Vorlage

RICHTLINIEN

betreffend die Mindestanforderungen an das Datenschutzmanagementsystem (Zertifizierung von Organisationen und Verfahren im Sinne von Art. 4 VDSZ)

vom XX November 2007

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte,

gestützt auf Art. 11 Abs. 2 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG)¹,

gestützt auf Art. 4 Abs. 3 der Verordnung vom 28. September 2007 über die

Datenschutzzertifizierungen (VDSZ)²,

erlässt folgende Richtlinien:

Art. 1 Zweck

¹ Die Richtlinien legen die Mindestanforderungen an das Datenschutzmanagementsystem (DSMS) fest, um eine Zertifizierung von Organisationen und Verfahren im Sinne von Art. 4 VDSZ zu erhalten. Sie berücksichtigen dabei internationale Normen und Standards für die Errichtung, den Betrieb, die Überwachung und die Verbesserung von Managementsystemen, insbesondere die Norm ISO/IEC 27001:2005³.

² Diese Richtlinien decken die gesamte vorgenannte Norm ISO 27001 ab, die sie im Sinne von Art. 2 auslegen und gemäss Art. 3 nachfolgend ergänzen oder abändern.

Art. 2 Auslegung

¹ Im Sinne der vorliegenden Richtlinien, ist Informationssicherheit (IS) in Datenschutz (DS) umzudeuten, insbesondere betreffend die Managementsysteme (DSMS anstelle von ISMS).

² Der Begriff der (Nicht-)Konformität betreffend die Datenschutzvoraussetzungen ergänzt systematisch denjenigen der Risiken betreffend die Ziele der Informationssicherheit.

1 SR 235.1

2 SR ……………..