DIN EN ISO/IEC 27018:2026-08 - Entwurf

Worum geht es in der DIN EN ISO/IEC 27018?

Die DIN EN ISO/IEC 27018 legt Maßnahmen zum Schutz personenbezogener Daten (PII) in öffentlichen Cloud-Diensten fest. Die Norm richtet sich an Cloud-Anbieter, die als Auftragsverarbeiter personenbezogene Daten im Auftrag ihrer Kund*innen verarbeiten, und ergänzt die Anforderungen der ISO/IEC 27001 und ISO/IEC 27002 um datenschutzspezifische Kontrollen. Dabei berücksichtigt sie die Datenschutzprinzipien des ISO/IEC 29100 Privacy Frameworks und unterstützt die datenschutzkonforme Verarbeitung personenbezogener Daten in Public-Cloud-Umgebungen.

Ziel der Norm ist es, Datenschutz in der Cloud und Informationssicherheit zu stärken sowie transparente Anforderungen für die Verarbeitung personenbezogener Daten in Public-Cloud-Umgebungen zu schaffen. Damit unterstützt sie einen einheitlichen Cloud-Datenschutz und den vertrauenswürdigen Einsatz von Cloud Computing.

Welche Inhalte behandelt die Norm?

Die DIN EN ISO/IEC 27018 beschreibt organisatorische, technische und vertragliche Maßnahmen zum Schutz personenbezogener Daten in Public Clouds. Dabei stehen Transparenz, Zweckbindung, Datenminimierung und die Unterstützung datenschutzrechtlicher Anforderungen im Mittelpunkt.

Behandelte Themen im Überblick:

• Schutz personenbezogener Daten (PII) in Public Clouds
• Anforderungen an Cloud-Anbieter als Auftragsverarbeiter
• Umsetzung der Datenschutzprinzipien nach dem ISO/IEC 29100 Privacy Framework
• Transparenz, Zweckbindung und Datenminimierung bei der Datenverarbeitung
• Betroffenenrechte sowie Löschung und Rückgabe von Daten
• Umgang mit Datenschutzverletzungen und internationalen Datenübermittlungen 

Warum ist die Norm für die Praxis relevant?

Die DIN EN ISO/IEC 27018 unterstützt Cloud-Anbieter dabei, den Schutz personenbezogener Daten nach anerkannten internationalen Standards nachzuweisen. Sie schafft klare Anforderungen für Cloud-Datenschutz, Cloud Compliance und die datenschutzkonforme Verarbeitung personenbezogener Daten in Public-Cloud-Umgebungen.

Besonders relevant sind die Vorgaben zu Transparenz, Datensicherheit, Datenschutzverletzungen, Löschkonzepten sowie zum Umgang mit Unterauftragnehmern und internationalen Datenübermittlungen. Dabei greift die Norm die Datenschutzprinzipien des ISO/IEC 29100 Privacy Frameworks auf und unterstützt einen vertrauenswürdigen Einsatz von Cloud Computing.

Welche Änderungen gibt es gegenüber der Vorgängerausgabe?

Gegenüber der Vorgängerausgabe wurde die Norm an aktuelle Anforderungen im Bereich Datenschutz und Cloud Computing angepasst. Zu den wesentlichen Schwerpunkten zählen:

• Aktualisierung datenschutzspezifischer Anforderungen für Cloud-Dienste [
• Erweiterte Regelungen zu Transparenz und Informationspflichten
• Stärkere Berücksichtigung von Datenschutzverletzungen und Meldeprozessen
• Anpassungen an aktuelle Datenschutz- und Compliance-Anforderungen
• Aktualisierung normativer Verweisungen und unterstützender Leitlinien

Zielgruppe

• Anbieter von Public-Cloud-Diensten
• Datenschutzbeauftragte und Compliance-Verantwortliche
• Informationssicherheitsbeauftragte
• IT-Sicherheitsmanager*innen
• Auditor*innen und Zertifizierungsstellen
• Unternehmen mit cloudbasierten Verarbeitungsprozessen personenbezogener Daten

Fazit

Die DIN EN ISO/IEC 27018 ist eine zentrale Norm für den Schutz personenbezogener Daten in Public Clouds. Sie ergänzt bestehende Informationssicherheitsstandards um konkrete Anforderungen an Cloud-Datenschutz, Transparenz und die datenschutzkonforme Verarbeitung personenbezogener Daten. Durch die Berücksichtigung der Datenschutzprinzipien des ISO/IEC 29100 Privacy Frameworks unterstützt sie Cloud-Anbieter und Unternehmen bei einer sicheren und vertrauenswürdigen Nutzung von Cloud-Diensten.

Gegenüber DIN EN ISO/IEC 27018:2020-08 wurden folgende Änderungen vorgenommen: a) Der Text wurde an ISO/IEC 27002:2022 angeglichen; b) Anhang B wurde hinzugefügt.