Ergebnisbericht

3.2 Art. 1 Zweck

Mehrere Stellen bemängeln die Tatsache, dass die Richtlinien den Kauf von ISO 27001 voraussetzen würden. So wird vor allem kritisiert, dass die Richtlinien aus sich heraus nicht verständlich seien (Belser; SWISS TS; SGS; Datenschutzforum; Klasse HSLU; FER). SQS verlangt, dass diejenigen Teile des Gesamtumfangs von ISO 27001, die zur Anwendung kommen sollen, aus dem Blickwinkel des DSG genau zu spezifizieren seien.

SWISS TS ist der Auffassung, dass es wichtig sei, die DS-Zertifizierung klar von der ISMS-Zertifizierung zu unterscheiden, denn die Informationssicherheit umfasse ja nur einen Teil des Datenschutzes.

Eine weitere Stelle hält fest, dass die VDSZ auch ISO 9001:2000 erwähne, weshalb es nicht genüge, nur auf ISO 27001:2005 zu verweisen (SGS). Eine andere Stelle erachtet ein alleiniger Verweis auf ISO 27001:2005 als ungenügend, da diese Norm nur die DS-

Sicherheit, nicht aber die anderen Datenschutzgrundsätze abdecke, zudem stelle sich die Frage wie bei einer Überarbeitung der Norm vorgegangen würde (Datenschutzforum).

CLUSIS stellt sich die Frage, was in Zusammenhang mit der zukünftigen Norm ISO/CEI 29100 sein wird.

Eine Stelle weist darauf hin, dass eventuelle „Referenzierungen“ als reine Orientierungshilfe zu bezeichnen seien um eine zu technische Ausrichtung zu vermeiden (SQS).

3.3 Art. 2 Auslegung 3.4

Die SGS ist der Auffassung, dass es nicht genügen dürfte, „IS“ einfach in „DS“ umzudeuten. Und auch andere Stellen halten fest, dass Informationssicherheit und Datenschutz nicht dasselbe seien (Datenschutzforum, FER).

3.5 Anhang

Zum Anhang finden sich die verschiedensten Bemerkungen. So hält SWISS TS fest, dass es sinnvoll wäre den Inhalt des Anhangs in die Richtlinien selbst niederzulegen und gleichzeitig weniger stichwortartig zu verfassen. Die SGS und das Datenschutzforum sind der

Auffassung, dass klarer darauf hingewiesen werden sollte, dass der Leitfaden eine Hilfe und keine Weisung und nicht abschliessend sei. Das Datenschutzforum findet, es sei darauf hinzuweisen, dass mit dem Leitfaden nur die Datenschutzgrundsätze des 2. Kapitels des DSG abgedeckt seien. Für die SGS und das Datenschutzforum ist zudem fraglich, ob der Begriff „Massnahme“ korrekt verwendet werde. Schliesslich findet Belser, dass es in den Richtlinien keinen Platz für eigene normative Vorschriften habe, zudem sei etwas entweder datenschutzkonform oder nicht.

Organisationen, die Stellungnahmen eingereicht haben:

Belser: Belser Datenschutz GmbH

SQS Schweizerische Vereinigung für Qualitäts- und Management-Systeme

CP Centre Patronal

CLUSIS Association suisse de la sécurité des systèmes d’information

Swiss TS Swiss TS Technical Services AG

SGS SGS Société Générale de Surveillance SA

Datenschutzforum Datenschutzforum Schweiz

FER Fédération des Entreprises Romandes