AUDITOR, die Datenschutz-Zertifizierung für Cloud-Anbieter (GDPR CC)

In dieser Phase müssen Sie zunächst sicherstellen, dass Sie alle Voraussetzungen für eine Zertifizierung erfüllen. Dazu gehört, dass Sie für die zu zertifizierenden Cloud-Dienste die relevanten Datenverarbeitungsvorgänge so implementiert haben, dass sie den Anforderungen der DS-GVO entsprechen. Außerdem sollten Sie eine Risikoanalyse durchgeführt und dokumentiert haben, wie Sie mit Risiken umgehen, die die Vertraulichkeit, Integrität oder Verfügbarkeit von personenbezogenen Daten beeinträchtigen können.

Im Rahmen der Vorbereitung auf eine Zertifizierung haben sich sogenannte Dry-Runs (Probeläufe / Vor-Audits) bewährt. Bei der Durchführung eines Dry-Runs kann ein externer Dienstleister die Umsetzung der vorhandenen Vorgaben in Ihrem Unternehmen und dem zu betrachtenden Cloud-Dienst in Bezug auf die angestrebte Zertifizierung nach „AUDITOR“ prüfen und beurteilen sowie Verbesserungspotential identifizieren. Es wird auf bestimmte Bereiche geschaut, jedoch keine vollumfängliche Prüfung durchgeführt, welche mit einer Erst-Zertifizierung vergleichbar wäre.

Der nachfolgenden Grafik können Sie den exemplarischen Ablauf eines Dry-Runs entnehmen.

Wichtig: Die PwC Certification Services GmbH bietet selbst keinerlei Beratungen oder Dry-Runs zur Implementierung von AUDITOR-konformen Cloud Services an.

Wenn Sie bereit sind, können Sie bei uns einen Antrag auf Zertifizierung stellen. Im Rahmen der Bewertung der eingereichten Antragsunterlagen wird u. a. geprüft, ob:

• die Informationen über die antragstellende Organisation und über den Zertifizierungsgegenstand ausreichend für die Durchführung der Ermittlung sind,
• die Anforderungen an die Zertifizierung seitens der Zertifizierungsstelle klar definiert und dokumentiert sind und der antragstellenden Organisation bereitgestellt wurden,
• die Zertifizierungsstelle über die Kompetenz und die Fähigkeit verfügt, die Zertifizierungstätigkeiten durchzuführen,
• der Geltungsbereich der angestrebten Zertifizierung, die Standorte der Tätigkeiten der antragstellenden Organisation, die zur Ausführung der Ermittlungen erforderliche Zeit sowie alle anderen Aspekte, die die Zertifizierungstätigkeit beeinflussen, berücksichtigt werden (Sprache, Sicherheitsbedingungen, Gefährdungen der Unparteilichkeit und so weiter)

Auf Grundlage dieser Informationen erstellen wir Ihnen ein ausführliches Angebot zur Zertifizierung inkl. Zertifizierungsvereinbarung.

Wenn die Bewertung der Antragsunterlagen zu einem positiven Bewertungsergebnis geführt hat und das Angebot zur Zertifizierung durch sie schriftlich bestätigt / angenommen wurde, erfolgt die detaillierte Planung und Durchführung der Ermittlung (Audit der Stufe 2). Sie beinhaltet immer ein Audit vor Ort und ggf. weitere Ermittlungsmethoden gemäß dem AUDITOR-Konformitätsbewertungsprogramm und umfasst alle relevanten Standorte der Organisation für die zu zertifizierenden Datenverarbeitungsvorgänge. Neben der Dokumentation prüft das Ermittlungsteam anhand von Interviews mit Mitarbeitenden die Prozesse und Verfahren des Cloud Services gemäß den Vorgaben des AUDITOR-Kriterienkatalogs.

Die Bewertung und Entscheidung der normkonformen Umsetzung der Anforderungen und ggf. Korrekturmaßnahmen des Audits erfolgt durch die Zertifizierungsstelle. Erst wenn alle Nichtkonformitäten geschlossen und die AUDITOR-Anforderungen erfüllt sind, erhalten Sie das Zertifikat, das eine Laufzeit von max. 3 Jahren hat.

Um die Einhaltung der DS-GVO der zertifizierten Cloud Services zu überprüfen und sicherzustellen, dass diese weiterhin den Anforderungen des AUDITOR-Kriterienkatalogs entsprechen, werden regelmäßig Überwachungstätigkeiten durchgeführt. Auf Grundlage einer Zwischenprüfung und geeigneter Stichproben hat die Zertifizierungsstelle festzustellen, ob die zertifizierten Datenverarbeitungsvorgänge die Zertifizierungskriterien nach der festgelegten Schutzklasse weiterhin erfüllen. Die jährliche Zwischenprüfung ist frühestens nach Ablauf des sechsten und spätestens bis zum Ablauf des zwölften Monats ab Zertifizierungserteilung oder der entsprechenden Zeitpunkte der Folgejahre durchzuführen.

Die folgenden Punkte werden bei der Zwischenprüfung u. a. berücksichtigt:

• Der Ermittlungsteamleiter führt die Zwischenprüfung gemäß dem vereinbarten Zeitplan und in Absprache mit dem Cloud-Anbieter vor Ort durch.
• Der Umfang der Zwischenprüfung ist so zu wählen, dass mindestens die seit der letzten Prüfung erfolgten Änderungen der Datenverarbeitungsvorgänge durch Ermittlungsmethoden geprüft werden.
• Im Rahmen der Überwachung prüft die Zertifizierungsstelle insbesondere, ob anerkannte Zertifikate weiterhin gültig sind. Bei der Re-Zertifizierung der anerkannten Zertifizierung wird die Ablauffrist der AUDITOR-Zertifizierung auf die Laufzeit des anerkannten Zertifikats verlängert, jedoch maximal auf die Standardlaufzeit der AUDITOR-Zertifizierung von 3 Jahren oder bei weiteren anerkannten Fremdzertifikaten auf die kürzeste Laufzeit.

Nach drei Jahren müssen Sie sich einer Re-Zertifizierung unterziehen, um sicherzustellen, dass Sie weiterhin den Anforderungen des AUDITOR-Kriterienkatalogs entsprechen.

Grundsätzlich muss die Rezertifizierung noch während der Laufzeit des aktuellen Zertifikates abgeschlossen sein. Dies gilt auch für die Übernahme von akkreditierten Zertifizierungen anderer Zertifizierungsgesellschaften. Um dies zu ermöglichen, sollte die Rezertifizierungsermittlung möglichst 45 Tage vor Ablauf des Zertifikates abgeschlossen werden, muss jedoch spätestens 36 Monate nach der Zertifizierungsermittlung abgeschlossen sein. Aus diesem Grund ist bei der Planung zu berücksichtigen, dass die Fristen für die Bearbeitung von möglicherweise identifizierten Abweichungen angepasst werden müssen. Der Termin für den Abschluss der VorOrt-Ermittlung sollte mindestens 3 Wochen vor Ablauf des Zertifikates geplant werden, damit die Maßnahmen noch bewertet werden können und die Zertifizierungsstelle-DL das Verfahren abschließend beurteilen kann.

Wenn die Rezertifizierungstätigkeiten vor Ablauf der bestehenden Zertifizierung erfolgreich abgeschlossen werden, dann kann das Ablaufdatum der neuen Zertifizierung auf dem Ablaufdatum der bestehenden Zertifizierung beruhen. Das Ausgabedatum des neuen Zertifikats muss dem Tag der Rezertifizierungsentscheidung oder einem späteren entsprechen.