ISO 27001 und die DSGVO verfolgen unterschiedliche Ziele: Die DSGVO ist ein europ\u00e4isches Datenschutzgesetz, das vorschreibt, wie personenbezogene Daten zu sch\u00fctzen sind. ISO 27001 ist ein internationaler Standard f\u00fcr Informationssicherheitsmanagement, der einen systematischen Rahmen bietet, um alle Arten von Informationen zu sch\u00fctzen, nicht nur personenbezogene Daten. Beide Regelwerke erg\u00e4nzen sich gut, ersetzen sich aber nicht gegenseitig. In diesem Artikel beantworten wir die wichtigsten Fragen dazu.<\/p>\n
ISO 27001 regelt den Schutz aller unternehmensrelevanten Informationen, also auch Gesch\u00e4ftsgeheimnisse, interne Prozesse, technische Dokumentationen und geistiges Eigentum. Die DSGVO konzentriert sich ausschlie\u00dflich auf personenbezogene Daten nat\u00fcrlicher Personen. ISO 27001 geht damit deutlich breiter vor und sch\u00fctzt das gesamte Informationsverm\u00f6gen eines Unternehmens.<\/p>\n
Konkret bedeutet das: Ein Unternehmen, das seine Kundendaten gem\u00e4\u00df DSGVO sch\u00fctzt, muss trotzdem keine strukturierten Sicherheitsprozesse f\u00fcr seine internen Systeme, Passwortrichtlinien oder Notfallpl\u00e4ne haben, zumindest nicht nach DSGVO-Vorgaben. Genau hier setzt ISO 27001<\/a> an. Der Standard verlangt ein vollst\u00e4ndiges Informationssicherheits-Managementsystem (ISMS), das unter anderem folgende Bereiche abdeckt:<\/p>\n Die DSGVO schreibt vor, was<\/em> zu sch\u00fctzen ist. ISO 27001 zeigt, wie<\/em> man es systematisch sch\u00fctzt.<\/p>\n ISO 27001 ist grunds\u00e4tzlich freiwillig. Es gibt keine allgemeine gesetzliche Pflicht in Deutschland oder der EU, sich nach ISO 27001 zertifizieren zu lassen. Allerdings verlangen bestimmte Branchen, Auftraggeber oder Ausschreibungen eine ISO-27001-Zertifizierung als Voraussetzung f\u00fcr eine Zusammenarbeit.<\/p>\n In der Praxis wird ISO 27001 f\u00fcr kleine Unternehmen oft dann relevant, wenn sie:<\/p>\n Die DSGVO hingegen ist gesetzlich verpflichtend f\u00fcr alle Unternehmen, die personenbezogene Daten von EU-B\u00fcrgern verarbeiten, ohne Ausnahme. Wer dagegen verst\u00f6\u00dft, riskiert empfindliche Bu\u00dfgelder. ISO 27001 ist freiwillig, kann aber in bestimmten Marktsegmenten faktisch zur Pflicht werden, wenn Kunden oder Partner es einfordern.<\/p>\n ISO 27001 und die DSGVO erg\u00e4nzen sich sehr gut, weil die Ma\u00dfnahmen des Standards direkt dabei helfen, viele DSGVO-Anforderungen zu erf\u00fcllen. Wer ein funktionierendes ISMS nach ISO 27001 betreibt, hat einen gro\u00dfen Teil der technischen und organisatorischen Ma\u00dfnahmen (TOMs) bereits umgesetzt, die die DSGVO in Artikel 32 fordert.<\/p>\n Konkret profitieren Unternehmen auf mehreren Ebenen:<\/p>\n Kurz gesagt: ISO 27001 liefert die Struktur, die DSGVO-Compliance erst wirklich tragf\u00e4hig macht.<\/p>\n Nein, eine ISO-27001-Zertifizierung ersetzt die DSGVO-Compliance nicht. Die Zertifizierung beweist, dass ein Unternehmen Informationssicherheit systematisch managt, sie ist aber kein rechtlicher Nachweis f\u00fcr die Einhaltung der Datenschutzgrundverordnung.<\/p>\n Der Unterschied liegt im Geltungsbereich: Die DSGVO enth\u00e4lt spezifische Rechte f\u00fcr betroffene Personen, zum Beispiel das Recht auf Auskunft, L\u00f6schung oder Daten\u00fcbertragbarkeit. Diese Rechte sind in ISO 27001 nicht abgebildet. Auch Themen wie Einwilligungsmanagement, Datenschutzerkl\u00e4rungen oder die Benennung eines Datenschutzbeauftragten sind rein datenschutzrechtliche Pflichten, die der Standard nicht abdeckt.<\/p>\n Was eine ISO-27001-Zertifizierung<\/a> jedoch tut: Sie zeigt Aufsichtsbeh\u00f6rden und Gesch\u00e4ftspartnern, dass das Unternehmen Informationssicherheit ernst nimmt und strukturiert vorgeht. Das kann im Fall einer Datenpanne ein wichtiges Argument sein, dass das Unternehmen angemessene Schutzma\u00dfnahmen getroffen hat.<\/p>\n F\u00fcr die meisten kleinen Unternehmen gilt: DSGVO-Compliance zuerst, weil sie gesetzlich verpflichtend ist. Wer personenbezogene Daten verarbeitet und die DSGVO nicht einh\u00e4lt, riskiert Bu\u00dfgelder und Abmahnungen. ISO 27001 ist sinnvoll, wenn das Unternehmen danach seine Informationssicherheit systematisch aufbauen oder Kunden gegen\u00fcber nachweisen m\u00f6chte, dass es sicher arbeitet.<\/p>\n Die gute Nachricht: Beide Projekte lassen sich gut parallel angehen oder sinnvoll aufeinander aufbauen. Wer mit ISO 27001 beginnt, hat viele DSGVO-Anforderungen automatisch miterf\u00fcllt. Wer zuerst die DSGVO umsetzt, hat schon eine gute Grundlage f\u00fcr ein sp\u00e4teres ISMS.<\/p>\n F\u00fcr kleine Unternehmen empfiehlt sich folgende Reihenfolge:<\/p>\n\n
Ist ISO 27001 gesetzlich vorgeschrieben oder freiwillig?<\/h2>\n
\n
Wie erg\u00e4nzen sich ISO 27001 und DSGVO gegenseitig?<\/h2>\n
\n
Ersetzt eine ISO-27001-Zertifizierung die DSGVO-Compliance?<\/h2>\n
Welches Regelwerk sollte ein kleines Unternehmen zuerst umsetzen?<\/h2>\n
\n