GDPR
Worum es geht
Die EU-Datenschutz-Grundverordnung (DSGVO) (2016/679). Es handelt sich um ein Datenschutzgesetz, doch mehrere Artikel enthalten Sicherheitspflichten: Integrität und Vertraulichkeit (Art. 5(1)(f)), Datenschutz durch Technikgestaltung (Art. 25), Auftragsverarbeiter (Art. 28), Sicherheit der Verarbeitung (Art. 32), Meldung von Datenschutzverletzungen (Art. 33–34), Datenschutz-Folgenabschätzungen (Art. 35) und Datenschutzbeauftragte (Art. 37–39). ControlMapping ordnet ausschließlich diese Artikel zu.
Für wen es relevant ist
Verantwortliche und Auftragsverarbeiter mit Niederlassung in der EU sowie Organisationen außerhalb der EU, die Waren oder Dienstleistungen für Personen in der EU anbieten oder deren Verhalten in der EU beobachten.
So wird geprüft
Eine Zertifizierung ist nicht erforderlich. Die Aufsichtsbehörden setzen die DSGVO durch, mit Bußgeldern von bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes. Rechenschaftspflicht bedeutet, Nachweise zu führen, die die Einhaltung belegen.
Zählungen: innerhalb jedes Artikels auf Absatzebene zugeordnet.
Die DSGVO (GDPR) ist ein Datenschutzgesetz: Hier sind nur ihre sicherheitsrelevanten Artikel zugeordnet, und alle Zuordnungen sind redaktionell.
Vergleiche
Anforderungen
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
| ID | Anforderung | Themen | Zugeordnet in |
|---|---|---|---|
| Requirements · 13 | |||
| Art.5 | Principles relating to processing of personal data | Datenschutz, Compliance | 11 von 13 |
| Art.24 | Responsibility of the controller | Risikomanagement, Governance-Richtlinie | 10 von 13 |
| Art.25 | Data protection by design and by default | Sichere Entwicklung, Zugriffskontrolle | 8 von 13 |
| Art.28 | Processor | Lieferkettenrisiko, Cloud-Sicherheit, Lieferantenrisikomanagement | 12 von 13 |
| Art.29 | Processing under the authority of the controller or processor | Insider-Bedrohungen | 8 von 13 |
| Art.30 | Records of processing activities | Asset-Management | 13 von 13 |
| Art.32 | Security of processing | Verschlüsselung, Zugriffskontrolle, Datenschutz, Business Continuity, Backup & Recovery, Wiederherstellungsplanung, Disaster Recovery, Schwachstellenmanagement, Risikomanagement, Insider-Bedrohungen | 10 von 13 |
| Art.33 | Notification of a personal data breach to the supervisory authority | Incident Response, Meldung | 12 von 13 |
| Art.34 | Communication of a personal data breach to the data subject | Meldung, Kommunikation & Wiederherstellung, Verschlüsselung | 12 von 13 |
| Art.35 | Data protection impact assessment | Risikobewertung | 10 von 13 |
| Art.37 | Designation of the data protection officer | Rollen und Verantwortlichkeiten | 9 von 13 |
| Art.38 | Position of the data protection officer | — | keine |
| Art.39 | Tasks of the data protection officer | Rollen und Verantwortlichkeiten, Awareness & Training | 9 von 13 |
Themenabdeckung
Themen mit zugeordneten GDPR-Anforderungen (23):
Keine Zuordnung in unseren Daten Keine GDPR-Anforderung (27):