Für den Datenschutz und die Informationssicherheit im Unternehmen gibt es verschiedene relevante DIN-, ISO- und EN-Normen, die als Best Practices oder offizielle Standards herangezogen werden. 

Eine praxisnahe Übersicht hilft dabei zu prüfen, welche Normen für den eigenen Betrieb oder Kunden (z. B. nach Branchenanforderungen) infrage kommen oder bereits umgesetzt sind.

Welche Standards können zur Anwendung kommen? 

Welche Normen für Ihre Zertifizierung, Haftungsabsicherung oder Prozessoptimierung können relevant sein?

1. Informationssicherheitsmanagement (ISMS) – Die Basis

• DIN EN ISO/IEC 27001: Der weltweite Goldstandard für Informationssicherheitsmanagementsysteme (ISMS). Prüft, ob ein Unternehmen systematisch Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit von Daten managt.
• DIN EN ISO/IEC 27002: Der Leitfaden für Sicherheitsmaßnahmen (Controls). Sie liefert konkrete Handlungsempfehlungen, wie die Vorgaben aus ISO 27001 umgesetzt werden (wird oft als Best-Practice-Katalog genutzt).
• BSI IT-Grundschutz (Alternative/Ergänzung zu ISO 27001): Speziell im DACH-Raum und bei Behörden/Kommunen etabliert. Liefert extrem detaillierte Schutzempfehlungen für Infrastruktur, Organisation und Technik.

2. Datenschutz-spezifische Normen

• DIN ISO/IEC 27701: Die Erweiterung zur ISO 27001 für das Datenschutz-Managementsystem (DSMS). Sie schlägt die Brücke zwischen klassischer IT-Sicherheit und den Anforderungen der DSGVO (Verarbeitung personenbezogener Daten / PII).
• ISO/IEC 29134: Leitfaden für die Durchführung einer Datenschutz-Folgenabschätzung (DSFA). Hilft strukturiert dabei, Risiken bei neuen, risikoreichen Datenverarbeitungen zu bewerten.
• ISO/IEC 29151: Richtlinie für den Schutz personenbezogener Daten (technisch spezifischer als die DSGVO).

3. Branchenspezifische & Technische Normen

• DIN 66399 (Datenlöschung / Aktenvernichtung): Die wichtigste Norm für die physische und digitale Vernichtung von Datenträgern (Papier, Festplatten, SSDs, USB-Sticks) in Schutzklassen und Sicherheitsstufen (1 bis 7).
• DIN EN ISO 22301 (Business Continuity Management / BCM): Notfall- und Krisenmanagement. Regelt, wie ein Unternehmen nach einem schweren IT-Ausfall oder Cyberangriff den Betrieb aufrechterhält.
• ISO/IEC 27018 / ISO/IEC 27701 (Cloud Privacy): Speziell für Cloud-Dienstleister zur Absicherung von personenbezogenen Daten in der Cloud.

Der sicherkomm-Tipp: 

Nicht jedes kleine oder mittlere Unternehmen benötigt direkt eine aufwendige ISO 27001-Zertifizierung. 

Die DIN 27701 (als DSMS-Ergänzung) und die Einhaltung der DIN 66399 (für die ordnungsgemäße Entsorgung) sind jedoch hervorragende Hebel, um rechtliche Sicherheit zu demonstrieren und im Ernstfall (Haftung) nachzuweisen, dass nach anerkannten Standards gearbeitet wurde. 

Sprechen Sie uns an – wir analysieren, welche Norm für Ihre Unternehmensgröße und Branche sinnvoll ist.