Erläuternder Bericht

In einem zweiten Schritt ging es darum, den normativen Anhang A von ISO 27001, der aus dem Inhaltsverzeichnis der Norm ISO/IEC 27002:2005, bekannter unter dem Namen

„Leitfaden zum Management von Informationssicherheit“ besteht, zu übernehmen. Dieser besteht aus 15 Kapiteln, wovon die 11 letzten die „Kontrollgruppen“ bilden, die ihrerseits in 39 „Kontrollziele“ unterteilt sind und zu insgesamt 133 „Kontrollmassnahmen“ führen.

Daraus ergibt sich das Schwergewicht Datenschutz, da die Massnahme 15.1.4, die den „Datenschutz und Vertraulichkeit von personenbezogenen Informationen“ betrifft und die in der Substanz vorschreibt, dass „diese gemäss den Rechtsnormen, Reglementen und allfällig anwendbaren Vertragsbestimmungen gewahrt sein müssen.“

Im Blickwinkel einer Datenschutzzertifizierung von Organisationen oder von Verfahren,

versteht sich von selbst, dass diese sehr generelle Massnahme detailliert und in Unterziele unterteilt werden muss, die ihrerseits in konkrete Massnahmen umzusetzen sind. Dies ist nun im Rahmen einem „Leitfaden für die Umsetzung der DSMS-Richtlinien“ erfolgt, das den

Anhang der „Richtlinien über die Mindestanforderungen an das DSMS“ bildet.

Gestützt auf das Beispiel der OZDE und anderen Ländern wie Australien, Kanada und Grossbritannien, haben wir „9 Datenschutzgrundsätze“ als Hauptzwecke dieses „Leitfadens für die Umsetzung der DSMS-Richtlinien“ definiert. Diese Grundsätze bestehen aus 20 konkreten Datenschutzmassnahmen, die in nicht abschliessender Art die wichtigsten

Voraussetzungen, die dem Gesetz oder seiner Vollzugsverordnung entspringen. Um das Lesen zu erleichtern und zum besseren Verständnis dieses Anhangs, ist jede Massnahme gemäss dem Standard ISO 27002 strukturiert, von dem sie eine spezielle Ausweitung für den Datenschutz bildet. Gleich wie die ISMS-Massnahme 15.1.4 ihrerseits auf ein DSMS

verweist, muss hier noch hervorgehoben werden, dass das 7. Ziel „Datensicherheit“ mit seinen assoziierten Massnahmen nichts anderes als ein Verweis des DSMS auf ein ISMS ist. Unter den 133 bestehenden Sicherheitsmassnahmen von ISO 27002 wurde vor allem eine Vorselektion der für den Datenschutz relevantesten Massnahmen gemacht.

Auch wenn es ausser Frage steht, für den Erhalt einer DSMS-Zertifizierung eine ISMS-Zertifizierung vorauszusetzen, so wird doch der Umfang der Anerkennung einer bestehenden ISMS-Zertifizierung, insbesondere was die Voraussetzungen gemäss Art. 7 DSG betrifft, im Einzelfall durch den Zertifizierer abgewogen und entschieden werden müssen. Was die Akkreditierung durch die SAS betrifft, ist es dagegen möglich, dass die DSMS-

Akkreditierung als Ausweitung der ISMS-Akkreditierung (ISO 27001) vorgesehen werden könnte, aufgrund der engen und ausdrücklichen Beziehung zu den Voraussetzungen dieser internationalen Norm.

Für alle betroffenen Akteure (Akkreditierer, Zertifizierer, Zertifizierte, Auditierer,

Kontrolleure, etc.) muss betont werden, dass das zur Zeit bestehende enge Verhältnis mit den internationalen Normen ISO 27001 et 27002 aufgrund ihrer weltweiten Anerkennung und Durchdringung auf dem Weltmarkt klug und vorteilhaft ist, sowie aufgrund ihrem wertvollen Beitrag betreffend Terminologie, Struktur und Systematik. Dieser normative Zusammenhang ist oder wird übrigens schon bald erweitert werden durch zusätzliche Leitfäden wie ISO 27003 « Umsetzung des ISMS », ISO 27004 « Metrik und Messbarkeit », ISO 27005

« Risikomanagement », ISO 27006 « Akkreditierungsvoraussetzungen » oder aber ISO 27007 « Audits von ISMS».