Sicherheit, das sind etwa 14 %. Die übrigen sieben Grundsätze beschreiben andere Aspekte der Verarbeitung von Nutzerdaten und die Vorschriften, die sicherstellen sollen, dass die Privatsphäre und Integrität der betroffenen Personen jederzeit gewahrt bleiben.

Die Definition von Risiko

Das Risiko im Rahmen der DSGVO behandelt nicht das Risiko, das ein Unternehmen bei der Verarbeitung personenbezogener Daten eingeht, sondern betont das Risiko (Risiko für Grundrechte und -freiheiten), dem ein Nutzer ausgesetzt ist. Gleichzeitig befassen sich ISO 27001 und ISO 27002 (eine Sammlung von Informationssicherheitsrichtlinien, die die ISO-27001-Kontrollen bilden ) mit dem Risiko, das eine Organisation bei ihren Datenverarbeitungsaktivitäten eingeht.

Adoption

Die DSGVO ist verpflichtend und gilt daher für Unternehmen in der EU. ISO 27001 hingegen ist freiwillig.

Strafen 

Wenn Ihr Unternehmen unter die DSGVO fällt , müssen Sie diese einhalten. Die Kosten der Nichteinhaltung sind hoch und können Bußgelder von bis zu 20 Millionen US-Dollar oder vier Prozent Ihres Jahresumsatzes (je nachdem, welcher Betrag höher ist) nach sich ziehen. Wenn Sie hingegen die ISO 27001 nicht erfüllen, drohen Ihnen keine Strafen.

Deckt ISO 27001 die DSGVO ab?

Ja, das stimmt. Aber nicht vollständig. Es gibt Überschneidungen. Die beiden Compliance-Rahmenwerke zielen jedoch darauf ab, unterschiedliche Probleme zu lösen.

Wenn Sie DSGVO-konform werden möchten , ist der Weg über ISO 27001 nicht der beste erste Schritt. Zwar verkürzt er die Vorbereitungszeit auf die DSGVO, aber nur aufgrund des geringen Überschneidungsgrades.

Hier ist ein kurzer und einfacher Vergleich zwischen ISO 27001 und der DSGVO, der Ihnen bei der Auswahl des passenden Compliance-Rahmenwerks für Ihr Unternehmen helfen soll.

ISO 27701 Erweiterung der ISO 27001

ISO 27701 ist kein eigenständiges Rahmenwerk der ISO. Es handelt sich um eine datenschutzrechtliche Erweiterung der ISO 27001. Unternehmen können sie als Zusatzpaket nutzen, um Datenschutzbestimmungen zu integrieren und das Vertrauen in ihre Marke zu stärken. Wichtiger noch: ISO 27701 ist kein Ersatz für die DSGVO. 

Die Wahl des besten Compliance-Rahmenwerks für Ihr Unternehmen kann sich als schwierig erweisen, insbesondere wenn Ihre Recherchen Sie davon überzeugt haben, dass der Weg Ihres Unternehmens zur Compliance entweder über das ISO 27001-Rahmenwerk oder die DSGVO erreicht werden kann. 

Die Wahl des falschen Frameworks kann finanzielle Kosten in Form von Bußgeldern oder entgangenen Geschäftsmöglichkeiten verursachen. In beiden Fällen kann der Schaden für Ihr Unternehmen erheblich sein.

Sprinto lädt Sie ein

Wenn Sie bis hierher gelesen haben, gehen wir davon aus, dass Sie sich für den Compliance-Prozess interessieren und aktiv verschiedene Wege zur Erfüllung der Compliance-Anforderungen für Ihr Unternehmen prüfen. Als nächsten Schritt laden wir Sie ein, uns zu kontaktieren und mit einem unserer Compliance-Experten über den Prozess zu sprechen, Tipps zu Best Practices zu erhalten oder Ihre Fragen zu klären.

Häufig gestellte Fragen