Der AV-Vertrag ist unterschrieben, das Zertifikat liegt als PDF im Ordner, und der Dienstleister beteuert, alles sei in bester Ordnung. Reicht das? Die Fragen, die uns zur Dienstleisterprüfung erreichen, drehen sich fast alle um denselben Punkt. Wo endet das Papier, und wo beginnt die Prüfung?
„Reicht der AV-Vertrag als Prüfung des Dienstleisters?“
Nein. Der Vertrag nach Artikel 28 Datenschutz-Grundverordnung (DSGVO) ist die Voraussetzung, nicht die Prüfung. Er legt fest, was der Dienstleister tun muss. Ob er es tut, steht nicht darin.
Artikel 28 Absatz 1 DSGVO verlangt, dass Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Diese Garantien müssen Sie vor der Beauftragung prüfen und danach im Blick behalten. Der Vertrag gibt Ihnen dafür das Werkzeug, denn nach Absatz 3 Buchstabe h muss der Auftragsverarbeiter Ihnen alle erforderlichen Informationen zur Verfügung stellen und Überprüfungen einschließlich Inspektionen ermöglichen.
So gehen Sie vor. Fordern Sie vor Vertragsschluss die TOM-Beschreibung an und lesen Sie sie tatsächlich. Achten Sie auf Aussagen, die sich prüfen lassen, und misstrauen Sie Formulierungen wie angemessene Maßnahmen nach dem Stand der Technik. Bei kritischen Dienstleistern lassen Sie sich die wichtigsten Punkte belegen, etwa durch ein Zertifikat, einen Prüfbericht oder eine Vorführung. Und halten Sie das Ergebnis schriftlich fest. Eine Prüfung, die nicht dokumentiert ist, hat für die Aufsicht nicht stattgefunden.
„Genügt ein ISO-27001-Zertifikat des Cloudanbieters?“
Es genügt, wenn es das Richtige abdeckt. Das ist erstaunlich oft nicht der Fall.
Ein Zertifikat gilt immer für einen bestimmten Geltungsbereich. Ein großer Anbieter kann für sein Rechenzentrum in Frankfurt zertifiziert sein, während der Dienst, den Sie nutzen, von einem Tochterunternehmen in einem anderen Land betrieben wird. Das Zertifikat ist dann echt und trotzdem wertlos für Ihre Bewertung.
Prüfen Sie deshalb drei Dinge: Erstens den Geltungsbereich auf dem Zertifikat, also ob Ihr Dienst und der Standort Ihrer Daten darin genannt sind. Zweitens die Gültigkeit, denn Zertifikate laufen nach drei Jahren ab und setzen jährliche Überwachungsaudits voraus. Drittens die Erklärung zur Anwendbarkeit, im Englischen Statement of Applicability. Darin steht, welche Controls der Anbieter umsetzt und welche er ausgeschlossen hat. Viele Anbieter geben sie nur auf Anfrage heraus. Fragen Sie danach.
Für Cloudanbieter gibt es in Deutschland eine aussagekräftigere Alternative, nämlich das Testat nach dem Kriterienkatalog C5 des Bundesamts für Sicherheit in der Informationstechnik. Ein Testat vom Typ 2 bestätigt nicht nur, dass Kontrollen existieren, sondern auch, dass sie über einen Zeitraum wirksam waren. Wenn Ihr Anbieter ein solches Testat hat, lassen Sie es sich geben.
„Der Dienstleister verweigert die Auskunft. Was nun?“
Dann haben Sie ein Ergebnis, nur nicht das erhoffte. Ein Dienstleister, der keine Auskunft gibt, ist nicht automatisch unsicher. Sie können aber nicht belegen, dass er sicher ist, und genau das müssen Sie.
Klären Sie zuerst, ob die Weigerung grundsätzlich ist oder am Format liegt. Kleine Dienstleister sind mit einem Fragebogen von 20 Seiten schlicht überfordert. Ein Gespräch von einer Stunde mit fünf gezielten Fragen bringt oft mehr als jedes Formular. Fragen Sie nach Mehrfaktoranmeldung, nach dem Umgang mit Ihren Zugangsdaten, nach der Vertretung bei Ausfall des Technikers, nach der Datensicherung und danach, wie der Dienstleister einen Vorfall melden würde.
Bleibt die Weigerung, verweisen Sie auf den Vertrag. Beim Auftragsverarbeiter ist das Informations- und Prüfrecht nach Artikel 28 Absatz 3 Buchstabe h DSGVO Pflichtinhalt. Für Finanzunternehmen gilt nach Artikel 30 Absatz 3 DORA bei IKT-Dienstleistungen für kritische oder wichtige Funktionen ein uneingeschränktes Zugangs-, Inspektions- und Prüfrecht, das vertraglich vereinbart sein muss.
Hilft auch das nicht, dokumentieren Sie die Weigerung und bewerten Sie den Dienstleister als nicht geprüft. Das ist eine Risikoentscheidung, die nicht Sie treffen, sondern die Geschäftsführung. Legen Sie ihr die Alternativen vor: Weiterarbeiten mit dokumentiertem Restrisiko, Zugriff einschränken oder Dienstleister wechseln.
„Wie oft muss ich meine Dienstleister prüfen?“
Das hängt davon ab, wie kritisch der Dienstleister ist. Eine feste Frist schreibt weder die DSGVO noch NIS2 vor. Bewährt hat sich eine Staffelung in drei Stufen.
Kritische Dienstleister, die einen Prozess mit hoher Kritikalität tragen oder privilegierten Zugriff haben, prüfen Sie jährlich mit Nachweisen. Wichtige Dienstleister alle zwei Jahre mit einer Selbstauskunft. Alle übrigen bei Vertragsänderungen oder aus besonderem Anlass.
Ein besonderer Anlass liegt immer vor, wenn sich beim Dienstleister etwas Wesentliches ändert. Dazu gehören eine Übernahme, ein Wechsel des Rechenzentrums oder der Cloud, ein neuer Subunternehmer oder ein Sicherheitsvorfall. Vereinbaren Sie vertraglich, dass der Dienstleister Sie über solche Änderungen informiert. Für Unterauftragsverarbeiter ist das nach Artikel 28 Absatz 2 DSGVO ohnehin Pflicht.
Welche Stufe ein Dienstleister bekommt und wann er wieder dran ist, ermittelt der Dienstleister-Bewertungsbogen, der dieser Ausgabe beiliegt.
Weiterlesen
Warum die Kritikalität eines Dienstleisters von der Kritikalität des Prozesses abhängt, den er trägt, begründet der Kommentar.
Wie Sie diese Kritikalität ermitteln, zeigt dieser Beitrag:
