ISO/IEC 27018.

Was die Norm ISO/IEC 27018 zusätzlich zu ISO 27001 bietet

ISO/IEC 27018 ist ein Verhaltenskodex, kein eigenständiges Managementsystem. Sie setzt voraus, dass Sie bereits ein nach ISO/IEC 27001 zertifiziertes Informationssicherheits-Managementsystem betreiben, und legt eine Datenschutzebene auf diese Basis. Konkret richtet sie sich an eine einzige Rolle: einen Anbieter von Public-Cloud-Diensten, der als Auftragsverarbeiter personenbezogener Daten (PII) im Auftrag seiner Kunden handelt. Die Norm nimmt die generischen Maßnahmen aus ISO/IEC 27002 und interpretiert sie für diesen Auftragsverarbeiter-Kontext neu, und fügt anschließend eine Reihe cloud-spezifischer Datenschutzmaßnahmen hinzu, die ISO 27001 allein nicht verlangt.

Die praktische Folge ist, dass sich ISO 27018 nicht für sich allein zertifizieren lässt. Ein Anbieter ist nach ISO 27001 zertifiziert, mit ISO 27018 als anwendbarem Maßnahmensatz innerhalb des Geltungsbereichs. Deshalb sehen Sie sie als «nach ISO 27001 zertifiziert, gegen ISO 27018 auditiert» ausgedrückt und nicht als gesondertes Zertifikat. Die Maßnahmen betreffen Dinge, die ein Cloud-Kunde nicht ohne Weiteres selbst überprüfen kann: ob der Anbieter die PII der Kunden für seine eigene Werbung nutzt, ob Unterauftragsverarbeiter offengelegt werden, bevor sie beauftragt werden, wie Daten am Ende eines Vertrags behandelt werden und was geschieht, wenn Strafverfolgungsbehörden Daten anfordern.

Wo sie zwischen ISO 27001, ISO 27017 und der DSGVO steht

Drei benachbarte Referenzen werden mit ISO 27018 verwechselt, und die Unterschiede sind wichtig, wenn Sie ein Audit abgrenzen oder einen Lieferantenfragebogen ausfüllen. ISO 27001 ist das Managementsystem, das die Informationssicherheit allgemein regelt. ISO 27017 ist der Verhaltenskodex für Cloud-Sicherheit, der breiter angelegt ist als der Datenschutz und sich mit der Sicherheit von Cloud-Diensten sowohl für Anbieter als auch für Kunden befasst. ISO 27018 ist enger gefasst als beide: Es geht um Datenschutz, in der Public Cloud, ausschließlich für die Rolle des Auftragsverarbeiters.

ISO 27018 ist eine nützliche Brücke zu den Auftragsverarbeiter-Pflichten der DSGVO, weil sie Ideen operationalisiert, die die Verordnung in rechtlichen Begriffen ausdrückt: Zweckbindung, Transparenz über die Unterauftragsverarbeitung, Unterstützung des Verantwortlichen sowie Rückgabe oder Löschung von Daten. Aber sie ist kein Ersatz. Ein Zertifikat gegen ISO 27018 ist ein Nachweis guter Praxis als Auftragsverarbeiter, keine Feststellung rechtlicher Konformität. Die DSGVO weist Pflichten durch verbindliches Recht und durch Verträge zwischen Verantwortlichem und Auftragsverarbeiter zu; eine Norm kann das nicht für Sie übernehmen.

Was Praktiker tatsächlich damit anfangen

Für die meisten Organisationen ist ISO 27018 etwas, das man konsumiert, statt etwas, das man selbst hält. Wenn Sie einen Cloud-Dienst auswählen und Ihre Datenschutz-Folgenabschätzung oder Ihr Drittparteien-Risikoprozess die Frage stellt «ist dieser Auftragsverarbeiter vertrauenswürdig», ist das ISO-27018-Audit des Anbieters eines der Artefakte, die Sie sammeln, neben ISO-27001-Geltungsbereichserklärungen, SOC-Berichten und dem Verarbeitungsvertrag.

• Bestätigen Sie, dass das Zertifikat aktuell ist und dass der von Ihnen tatsächlich genutzte Cloud-Dienst in den auditierten Geltungsbereich fällt, nicht nur das unternehmensweite ISMS.
• Lesen Sie sie zusammen mit ISO 27001 und ISO 27017, da die drei darauf ausgelegt sind, geschichtet zu werden, und ein Anbieter, der alle drei hält, Sicherheit und Datenschutz in der Cloud vollständiger abgedeckt hat.
• Ordnen Sie die Maßnahmen aus ISO 27018 Ihren eigenen DSGVO-Pflichten zu, anstatt eine Überschneidung anzunehmen, denn die Norm unterstützt die Auftragsverarbeiter-Beziehung, entbindet den Verantwortlichen aber nicht von seinen rechtlichen Pflichten.
• Behalten Sie den Verarbeitungsvertrag als das verbindliche Dokument. Die Norm signalisiert eine Absicht; der Auftragsverarbeitungsvertrag ist das, was Sie durchsetzen.