Datenschutz und ISO 27001 / NIST: Mapping und Doppelnutzung

Problem in der Praxis

In gewachsenen Organisationen entstehen die Regime nacheinander und getrennt. Der Datenschutz führt ein Verzeichnis von Verarbeitungstätigkeiten und eine Liste technischer und organisatorischer Maßnahmen. Die Informationssicherheit betreibt ein ISMS mit Risikoregister und Maßnahmensteuerung. Kommt ein US-naher Kunde oder ein Konzern-Reporting hinzu, wird zusätzlich gegen ein NIST-Framework gemappt. Drei Welten, drei Sprachen, drei Taktungen, oft drei Eigentümer.

Das fällt auf, sobald Konsistenz gefragt ist. Eine Aufsichtsbehörde verlangt den Nachweis angemessener Maßnahmen nach Art. 32, ein Großkunde fragt im Audit nach der NIST-Abdeckung, eine Zertifizierungsstelle prüft das ISMS. Dann zeigt sich, dass TOM-Liste, ISMS und NIST-Mapping unterschiedliche Stände beschreiben. Es existiert viel Dokumentation, aber kein durchgängiges System, das eine Anforderung, eine Maßnahme und einen Nachweis verbindet. Die DSGVO verlangt in Art. 5 Abs. 2 und Art. 24 jedoch genau diese Rechenschaftsfähigkeit.

CISO-Einordnung

Hilfreich ist ein Ebenenmodell, das die Regime nach ihrer Funktion trennt, statt sie als konkurrierende Checklisten zu behandeln.

Pflichtebene: DSGVO und BDSG definieren rechtliche Pflichten und Schutzziele. Sie sind verbindlich, der DSGVO-Volltext ist als amtliches EU-Recht frei zitierbar. Hier liegt das "Was" und "Warum", nicht das technische "Wie".

Managementebene: ISO/IEC 27001 und IT-Grundschutz liefern das nachweisbare "Wie" der Maßnahmen, insbesondere für Art. 32. Zentrale Andockpunkte sind Art. 5 Abs. 1 lit. f (Integrität und Vertraulichkeit), Art. 25 (Datenschutz durch Technikgestaltung), Art. 28 (Auftragsverarbeitung) und Art. 32 (Sicherheit der Verarbeitung). Die Rechenschaftspflicht aus Art. 5 Abs. 2 und Art. 24 wird durch den Managementsystem-Betrieb belegbar.

Datenschutz-Managementebene: ISO/IEC 27701 erweitert diesen Rahmen um die Verarbeitung personenbezogener Daten als eigenes Schutzobjekt. Die erste Ausgabe 2019 war eine Erweiterung zu ISO/IEC 27001 und 27002; die zweite Ausgabe 2025 ist ein eigenständiger, zertifizierbarer Standard. Editionswechsel sind üblicherweise mit einer Übergangsfrist versehen, deren genaue Regeln gegen den Aktualstand der Zertifizierungs- und Akkreditierungsstellen zu prüfen sind.

Governance- und Outcome-Ebene: Die NIST-Frameworks ergänzen die Steuerung. Das Cybersecurity Framework adressiert mit den Funktionen Govern (GV) und Protect (PR) die governance- und schutzseitige Strukturierung, das NIST Privacy Framework die datenschutzbezogenen Ergebnisse, die Control-Familie PT (PII Processing and Transparency) aus der SP-800-53-Reihe ein Control-Pendant. Die NIST-Inhalte sind US-Public-Domain und ohne unmittelbare Rechtsbindung an die DSGVO.

Wesentlich: Die Frameworks korrelieren, sind aber nicht deckungsgleich. Ein Mapping ist eine Verständnis- und Effizienzhilfe, keine rechtliche Äquivalenz. Eine Zertifizierung oder NIST-Abdeckung ist ein Nachweisinstrument für die Rechenschaftspflicht, aber kein behördlicher Konformitätsbescheid.

Umsetzungsperspektive

Aus CISO-Sicht ist das Ziel ein gemeinsamer Kern mit mehreren Sichten, nicht ein neues, viertes Regime. Sinnvoll ist ein schlankes, betreibbares Modell:

• Ein gemeinsames Inventar: Verarbeitungstätigkeiten (Art. 30) und ISMS-Werte werden verknüpft, sodass schutzbedürftige personenbezogene Verarbeitungen als Werte im Risikoregister auftauchen.
• Ein Maßnahmenregister als einzige Quelle: Jede Maßnahme wird einmal geführt und über ein Crosswalk-Mapping den Anforderungen der jeweiligen Regime zugeordnet (DSGVO-Artikel, ISO-Controls, NIST-Funktionen und -Kategorien).
• Eine gemeinsame Taktung für Risiken, Maßnahmen, Nachweise und Entscheidungen, die zugleich das Wirksamkeitsverfahren aus Art. 32 bedient.
• Eine klare Rollenschnittstelle: Der Datenschutzbeauftragte verantwortet die rechtliche Bewertung, der CISO Betrieb und Nachweis der Maßnahmen, die Leitung die Entscheidung.

Beim Vorfallprozess laufen die Meldepflichten auseinander. Ein einzelner Sicherheitsvorfall kann parallele Meldewege auslösen: die 72-Stunden-Meldung an die Datenschutz-Aufsicht nach Art. 33 bei einer Verletzung des Schutzes personenbezogener Daten, die Früh- und Vorfallmeldung an die zuständige Stelle nach NIS2 bei einem erheblichen Sicherheitsvorfall und gegebenenfalls eine IKT-bezogene Meldung im Finanzsektor nach DORA. Trigger, Fristen und Empfänger unterscheiden sich. Deshalb braucht es einen Incident-Prozess mit Mehrfach-Trigger-Mapping, der aus einer Erkennung alle einschlägigen Meldepfade ableitet.

Typische Fehler

1. Ein fremdes Crosswalk wird als eigene Bewertung übernommen, sodass die organisationsspezifische Risiko- und Angemessenheitsbeurteilung faktisch fehlt.
2. Das Mapping wird als rechtliche Äquivalenz gedeutet, statt als Strukturierungshilfe; eine NIST- oder ISO-Abdeckung wird als DSGVO-Konformität kommuniziert.
3. Controls werden 1:1 gleichgesetzt, obwohl Geltungsbereich, Tiefe und Zweck der Anforderungen je Regime unterschiedlich sind.
4. Jedes Regime erhält ein eigenes Tool und einen eigenen Eigentümer, womit die Doppelstruktur in Software zementiert wird.
5. Die Meldepflichten werden nur für ein Regime gedacht, sodass parallele Fristen aus NIS2 oder DORA im Ernstfall übersehen werden.

Risiken und Trade-offs

Der zentrale Trade-off liegt zwischen Integration und Rollenklarheit. Die enge Kopplung der Regime spart Aufwand und schließt Lücken, kann aber Verantwortlichkeiten verwischen. Rechtliche Bewertung und operative Maßnahmensteuerung dürfen organisatorisch verbunden, müssen aber rollenseitig unterscheidbar bleiben.

Ein zweiter Trade-off ist die falsche Äquivalenz. Ein gepflegtes Mapping verleitet dazu, die Erfüllung eines Regimes als Erfüllung aller zu lesen. Die DSGVO-Konformität im Einzelfall bleibt eine rechtliche Frage für Aufsichtsbehörden und Gerichte, kein Ergebnis einer Mapping-Tabelle.

Ein dritter Trade-off ist der Pflegeaufwand. Crosswalks veralten, sobald Frameworks neue Ausgaben erhalten, etwa beim Editionswechsel von ISO/IEC 27701 oder neuen NIST-Versionen; ein Mapping ohne Pflegeprozess wird still falsch. Und ein Regime ohne Marktbedürfnis erzeugt Pflege- und Auditkosten ohne Nutzen.

Entscheidungspunkte

• Welche Regime sind tatsächlich erforderlich, rechtlich verpflichtend oder marktgetrieben, und welche binden nur Ressourcen?
• Führen wir ein gemeinsames Maßnahmenregister mit Mehrfachsicht oder getrennte Artefakte je Regime?
• Wer pflegt das Crosswalk-Mapping, und in welcher Taktung wird es gegen neue Framework-Ausgaben aktualisiert?
• Wie stellen wir methodisch sicher, dass ein Mapping als Strukturierungshilfe und nicht als rechtliche Äquivalenz verstanden wird?
• Wie ist der Vorfallprozess so gestaltet, dass er aus einer Erkennung alle einschlägigen Meldepfade (Art. 33, NIS2, DORA) ableitet?

Praktische Empfehlungen

1. Bauen Sie ein gemeinsames Inventar und ein einziges Maßnahmenregister; bilden Sie die Regime als Sichten darauf ab, nicht als getrennte Systeme.
2. Verankern Sie die DSGVO als Pflichtebene und behandeln Sie ISO und NIST als das nachweisbare Wie und die Strukturierung, nicht als Ersatz für die rechtliche Bewertung.
3. Pflegen Sie das Crosswalk-Mapping als lebendes Artefakt mit klarem Eigentümer und fester Aktualisierungstaktung.
4. Trennen Sie Rollen sauber: rechtliche Beurteilung beim Datenschutzbeauftragten, Maßnahmenbetrieb und Nachweis beim CISO, Entscheidung bei der Leitung.
5. Gestalten Sie den Incident-Prozess mit Mehrfach-Trigger-Mapping, damit die 72-Stunden-Pflicht nach Art. 33 und weitere Meldepflichten aus demselben Prozess bedient werden.
6. Holen Sie bei verbindlichen Auslegungs-, Angemessenheits- und Äquivalenzfragen rechtlichen Rat ein und beziehen Sie Leitlinien der Aufsichtsbehörden ein.

Relevante Normreferenzen

• DSGVO (Verordnung (EU) 2016/679): insbesondere Art. 5 Abs. 1 lit. f und Abs. 2, Art. 24, 25, 28, 30, 32, 33. DSGVO-Volltext ist amtliches EU-Recht und frei zitierbar (EUR-Lex); ergänzend das BDSG.
• ISO/IEC 27001 und 27002: Referenz für das Managementsystem und den Maßnahmenrahmen, die das Wie der TOMs tragen (reference-only, keine Control-Listen).
• ISO/IEC 27701: Referenz für das Privacy Information Management System; erste Ausgabe 2019 als Erweiterung zu 27001/27002, zweite Ausgabe 2025 als eigenständiger, zertifizierbarer Standard (reference-only).
• NIST Cybersecurity Framework (Funktionen Govern und Protect), NIST Privacy Framework und SP 800-53 (Control-Familie PT): governance- und outcome-seitige Ergänzung, US-Public-Domain, ohne unmittelbare Rechtsbindung an die DSGVO.