Der Fragebogen fragt, wo und wie wir die Daten des Kunden speichern

Speicherort und -methode: Teil von Artikel 21, nicht nur der DSGVO

Die Frage, wo und wie Sie die Daten Ihres Kunden speichern, kommt häufig als Datenschutzfrage herein, gehört aber in einer NIS2-Frageliste zu den zehn Maßnahmen von Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555. Insbesondere Punkt h (Sicherheit bei der Beschaffung, Entwicklung und Wartung von Systemen) und Punkt i (Personalmanagement und Zugangsregelungen) berühren direkt die Speicherung: Wo liegen die Daten physisch oder virtuell, wer hat Zugriff, und ist diese Speicherung verschlüsselt. Eine vollständige Antwort nennt also drei Dinge: den Standort (eigenes Rechenzentrum, Cloud-Anbieter, welche Region), die Trennung zwischen Kundenumgebungen, wenn Sie multi-tenant arbeiten, und die Verschlüsselung von Daten im Ruhezustand und beim Transport.

Wenn Sie das letzte Punkt nicht parat haben, dann ist es nicht "ja" anzukreuzen, sondern zunächst zu überprüfen, was die Richtlinie zur Kryptografie und Verschlüsselung innerhalb des Unternehmens tatsächlich dokumentiert ist. Viele Unternehmen verschlüsseln zwar Daten beim Transport (TLS), aber nicht immer im Ruhezustand, und dieser Unterschied wird von der Kundin oft separat abgefragt. Arbeiten Sie mit einem externen Cloud-Anbieter, dann fällt das auch unter die Frage, ob Sicherheitsanforderungen an eigene Lieferanten gestellt werden — der Speicherort ist dann tatsächlich eine Kettenabsprache mit diesem Anbieter, und Ihre Antwort kann auf den Vertrag oder die SLA mit dieser Partei verweisen, statt auf eigene Infrastruktur.

Wo dies in ISO 27001 geprüft wird

Wer nach ISO/IEC 27001 zertifiziert ist, hat Speicherort und Verschlüsselung bereits in den Annex-A-Maßnahmen zu Kryptografie und Asset Management festgelegt; die Antwort auf diese Frage kann dann einfach auf das Zertifikat und die zugehörige Erklärung der Anwendbarkeit verweisen. Ohne das ISO-27001-Zertifikat muss die Antwort aus eigener Dokumentation kommen: eine Architekturübersicht, eine Auftragsverarbeitungsvereinbarung mit dem Cloud-Anbieter oder eine interne Notiz zur Datenspeicherung.