ISO 27001 und Datenschutzrecht: Informationssicherheit an gesetzliche Pflichten binden

Zwei Compliance-Projekte, ein Nachweis

In den meisten mittelständischen Unternehmen finden Sie zwei Teams, die dasselbe Problem lösen, ohne miteinander zu sprechen. Die Rechts- oder Compliance-Abteilung kümmert sich um die Datenschutz-Unterlagen: Datenschutzhinweise, Einwilligungsnachweise und in der Türkei die VERBIS-Registrierung. Die IT betreibt parallel ihr eigenes Sicherheitsprogramm, spielt Patches ein und verschärft Zugriffsrechte. Wenn eine Aufsichtsbehörde die entscheidende Frage stellt, nämlich ob Sie die technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten belegen können, hat keines der beiden Teams allein die vollständige Antwort.

Genau diese Lücke schließt ein Informationssicherheits-Managementsystem. ISO 27001 ersetzt das Datenschutzrecht nicht und macht Sie für sich genommen nicht auf dem Papier rechtskonform. Es verwandelt jedoch eine vage gesetzliche Pflicht in dokumentierte, auditierte und wiederholbare Kontrollen, die Sie einer Behörde, einem Kunden oder einem Gericht vorlegen können. Der kluge Schritt besteht darin, Sicherheit und Datenschutz nicht länger als konkurrierende Projekte zu führen, sondern in einem einzigen Managementsystem zu verbinden.

Das Gesetz verlangt Maßnahmen, die es nie aufzählt

Artikel 12 des türkischen Datenschutzgesetzes (KVKK) verpflichtet den Verantwortlichen, alle erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten zu treffen. Artikel 32 der DSGVO verwendet fast dieselbe Sprache und ergänzt den Maßstab der dem Risiko angemessenen Maßnahmen. Keiner der beiden Texte sagt Ihnen, welche Maßnahmen das konkret sind. Dieses Schweigen ist gewollt, denn die richtigen Kontrollen hängen von Ihren Daten, Ihren Bedrohungen und Ihrer Größe ab.

Ein ISO 27001 Informationssicherheits-Managementsystem füllt genau diesen Raum. Sein Anhang A verwandelt dieses gesetzliche Schweigen in 93 konkrete Kontrollen, die von der Zugriffsverwaltung bis zur Vorfallbehandlung reichen, also genau in jene Umsetzungsdetails, die das Gesetz offenlässt. Öffnet eine Behörde eine Akte, ist der Hinweis auf ISO 27001 samt Ihrer Anwendbarkeitserklärung eine deutlich stärkere Position als ein Ordner mit losen Notizen.

Gesetzliche Pflichten den ISMS-Kontrollen zuordnen

Der Wert der Verbindung zeigt sich, sobald Sie jede gesetzliche Pflicht neben den Teil des Systems stellen, der sie erfüllt. Die Pflichten sind nicht abstrakt. Jede hat ihren Platz in der Norm, und wer sie als ein einziges Programm behandelt, spart sich den Aufwand, dieselbe Kontrolle zweimal zu dokumentieren.

Sicherheit der Verarbeitung

Die zentrale Pflicht nach KVKK Artikel 12 und DSGVO Artikel 32 ist der Schutz personenbezogener Daten vor Verlust, unbefugtem Zugriff und Veränderung. Im System ist das der eigentliche Motor: eine Risikobeurteilung, die feststellt, wo personenbezogene Daten liegen und was sie bedroht, gefolgt von einem Risikobehandlungsplan, der die Kontrollen aus Anhang A im Verhältnis zu diesem Risiko auswählt. Die Norm zwingt Sie, jede Kontrolle in der Anwendbarkeitserklärung zu begründen, und genau diese Begründung erwartet eine Behörde, wenn sie fragt, warum Sie Ihre Maßnahmen für angemessen halten.

Wissen, welche Daten Sie halten

Daten, die Sie nicht erfasst haben, können Sie weder schützen noch rechtskonform melden. Die KVKK verpflichtet die meisten Verantwortlichen, ihr Verarbeitungsverzeichnis bei VERBIS zu registrieren, und DSGVO Artikel 30 verlangt ein Verzeichnis von Verarbeitungstätigkeiten. Die ISO 27001 Kontrolle A.5.9, das Verzeichnis der Informationswerte und zugehörigen Werte, baut dasselbe Bild von der Sicherheitsseite auf. Führen Sie eine einzige Datenaufnahme durch und speisen Sie damit sowohl das gesetzliche Verzeichnis als auch das Inventar, statt zwei auseinanderlaufende Tabellen zu pflegen.

Meldung gegen die Uhr

Geht etwas schief, startet das Gesetz eine Uhr. Die türkische Datenschutzbehörde erwartet die Meldung einer Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden, nachdem der Verantwortliche Kenntnis erlangt hat, und die DSGVO-Artikel 33 und 34 setzen dasselbe Zeitfenster für die Meldung an die Behörde und, bei hohem Risiko, an die betroffenen Personen. Eine Verletzung wird über die Vorfallkontrollen des Systems erkannt (A.5.24 bis A.5.28), daher ist der von der Norm geforderte Weg aus Erkennung, Bewertung und Eskalation derselbe, der eine fristgerechte und belastbare Meldung hervorbringt. Verankern Sie die 72-Stunden-Entscheidung im Vorfallverfahren, und die gesetzliche Frist verliert ihren Schrecken.

Auftragsverarbeiter und Lieferkette steuern

Die meisten Daten verlassen Ihr Haus. KVKK Artikel 8 und 9 regeln die Übermittlung an Dritte, DSGVO Artikel 28 verlangt einen verbindlichen Vertrag mit jedem Auftragsverarbeiter, und beide erwarten, dass Sie die Sicherheit des Empfängers prüfen. Die Lieferantenkontrollen des Systems (A.5.19 bis A.5.23, einschließlich Cloud-Diensten) liefern den Fragebogen zur Sorgfaltsprüfung, die vertraglichen Sicherheitsklauseln und die Überwachung, die aus dieser gesetzlichen Erwartung einen tatsächlich vorhandenen Nachweis je Dienstleister machen.

Auskunftsersuchen beantworten

KVKK Artikel 11 und Kapitel 3 der DSGVO geben Personen das Recht zu erfahren, welche Daten Sie halten, sie berichtigen zu lassen und in bestimmten Fällen ihre Löschung zu verlangen. Innerhalb der gesetzlichen Frist können Sie das nur beantworten, wenn Sie jede Kopie der Daten dieser Person rasch finden, was wiederum auf dem Dateninventar und auf den Zugriffskontrollen beruht, die zeigen, wer welchen Datensatz erreichen kann. Ein scheinbar rein rechtliches Recht hängt an derselben Ordnung, die das System ohnehin verlangt.

Datenschutz durch Technikgestaltung

DSGVO Artikel 25 verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen, also Datenschutz, der eingebaut und nicht nachträglich angesetzt wird. Die Kontrollen des Systems für sichere Entwicklung und Änderungsmanagement (A.8.25 bis A.8.28) bringen diese Disziplin in Ihre Projekte: Bedrohungsanalyse, bevor ein System live geht, Sicherheitsanforderungen im Lastenheft und Tests vor der Freigabe. Rechtsgrundsatz und technische Kontrolle sind zwei Blicke auf dieselbe Gewohnheit.

Wo ISO 27001 endet und das Gesetz weitergeht

Hier zählt Ehrlichkeit, denn das Zertifikat zu überzeichnen ist der Punkt, an dem Unternehmen auffliegen. ISO 27001 schützt personenbezogene Daten gut, sagt aber wenig über die Rechtmäßigkeit der Verarbeitung. Ob Sie eine gültige Rechtsgrundlage oder Einwilligung haben, ob Ihr Datenschutzhinweis ausreicht, ob Sie Zweckbindung und Datenminimierung einhalten, ob eine Drittlandübermittlung auf einem rechtlichen Mechanismus beruht und ob Sie die von der KVKK erwartete Kontaktperson benannt haben: das sind rechtliche Wertungen, die die Norm Ihnen nicht abnimmt.

An diesem Punkt verdient sich ein eigenes Datenschutz-Managementsystem seinen Platz. Eine Norm wie BS 10012 für das Management personenbezogener Daten erweitert das Sicherheitsrückgrat gezielt um den Datenschutz und ergänzt Kontrollen für Rechtsgrundlage, Betroffenenrechte, Aufbewahrung und Einwilligung, die ISO 27001 beiseitelässt. Auf einem bestehenden System aufgesetzt, schließt sie die Datenschutzhälfte des Bildes, ohne das Managementsystem neu zu bauen.

Beide als ein System betreiben

Die Verbindung ist praktisch, nicht theoretisch. Einige gemeinsame Mechanismen tragen sowohl die Sicherheits- als auch die Rechtslast:

• Ein Inventar. Eine einzige Daten- und Wertekarte bedient VERBIS, das DSGVO-Verarbeitungsverzeichnis und das Inventar des Systems zugleich.
• Eine Risikobeurteilung. Beziehen Sie das Datenschutzrisiko samt Datenschutz-Folgenabschätzung in dieselbe Methodik ein, die die Behandlung der Informationssicherheitsrisiken steuert.
• Eine Anwendbarkeitserklärung. Ergänzen Sie eine Spalte, die die gesetzliche Pflicht hinter jeder Kontrolle benennt, damit das Dokument zugleich Ihr Nachweis der Rechenschaftspflicht ist.
• Ein Vorfallverfahren. Erkennung, Schwerebewertung und die 72-Stunden-Entscheidung leben in einem einzigen Leitfaden.
• Ein Auditkalender. Internes Audit und Managementbewertung bestehen unter ISO 27001 bereits; weiten Sie ihren Geltungsbereich aus, um zugleich die Rechtskonformität zu prüfen.

Die Rechenschaftspflicht in beiden Regelwerken verlangt, dass Sie die Konformität nachweisen und nicht nur behaupten. Ein Informationssicherheits-Managementsystem ist im Grunde eine Maschine, die diesen Nachweis erzeugt: dokumentierte Entscheidungen, Prüfpfade, Korrekturmaßnahmen und die Freigabe der Geschäftsführung. Wenn die Behörde oder ein großer Kunde einen Nachweis verlangt, übergeben Sie bereits geführte Aufzeichnungen, statt nachträglich eine Verteidigung zusammenzustellen.

Beginnen Sie mit dem System, das Sie vielleicht schon haben

Wenn Sie ISO 27001 bereits halten, sind Sie einer belastbaren Datenschutz-Konformität näher, als Sie vermuten, und die Arbeit besteht darin, Ihre vorhandenen Kontrollen den gesetzlichen Pflichten zuzuordnen und die datenschutzspezifischen Lücken zu füllen. Beginnen Sie bei null, bauen Sie das System von Anfang an mit der rechtlichen Zuordnung im Blick, damit Sie keine Kontrolle zweimal dokumentieren. So oder so behandeln Sie Sicherheit und Datenschutz als eine Pflicht mit einem einzigen Nachweisbestand. Unsere Teams begleiten sowohl die ISO 27001 Zertifizierung als auch die Datenschutzseite, damit das System, das Sie aufbauen, dem Auditor und der Behörde mit demselben Satz an Aufzeichnungen antwortet.