ISO 27701:2025: PIMS-Audit und Nachweisführung für GDPR

Sarah, Compliance Managerin beim Fintech-Anbieter InnovatePay, öffnete eine E-Mail ihres CEO, die einfach klang, aber das gesamte Datenschutzprogramm veränderte.

„Gute Arbeit an den neuen PIMS-Richtlinien für unsere ISO 27701-Initiative. Aber woher wissen wir jetzt, dass all das tatsächlich funktioniert? Und wie weisen wir es Auditoren, Bankkunden und Aufsichtsbehörden nach?“

Das ist der Moment, in dem ein Datenschutz-Informationsmanagementsystem (PIMS) besteht oder scheitert.

InnovatePay verfügte bereits über ein nach ISO/IEC 27001:2022 zertifiziertes Informationssicherheits-Managementsystem (ISMS). Das Datenschutzteam hatte DPIA-Vorlagen, Aufzeichnungen zu Auftragsverarbeitern, Aufbewahrungsregeln, Verfahren für Datenschutzverletzungen und Workflows für die Rechte betroffener Personen aufgebaut. Der Richtlinienordner wirkte ausgereift. Das Problem war der Nachweis.

GDPR Article 5(2) macht Rechenschaftspflicht ausdrücklich. Verantwortliche sind für die Datenschutzgrundsätze verantwortlich und müssen deren Einhaltung nachweisen können. Unternehmenskunden aus dem Bankensektor stellten aufgrund von DORA vertiefte Fragen zum Drittparteienrisiko. NIS2 hatte durch Pflichten des Leitungsorgans die Aufmerksamkeit der Geschäftsleitung erhöht. Die interne Führung wollte Gewissheit, dass Datenschutz nicht nur ein Ordner voller guter Absichten ist.

Sarah brauchte keine weitere Richtlinie. Sie brauchte ein belastbares System für Nachweisführung und Prüfungssicherheit.

Darin liegt der eigentliche Wert der PIMS-Audit- und Managementbewertungs-Governance nach ISO 27701:2025. Sie überführt Datenschutzbetrieb in prüfbare Nachweise. Interne Audits prüfen, ob Kontrollen wirksam funktionieren. Die Managementbewertung führt Feststellungen, Datenschutzrisiken, Lieferantenthemen, Überwachungsergebnisse und regulatorische Änderungen in Entscheidungen über. Korrekturmaßnahmen beseitigen Ursachen. Nachweisregister machen die Darstellung nachvollziehbar.

Für SaaS-Anbieter, Fintechs, HR-Technologie, Managed Services, Gesundheitsplattformen und datenintensive KMU ist dies der Unterschied zwischen „wir haben Datenschutzkontrollen“ und „unser Datenschutzmanagementsystem funktioniert, wird bewertet und verbessert sich“.

Die Nachweis- und Prüfungslücke bei der GDPR-Rechenschaftspflicht im PIMS

Die meisten Datenschutzprogramme können grundlegende operative Fragen beantworten:

• Haben wir einen DPIA-Prozess?
• Führen wir ein Register der Auftragsverarbeiter?
• Beantworten wir Betroffenenanfragen?
• Haben wir ein Verfahren für Datenschutzverletzungen?
• Pflegen wir Datenschutzhinweise und Aufbewahrungsregeln?

Weniger Programme können die Fragen beantworten, die Auditoren und Unternehmenskunden tatsächlich stellen:

• Wann wurde das PIMS zuletzt auditiert?
• Wer hat es auditiert, und war diese Person ausreichend unabhängig?
• Welche Anforderungen, Richtlinien und GDPR-Pflichten wurden geprüft?
• Welche Nachweise wurden stichprobenartig geprüft?
• Welche Feststellungen wurden erhoben?
• Was hat das Management entschieden?
• Wurden Korrekturmaßnahmen auf Wirksamkeit verifiziert?
• Können wir die Nachweise von der Anforderung über die Kontrolle bis zur Bewertung nachverfolgen?

Das ist die Nachweis- und Prüfungslücke im PIMS.

ISO/IEC 27001:2022 liefert die Grundlage des Managementsystems durch Risikobeurteilung, Ziele, internes Audit nach Clause 9.2, Managementbewertung nach Clause 9.3 und Korrekturmaßnahmen nach Clause 10.2. ISO 27701:2025 erweitert diese Prüfungslogik auf Datenschutz und Governance der Verarbeitung personenbezogener Daten. GDPR liefert anschließend den rechtlichen Grund, warum die Nachweise relevant sind, insbesondere durch Article 5(2), Article 24 und, soweit die Sicherheit der Verarbeitung betroffen ist, Article 32.

Ein PIMS muss zeigen, dass die Organisation:

• weiß, ob sie als Verantwortlicher, Auftragsverarbeiter, gemeinsam Verantwortlicher oder Unterauftragsverarbeiter handelt,
• gesetzliche, regulatorische, vertragliche und kundenseitige Datenschutzanforderungen nachverfolgt,
• Datenschutzkontrollen durch geplante Audits und Überwachung prüft,
• Nachweislücken und Nichtkonformitäten dokumentiert,
• wesentliche Themen an die Leitung eskaliert,
• Datenschutzziele, Risiken und Lieferantennachweise bewertet,
• Korrekturmaßnahmen nach Abschluss verifiziert,
• Nachweise in einer Form aufbewahrt, der Auditoren vertrauen können.

Das Modell von Clarysec ist um diesen geschlossenen Regelkreis herum aufgebaut.

REG12 als Rückgrat der ISO 27701:2025-PIMS-Audit-Governance

Das praktische Zentrum des PIMS-Prüfungsmodells von Clarysec ist REG12, das Nachweisregister für PIMS-Überwachung, Audit, Korrekturmaßnahmen und Managementbewertung.

Die erste verknüpfte Richtlinienanforderung ist bewusst direkt formuliert. In der Richtlinie für PIMS-Überwachung, Audit und Verbesserung, Clause 4.2.1 heißt es:

„[All] Der interne Auditor / Compliance-Prüfer MUSS jährlich vor dem ersten geplanten PIMS-Auditzyklus ein risikobasiertes internes PIMS-Auditprogramm in REG12 erstellen.“

Dies verhindert den verbreiteten Fehler, dass das Auditprogramm erst zwei Wochen vor der Zertifizierung oder erst nach einer Kundenanfrage nach Nachweisen erstellt wird. Ein PIMS-Auditprogramm muss risikobasiert, genehmigt, dokumentiert und verfügbar sein, bevor der erste Auditzyklus beginnt.

Dieselbe Richtlinie macht die Unabhängigkeit der Auditoren zu einem Nachweis. Clause 4.2.3 lautet:

„[All] Der interne Auditor / Compliance-Prüfer MUSS vor jedem Auditauftrag die Unabhängigkeit des Auditors und Prüfungen auf Interessenkonflikte in REG12 dokumentieren.“

Dies ist besonders wichtig für KMU, in denen eine Person Datenschutzprozesse entwerfen, betreiben und versucht sein kann, sie selbst zu auditieren. Unabhängigkeit bedeutet nicht immer eine große interne Auditabteilung. Sie bedeutet Objektivität, Bewusstsein für Interessenkonflikte und eine dokumentierte Begründung, warum die zugewiesene prüfende Person das Audit unparteiisch durchführen kann.

Ein starker, REG12-gestützter Prüfungszyklus folgt zehn Schritten:

1. Ein risikobasiertes internes PIMS-Auditprogramm planen
2. Geltungsbereich, Kriterien, Ziele und Nachweisanforderungen festlegen
3. Unabhängigkeit der Auditoren und Interessenkonflikte bestätigen
4. Stichproben, Interviews und Nachweisprüfung durchführen
5. Feststellungen, Nachweislücken und Nichtkonformitäten dokumentieren
6. Korrekturmaßnahmen mit Verantwortlichen und Fälligkeitsterminen zuweisen
7. Wirksamkeit von Korrekturmaßnahmen verifizieren
8. Ergebnisse in die Managementbewertung einbringen
9. Ziele, Risiken, Ressourcen und Kontrollen aktualisieren
10. Nachvollziehbare Nachweise für ISO, GDPR und Kundenvertrauen aufbewahren

So wird Datenschutz-Governance operativ belastbar.

Aufbau eines risikobasierten internen PIMS-Auditprogramms

Der Zenith Blueprint: 30-Schritte-Fahrplan für Auditoren verortet das interne Audit in der Phase Audit, Bewertung und Verbesserung, Schritt 25: internes Auditprogramm. Er bekräftigt, dass interne Audits in festgelegten Abständen geplant werden, wichtige Prozesse und frühere Auditergebnisse abdecken, Objektivität und Unparteilichkeit sicherstellen und Ergebnisse an das Management berichten sollten.

Sein praktischer Rat ist einfach:

„Bei der Auditplanung sollten Sie erwägen, mehr Aufwand auf Bereiche zu legen, die kritisch sind oder in der Vergangenheit Probleme aufgewiesen haben.“

Für InnovatePay bedeutete das, biometrische Authentifizierungsdaten, grenzüberschreitende Übermittlungen an einen US-basierten Unterauftragsverarbeiter, die Bearbeitung von Betroffenenanfragen und Lieferantennachweise für Bankkunden zu priorisieren. Für einen anderen SaaS-Anbieter könnten dies das Onboarding von Auftragsverarbeitern, Datenschutzeskalationen in Support-Tickets, Lösch-Workflows und die Bewertung von Datenschutzverletzungen sein.

Ein nutzbares PIMS-Auditprogramm sollte die folgenden Komponenten enthalten.

Die breiteren Audit-Richtlinien von Clarysec unterstützen dieselbe Struktur. In der Richtlinie zur Audit- und Compliance-Überwachung – KMU, Clause 5.1.1 heißt es:

„Der General Manager (GM) muss einen jährlichen Auditplan genehmigen.“

Clause 5.2.3 ergänzt:

„Jedes Audit muss einen definierten Geltungsbereich, Ziele, verantwortliches Personal und erforderliche Nachweise umfassen.“

Für größere Organisationen heißt es in der Richtlinie zur Audit- und Compliance-Überwachung, Clause 5.2:

„Ein risikobasierter Auditplan ist jährlich zu entwickeln und zu genehmigen, unter Berücksichtigung von:“

Clause 5.4 lautet:

„Die Organisation hat ein Auditregister zu führen, das Folgendes enthält:“

Es geht nicht um Bürokratie. Es geht um Nachvollziehbarkeit. Ein geplantes Auditprogramm, ein genehmigter Auditplan und ein gepflegtes Auditregister schaffen die erste Nachweisebene dafür, dass das PIMS gesteuert und nicht improvisiert wird.

Durchführung des Audits: Stichproben, Interviews und Nachweisqualität

Der Zenith Blueprint, Schritt 26: Auditdurchführung, empfiehlt Interviews, Dokumentenprüfung, Beobachtung, Stichproben und die sachliche Aufzeichnung von Nachweisen. Dort heißt es:

„Während Sie Nachweise sammeln, dokumentieren Sie Ihre Feststellungen. Halten Sie fest, wo Sachverhalte der Anforderung entsprechen (positive Feststellungen) und wo nicht (potenzielle Nichtkonformitäten oder Beobachtungen).“

Ein PIMS-Audit sollte nicht bei der Frage stehen bleiben, ob ein Prozess existiert. Es sollte prüfen, ob der Prozess funktioniert.

Sarahs Team wählte die CRM-Plattform von InnovatePay aus. Die PIMS-Datenflussübersicht besagte, dass inaktive Kundenkonten nach zwei Jahren anonymisiert werden sollten. Der Auditor forderte den Anonymisierungsbericht des letzten Quartals an, zog fünf Datensätze als Stichprobe und verifizierte, dass personenbezogene Daten nicht mehr wiederherstellbar waren. Diese Stichprobe erzeugte objektive Nachweise.

Derselbe Ansatz lässt sich auf Datenschutzbereiche anwenden:

• Eine DPIA auswählen und Genehmigung, Risikobehandlung, Restrisikoakzeptanz und Maßnahmenverfolgung verifizieren
• Einen Auftragsverarbeiter auswählen und Vertragsklauseln, gebotene Sorgfalt und laufende Überwachung verifizieren
• Eine Betroffenenanfrage auswählen und Identitätsprüfungen, Fristenkontrolle und Freigabe der Antwort verifizieren
• Eine Bewertung einer Datenschutzverletzung auswählen und verifizieren, ob die GDPR-Definition einer Verletzung des Schutzes personenbezogener Daten angewendet wurde
• Eine Aufbewahrungsregel auswählen und Lösch- oder Anonymisierungsnachweise verifizieren
• Ein Datenschutzziel auswählen und Messnachweise verifizieren

Die Datenschutzrichtlinien von Clarysec unterstützen diese Auditdisziplin. In der Richtlinie zu Datenschutz und Privatsphäre – KMU, Clause 5.3.3 heißt es:

„Regelmäßige Datenschutzaudits oder Kontrollprüfungen müssen durchgeführt und protokolliert werden“

In der Enterprise-Richtlinie zu Datenschutz und Privatsphäre, Clause 5.4 heißt es:

„Ein internes Audit zur Einhaltung des Datenschutzes ist jährlich oder bei wesentlichen organisatorischen oder regulatorischen Änderungen durchzuführen. Der Auditumfang umfasst:“

Dieser Änderungsauslöser ist wichtig. Ein PIMS-Auditprogramm muss auf neue KI-Funktionen, neue Länder, neue Unterauftragsverarbeiter, neue Kategorien personenbezogener Daten, wesentliche Vorfälle, Übernahmen, regulatorische Änderungen und wesentliche Kundenverpflichtungen reagieren.

Während des Audits bei InnovatePay stellte das Team eine geringfügige Nichtkonformität fest. Korrekturmaßnahmen für Datenschutzvorfälle wurden protokolliert, aber die Wirksamkeitsverifikation wurde nicht konsistent dokumentiert. Einige Maßnahmen waren als abgeschlossen markiert, es gab jedoch keinen unabhängigen Nachweis, dass die Ursache beseitigt wurde.

Das war kein Datenschutzversagen. Es war das Prüfungssystem bei der Arbeit.

Die PIMS-Richtlinie zu dokumentierter Information und Nachweismanagement, Clause 4.3.4 verlangt genau, dass diese Art von Lücke erfasst wird:

„[All] Der interne Auditor / Compliance-Prüfer MUSS Lücken bei Vollständigkeit, Richtigkeit oder Nachvollziehbarkeit von Nachweisen während jedes geplanten Audits oder jeder Compliance-Überprüfung in REG12 dokumentieren.“

Nachweisqualität ist Teil der Rechenschaftspflicht. Wenn eine Kontrolle ausgeführt wird, aber nicht nachverfolgt, stichprobenartig geprüft oder mit einer Anforderung verknüpft werden kann, kann sie von Auditoren, Kunden oder Aufsichtsbehörden als nicht nachgewiesen behandelt werden.

Ein praktisches REG12-Auditbeispiel für Betroffenenanfragen und Auftragsverarbeiter

Betrachten wir einen B2B-SaaS-Anbieter, der für Kundenkontodaten als Auftragsverarbeiter und für Beschäftigten- und Marketingdaten als Verantwortlicher handelt. Er bereitet sich auf die ISO 27701:2025-Readiness vor und erhält einen Kundenfragebogen, der Nachweise zur GDPR-Rechenschaftspflicht verlangt.

Das Datenschutzteam erstellt einen REG12-Auditeintrag:

• Auditname: Internes PIMS-Audit Q2, Betroffenenanfragen und Governance für Auftragsverarbeiter
• Abdeckung der PIMS-Rollen: Pflichten als Verantwortlicher und Auftragsverarbeiter
• Geltungsbereich: Workflow für Rechte betroffener Personen, Eskalation im Kundensupport, Register der Auftragsverarbeiter, Genehmigung von Unterauftragsverarbeitern und Nachweise der Datenschutzüberwachung
• Kriterien: PIMS-Richtlinie zu Datenschutz und Privatsphäre, PIMS-Richtlinie für Überwachung, Audit und Verbesserung, GDPR-Pflichten zu Betroffenenrechten, Rechenschaftspflichten des Auftragsverarbeiters und Anforderungen aus Kunden-DPA
• Auditor: Compliance-Prüfer aus dem Sicherheitsbetrieb, mit dokumentierter Konfliktprüfung
• Stichprobe: Fünf Betroffenenanfragen, drei Kundentickets mit Datenschutzunterstützung, fünf Unterauftragsverarbeiter, zwei Lieferantenrisikoprüfungen und zwei Genehmigungen von DPA-Änderungen
• Erforderliche Nachweise: Tickets, Zeitstempel, Antwortfreigaben, Identitätsprüfungen, Lieferanten-Due-Diligence, Kundenmitteilungen und REG-Einträge
• Feststellungen: Eine Betroffenenanfrage hatte vollständige Ticketnachweise, aber keine verknüpfte Abschlussfreigabe. Eine Überprüfung eines Unterauftragsverarbeiters enthielt abgelaufene Nachweise zur Vertrauenswürdigkeit.
• CAPA: Abschlusscheckliste für Betroffenenanfragen aktualisieren, Verantwortlichen für den Datenschutzbetrieb zuweisen, Lieferantennachweise aktualisieren und innerhalb von 30 Tagen verifizieren
• Eingabe für die Managementbewertung: Thema zur Nachweisqualität bei Betroffenenrechten und Trend bei Lieferantennachweisen aufnehmen

Dieser einzelne Eintrag schafft eine belastbare Auditdarstellung. Er zeigt Planung, Geltungsbereich, Kriterien, Unabhängigkeit, Stichproben, Feststellungen, Korrekturmaßnahmen und Eskalation in die Managementbewertung.

Managementbewertung: wo Datenschutz zur Leitungs-Governance wird

Das interne Audit sagt der Organisation, was funktioniert und was nicht. Die Managementbewertung entscheidet, was damit zu tun ist.

Viele Organisationen schwächen ihre Datenschutz-Governance an dieser Stelle. Sie behandeln die Managementbewertung als Präsentation statt als Entscheidungsforum. Protokolle werden geschrieben, aber es gibt keine klare Aufzeichnung von Entscheidungen zu Datenschutzrisiken, Ressourcengenehmigungen, Status von Korrekturmaßnahmen, Lieferantenthemen, Zielen oder Änderungen bei interessierten Parteien.

Die PIMS-Richtlinie für Überwachung, Audit und Verbesserung, Clause 4.3.5 macht die erforderlichen Eingaben ausdrücklich:

„[Both] Die oberste Leitung MUSS PIMS-Nichtkonformität, Korrekturmaßnahmen, Überwachungsergebnisse, Auditergebnisse, Datenschutzrisiken, Lieferantennachweise und Änderungen bei interessierten Parteien während jeder Managementbewertung in REG12 bewerten.“

Der Zenith Blueprint, Schritt 28: Managementbewertung, empfiehlt Eingaben wie frühere Maßnahmen, interne und externe Änderungen, Leistung und Wirksamkeit, Auditergebnisse, Überwachungsergebnisse, Ziele, Vorfälle, Nichtkonformitäten, Verbesserungsmöglichkeiten und Ressourcenbedarf.

Seine Kernaussage ist direkt:

„Das ist entscheidend – die Managementbewertung ist nicht nur eine Präsentation; es geht darum, Entscheidungen zu treffen.“

Für InnovatePay strukturierte Sarah die Managementbewertung um Leitungsentscheidungen statt um Compliance-Theater:

• Status früherer Maßnahmen, obwohl dies die erste Bewertung war
• Änderungen im Kontext, einschließlich DORA-Erwartungen von Bankkunden
• Datenschutzziele, einschließlich durchschnittlicher DSAR-Antwortzeit
• Überwachungsergebnisse, einschließlich Status von Datenschutzverletzungen und Vorfällen
• Ergebnisse des internen Audits und die geringfügige Feststellung zur CAPA-Verifikation
• Lieferantennachweise, einschließlich Prüfung grenzüberschreitender Unterauftragsverarbeiter
• Ressourcenbedarf, einschließlich Änderungen am Ticketing-Workflow
• Kontinuierliche Verbesserung, einschließlich Automatisierung des Lieferantenmanagements

Der CEO genehmigte eine geringfügige Konfigurationsänderung im Ticketsystem, um einen verpflichtenden Verifikationsschritt für Korrekturmaßnahmen zu Datenschutzvorfällen hinzuzufügen. Diese Entscheidung wurde im Protokoll dokumentiert und mit dem CAPA-Datensatz in REG12 verknüpft.

Für Organisationen, die ISMS- und PIMS-Governance integrieren, unterstützt auch die Informationssicherheitsleitlinie, Clause 5.3 die Frequenz der Managementbewertung:

„Managementbewertungstätigkeiten (gemäß ISO/IEC 27001 Clause 9.3) sind mindestens jährlich durchzuführen und müssen Folgendes umfassen:“

Eine kombinierte ISMS- und PIMS-Bewertung kann effizient sein, aber nur, wenn Datenschutz nicht in allgemeiner Sicherheitsberichterstattung verschwindet. Die Agenda muss PIMS-spezifische Eingaben wie Verarbeitungsrollen, Rechte betroffener Personen, DPIAs, Nachweise zu Auftragsverarbeitern, Aufbewahrung, Bewertung von Datenschutzverletzungen, Datenschutzziele und GDPR-Pflichten enthalten.

CAPA: Feststellungen durch Ursachenbehebung schließen

Korrektur- und Vorbeugemaßnahmen sind der Punkt, an dem Prüfung zu Verbesserung wird. Eine Feststellung sollte nicht mit „Dokument aktualisiert“ enden. Die Organisation muss die Ursache identifizieren, eine wirksame Abhilfe umsetzen, Verantwortlichkeit zuweisen, Fristen setzen, Wirksamkeit verifizieren und Nachweise aufbewahren.

Der Zenith Blueprint, Schritt 29: Kontinuierliche Verbesserung, lautet:

„Eine Korrekturmaßnahme ist ein Schritt (oder mehrere Schritte), den Sie ergreifen, um die Ursache der Nichtkonformität zu beseitigen, damit sie nicht erneut auftritt.“

Der Unterschied zwischen schwacher Korrektur und starker Korrekturmaßnahme ist in den Nachweisen sichtbar.

Die Richtlinie zur Audit- und Compliance-Überwachung – KMU stärkt die Verantwortung des Managements für Korrekturmaßnahmen. Clause 5.4.2 lautet:

„Der GM muss einen Korrekturmaßnahmenplan genehmigen und dessen Umsetzung nachverfolgen.“

Clause 5.4.3 ergänzt:

„Audit-Feststellungen und Statusaktualisierungen müssen in den ISMS-Managementbewertungsprozess aufgenommen werden.“

Für die PIMS-spezifische Verifikation verlangt die PIMS-Richtlinie für Überwachung, Audit und Verbesserung, Clause 4.4.7:

„[All] Der interne Auditor / Compliance-Prüfer MUSS die Wirksamkeit von Korrekturmaßnahmen innerhalb von 30 Tagen nach gemeldetem Abschluss der Korrekturmaßnahme in REG12 verifizieren.“

Sarah setzte dies genau so um. Ihr Team führte zunächst eine Korrektur durch, indem es die letzten drei Korrekturmaßnahmen zu Datenschutzvorfällen rückwirkend verifizierte. Anschließend setzte die IT die ursachenbezogene Korrekturmaßnahme um, indem die Verifikation zu einem verpflichtenden Workflow-Schritt gemacht wurde. Dreißig Tage später prüfte der Auditor drei neue datenschutzbezogene Tickets stichprobenartig und bestätigte, dass jedes Ticket eine abgeschlossene Verifikation enthielt. Erst dann wurde die CAPA geschlossen.

Das ist die Darstellung, der Auditoren vertrauen: Feststellung, Ursache, Entscheidung, Abhilfe, Verifikation.

Cross-Compliance-Zuordnung für ISO 27701-PIMS-Prüfung

Clarysecs Zenith Controls: Der Cross-Compliance-Leitfaden hilft Teams zu verstehen, wie Kontrollkonzepte aus ISO/IEC 27002:2022 auf GDPR, NIS2, DORA, NIST CSF 2.0 und Auditpraxis abgebildet werden. Es ist ein Cross-Compliance-Leitfaden, kein separates Kontrollrahmenwerk.

Drei Maßnahmen aus ISO/IEC 27002:2022 sind für PIMS-Audit-Governance besonders relevant:

• 5.4 Verantwortlichkeiten des Managements
• 5.35 Unabhängige Überprüfung der Informationssicherheit
• 5.36 Einhaltung von Richtlinien, Regeln und Standards für Informationssicherheit

Der Eintrag in Zenith Controls zu ISO/IEC 27002:2022 Maßnahme 5.4, Verantwortlichkeiten des Managements, verknüpft Rechenschaftspflicht des Managements mit Rollen, Ressourcen, Förderung von Richtlinien, unabhängiger Überprüfung und Durchsetzung. Auf ISO 27701:2025 angewendet kann die oberste Leitung Datenschutzaufgaben zuweisen, muss aber weiterhin PIMS-Leistung, Risikoentscheidungen und Ressourcenbedarf bewerten.

Der Eintrag in Zenith Controls zu 5.35, Unabhängige Überprüfung der Informationssicherheit, unterstützt den Auditmechanismus. Für den Datenschutz kann eine unabhängige Überprüfung testen, ob Erkenntnisse aus Datenschutzverletzungen verankert wurden, Löschung funktioniert, Aufzeichnungen geschützt sind und Protokolle Untersuchungen unterstützen.

Der Eintrag in Zenith Controls zu 5.36, Einhaltung von Richtlinien, Regeln und Standards für Informationssicherheit, unterstützt die laufende Überwachung. Datenschutzrichtlinien definieren Erwartungen. Compliance-Überwachung prüft sie. Unabhängige Überprüfung validiert die Ergebnisse. Die Managementbewertung handelt daraufhin.

Ein einzelner PIMS-Prüfungszyklus kann dann mehrere Rahmenwerke unterstützen.

NIS2 Article 20 verankert Genehmigung und Aufsicht über das Cybersicherheitsrisikomanagement auf Ebene des Leitungsorgans. Article 21 verlangt risikobasierte technische, operative und organisatorische Maßnahmen, einschließlich Umgang mit Informationssicherheitsvorfällen, Aufrechterhaltung des Geschäftsbetriebs, Sicherheit der Lieferkette, Wirksamkeitsbewertung, Schulung, Kryptografie, HR-Sicherheit, Zugriffskontrolle, Asset-Management und Authentifizierung, soweit angemessen.

DORA gilt ab dem 17. Januar 2025 und ist besonders wichtig für Finanzunternehmen und IKT-Anbieter im Finanzökosystem. Article 5 macht das Leitungsorgan verantwortlich für Definition, Genehmigung und Überwachung des IKT-Risikomanagements. Article 6 verlangt, dass das IKT-Risikomanagementrahmenwerk überprüft, durch Lessons Learned verbessert und dem internen Audit unterzogen wird.

NIST CSF 2.0 ist nützlich für die Kommunikation des Reifegrads. Die GOVERN-Funktion umfasst organisatorischen Kontext, gesetzliche und regulatorische Anforderungen, Risikomanagementstrategie, Rollen, Richtlinien, Aufsicht und Cybersicherheitsrisikomanagement in der Lieferkette. PIMS-Audit-Feststellungen und Entscheidungen der Managementbewertung sind starke Eingaben für Ist- und Zielprofile.

Wie unterschiedliche Auditoren dieselben PIMS-Nachweise prüfen

Dieselben PIMS-Nachweise werden je nach Prüfungsperspektive unterschiedlich untersucht.

Ziel ist nicht, fünf Prüfungssysteme zu schaffen. Ziel ist ein nachweisstarker PIMS-Governance-Zyklus, der über verschiedene Rahmenwerke hinweg interpretiert werden kann.

Datenschutzziele und Kennzahlen, die das Management bewerten sollte

Eine Managementbewertung wird deutlich nützlicher, wenn Datenschutzziele messbar sind. ISO/IEC 27001:2022 verlangt, dass Informationssicherheitsziele, soweit praktikabel, messbar sind, überwacht, kommuniziert und aktualisiert werden. Dieselbe Disziplin sollte auf PIMS-Ziele angewendet werden.

Nützliche Datenschutzziele sind unter anderem:

• 100 Prozent der Betroffenenanfragen innerhalb des internen SLA abgeschlossen
• 95 Prozent der Auftragsverarbeiter mit hohem Risiko vor Vertragsunterzeichnung überprüft
• 100 Prozent der DPIA-Maßnahmen mit hohem Risiko mit Verantwortlichem und Fälligkeitstermin versehen
• Null abgelaufene Nachweise für kritische Unterauftragsverarbeiter
• 100 Prozent der Verletzungen des Schutzes personenbezogener Daten innerhalb des internen Eskalationsziels bewertet
• 90 Prozent Abschlussquote bei rollenbasierter Datenschutzschulung für Support, HR, Engineering und Vertrieb
• 100 Prozent der Aufbewahrungsausnahmen quartalsweise überprüft
• 50 Prozent Reduktion der Lücken bei der Nachvollziehbarkeit von Nachweisen über zwei Quartale

Es geht nicht um Selbstdarstellungskennzahlen. Es geht um Entscheidungsqualität. Wenn die Bearbeitung von Betroffenenanfragen stark ist, Lieferantennachweise aber schwach sind, kann das Management Ressourcen steuern. Wenn DPIA-Maßnahmen offen bleiben, kann die Produktleitung eingebunden werden. Wenn Bewertungen von Datenschutzverletzungen fristgerecht sind, Ursachen sich aber wiederholen, kann die Leitung tiefere Korrekturmaßnahmen verlangen.

Häufige Fehlermuster vor ISO 27701-PIMS-Audits

Clarysec sieht vor externen Prüfungen der Datenschutz-Nachweisführung häufig dieselben Probleme:

• Der interne Auditplan existiert, ist aber nicht risikobasiert
• Der Auditor auditiert die eigene Arbeit, und es ist keine Begründung der Unabhängigkeit dokumentiert
• Audit-Feststellungen enthalten keine Nachweisreferenzen
• Nachweise existieren, sind aber nicht auf eine Anforderung zurückführbar
• CAPA behebt Dokumente, aber nicht Ursachen
• Protokolle der Managementbewertung listen Themen auf, aber keine Entscheidungen
• Datenschutzziele sind vage oder werden nicht gemessen
• Lieferantennachweise werden nur beim Onboarding geprüft
• DPIA-Maßnahmen werden nach Genehmigung nicht nachverfolgt
• Audit-Feststellungen fließen nicht in die Managementbewertung ein
• Korrekturmaßnahmen werden ohne Wirksamkeitsprüfung geschlossen

Diese Fehler sind nicht ungewöhnlich. Sie entstehen, wenn Datenschutz-Governance über Tabellen, E-Mails und isolierte Richtliniendokumente wächst. REG12 und das Clarysec-PIMS-Richtlinienset sind darauf ausgelegt, fragmentierte Aktivitäten in ein kohärentes Prüfungssystem zu überführen.

Eine 60-minütige Agenda für die PIMS-Managementbewertung

Wenn sich Ihre Organisation auf ISO 27701:2025, GDPR-Rechenschaftspflicht, DORA-Kunden-Due-Diligence oder NIS2-Leitungsaufsicht vorbereitet, beginnen Sie mit einer fokussierten Agenda für die Managementbewertung:

1. PIMS-Geltungsbereich, Rollen und wesentliche Änderungen bestätigen
2. Datenschutzziele und Kennzahlen bewerten
3. Ergebnisse interner Audits und Lücken bei der Nachweisqualität bewerten
4. Nichtkonformitäten und CAPA-Status bewerten
5. Datenschutz-Risikoregister und DPIA-Trends bewerten
6. Lieferanten- und Unterauftragsverarbeiter-Nachweise bewerten
7. Vorfälle, Bewertungen von Datenschutzverletzungen und Lessons Learned bewerten
8. Regulatorische, vertragliche und interessenbezogene Änderungen bewerten
9. Ressourcenbedarf, Risikoentscheidungen und Verbesserungsmaßnahmen genehmigen
10. Entscheidungen, Verantwortliche und Fristen in REG12 dokumentieren

Warten Sie nicht bis zur Zertifizierung, um diese Sitzung durchzuführen. Eine vollständige, aber schlanke Managementbewertung jetzt ist wertvoller als eine perfekte Bewertung nach Schließung des Auditfensters.

Machen Sie Ihr ISO 27701:2025-PIMS nachweisbar

Bei ISO 27701:2025-PIMS-Governance unter GDPR geht es letztlich um Nachweisbarkeit. Nicht um theoretische Nachweise, sondern um operative Nachweise: geplante Audits, unabhängige Überprüfung, verlässliche Nachweise, Managemententscheidungen, Korrekturmaßnahmen und messbare Verbesserung.

Clarysec hilft Organisationen, diese Nachweisbarkeit ohne unnötige Bürokratie aufzubauen. Beginnen Sie mit:

• PIMS-Richtlinie für Überwachung, Audit und Verbesserung für REG12-Audit, Managementbewertung und CAPA-Governance
• PIMS-Richtlinie zu dokumentierter Information und Nachweismanagement für Nachweisqualität und Nachvollziehbarkeit
• Zenith Blueprint: 30-Schritte-Fahrplan für Auditoren für die Durchführung von internem Audit, Managementbewertung und kontinuierlicher Verbesserung
• Zenith Controls: Der Cross-Compliance-Leitfaden für die Zuordnung von Governance-Konzepten aus ISO/IEC 27002:2022 über GDPR, DORA, NIS2, NIST CSF 2.0 und Auditpraxis hinweg

Wenn Ihr Datenschutzprogramm bereits über DPIAs, Kontrollen für Auftragsverarbeiter, Workflows für Betroffenenrechte und Verfahren für Datenschutzverletzungen verfügt, besteht der nächste Schritt darin, nachzuweisen, dass sie als System funktionieren. Bauen Sie das Auditprogramm auf, führen Sie die REG12-Bewertung durch, nehmen Sie Feststellungen ernst und bringen Sie Datenschutzleistung vor das Management.

Laden Sie das Clarysec-PIMS-Richtlinienpaket herunter, nutzen Sie den Zenith Blueprint, um Ihren ersten Auditzyklus durchzuführen, und verwenden Sie Zenith Controls, um aus einem Nachweispfad Prüfungssicherheit über mehrere Rahmenwerke hinweg zu schaffen. So wird ein PIMS auditbereit, GDPR-rechenschaftsfähig und glaubwürdig für Kunden, Aufsichtsbehörden und Leitung.