Ergebnisbericht

4.2 Datenschutz- und Datensicherheitsverantwortlicher (Abs. 1)

4.2.1: HIN begrüsst, dass die Norm ISO 27001 explizit erwähnt sei. Die SQS macht darauf aufmerksam, dass die ISO/IEC 27001:2013 kein Datenschutz- und Datensicherheitsmanagementsystem, sondern ein ISMS beschreibe. Das zu betreibende Datenschutzmanagementsystem müsse auf der Norm ISO/IEC 27001 aufbauen bzw. die Norm ISO/IEC 27001 erfüllen. Geeignet für die Beschreibung des Datenschutzmanagementsystems seien hingegen die „Richtlinien über die Mindestanforderungen an ein Datenschutzmanagementsystem (Richtlinien über die Zertifizierung von Organisation und Verfahren) vom 14. Juni 2014“ des EDÖB, welche bei einer Zertifizierung nach Artikel 11 DSG zur Anwendung gelangen. Die SQS schlägt die folgenden beiden Varianten für die Formulierung von Ziffer 4.2.1 vor: „Gemeinschaften müssen ein Informations- und Managementsystem betreiben, wie in der Norm ISO/IEC 27001:2013 beschrieben wird, das: […]“ und „Gemeinschaften müssen ein Datenschutz- und Datensicherheitsmanagementsystem betreiben, wie in den Richtlinien über die Mindestanforderungen an ein Datenschutzmanagementsystem (Richtlinien über die Zertifizierung von Organisation und Verfahren) vom 14. Juni 2014 des EDÖB beschrieben wird, das: […]“. Die Kantone ZH und ZG, der ZAD, die K3 und der VZK erachten Ziffer 4.2.1 als nicht sinnvoll und wünschen daher die Streichung. Die OFAC schreibt, dass die Datenschutz- und Datensicherheitsmanagementsysteme perfekt gemeinsam funktionieren würden, aber niemals verwechselt werden sollten. Die beiden Systeme sollten getrennt verwaltet werden. Zudem weist sie, ähnlich wie die SQS, darauf hin, dass die Norm ISO/IEC 27001:2013 keine Datenschutzmanagementsysteme definiere, womit der Satz neu zu formulieren sei.

4.2.2 / 4.2.3: Die ISSS schreibt, dass via den Ziffern 4.2.2.3.1 – 4.2.2.3.3 und 4.2.2.3.5 bewusst auch die Komponenten für die ICT-Fachdisziplinen wie Angriffssicherheit, Betriebsausfallsicherheit und System- und Daten-Backup abverlangt werden sollten. Dies zur Awareness und Grundlage für Management Review / Auditierungen / Zertifizierungen. Sie schlagen für die erwähnten Ziffern folgende Zusätze vor: Ziffer 4.2.2.3.1: „Hardware (Inventar der Datenspeicher, Server, Backup-Systeme, Sicherheitsfunktionen); Ziffer 4.2.2.3.2: Software (Inventar von Betriebs- und EPD-Anwendungssystem, Endpoint Protection, Backup, Monitoring, Update- und Patch-Management); Ziffer 4.2.2.3.3: Datenbestände (Beschreibung zu Datenhaltung, Datenorganisation, Datensicherheit, Berechtigungen); Ziffer 4.2.2.3.5: Prozesse (zu Datenschutz- und Datensicherheitsmanagementsystem, insbesondere auch zu Ausfallszenarien, Recovery, Tests, Audits, Verantwortlichkeiten). Die Post fragt bezüglich Ziffer 4.2.2.3, ob das Inventar alle angeschlossenen Primärsysteme einschliesse oder ob es hier lediglich um die zentralen Komponenten gehe. Sie beantragt, dass der Scope der TOZ klar umschrieben wird. Die SQS bemängelt, dass die Bestimmungen gemäss den Ziffern 4.2.2 und 4.2.3 nicht kongruent mit denjenigen des Artikels 11 EPDV seien. Entweder sei Artikel 11 EPDV zu ergänzen oder die beiden Ziffern anzupassen. Bezüglich Ziffer 4.2.2.3 schreibt die SQS, dass das Inventar in ISO/IEC 27001:2013 nicht nur Betriebsmittel betreffe. Die Norm spreche von Assets / Werten der Organisation. Dazu gehörten bspw. auch die Mitarbeitenden. Die Aufbauorganisation sei zudem zu wenig umfassend. Es wird folgender Text vorgeschlagen: „Ein aktuelles Inventar der folgenden Werte der Organisation“. Entsprechend sei auch Ziffer 4.2.3 folgendermassen anzupassen: „[…] an den Werten der Organisation sind zu […]“.

4.3 Datenschutz und Datensicherheitsverantwortlicher (Abs. 1 Bst. a)

20 Stellungnehmende¹¹¹ sind der Ansicht, dass auf die Schaffung von besonderen „Datenschutz- und Datensicherheitsverantwortlichen“ zu verzichten sei. 14 Stellungnehmende¹¹² fügen hinzu, dass der Sicherheitsgewinn durch solche Verantwortliche nicht ersichtlich sei. Zudem seien die Kosten für die Einrichtung solcher Stellen hoch. Der ZAD, die GDK und 8 Kantone¹¹³ weisen darauf hin, dass die TOZ hier von den Erläuterungen zu Artikel 11 EPDV abweichen würden, in welchem von einer „fachlichen und organisatorischen“ Unabhängigkeit des Datenschutzverantwortlichen die Rede sei. Der Kanton AR ist der Meinung, dass der zuständige Datenschutzbeauftragte, bei genügender Kapazität, diese Aufgabe übernehmen sollte und in diesem Fall auf die Einsetzung einer unabhängigen Stelle verzichtet