Datenträger

Wenn betrifft die DIN 66399

Kurz gesagt: jeden!

Jedes Unternehmen (jede verantwortliche Stelle) muss sich mit dem Thema der Vernichtung sensibler Daten auseinandersetzen:

• Wie werden Datenträger mit personenbezogenen Daten (z. B. Personaldaten, Lieferanten- oder Kundendaten, Gesundheitsdaten) 
  oder mit vertraulichen firmeneigenen Informationen entsorgt?
• Welches Schutzniveau haben Ihre Daten? Stellen Datenpannen oder Wirtschaftsspionage Unternehmensrisiken für Sie dar?
• Gibt es ein ausreichendes Entsorgungs- und Datenträgervernichtungskonzept?
• Arbeiten Sie mit einem vertrauenswürdigen Dienstleister zusammen, der bereits nach der neuen Norm zertifiziert ist?
• Werden in Ihrem Unternehmen und bei Ihren Dienstleistern alle relevanten gesetzlichen Vorgaben unter 
  Einbeziehung der DIN 66399 eingehalten und somit alle erforderlichen Compliance-Aspekte ausreichend berücksichtigt?

Risiko:

Es ist zu beachten, dass eine nicht ausreichende Sicherstellung der IT Sicherheit oder 
des Datenschutzes bei der Entsorgung von Datenträgern (der Stand der Technik ist dabei zu beachten!) 
zu erheblichen negativen Folgen für das Unternehmen (u.a. Schadensersatzpflicht, Bußgelder) und 
die Geschäftsführung (u.a. Haftung) führen kann.

Was müssen Unternehmen tun?

Erforderlich ist:

• Festlegung des Schutzbedarfs sowie Zuordnung der erforderlichen Schutzklassen und Sicherheitsstufen
• Prüfung und Anpassung der Bestandsverträge zur Datenträgerentsorgung an die neue DIN 66399
• Erstellung (bzw. Prüfung und Anpassung) eines Konzepts zur datenschutzgerechten Vernichtung von 
  Datenträgern unter Berücksichtigung der DIN 66399 und Entsorgung entsprechender gesetzlicher Vorgaben

Die DIN 66399 umfasst drei Teile:

• (1) Der erste Teil der Norm behandelt die Grundlagen und Begriffe zur Vernichtung von Datenträgern
• (2) Im zweiten Teil der DIN 66399 sind die Anforderungen an Maschinen zur Vernichtung der verschiedenen Datenträgerarten festgelegt. 
  Hier geht es u.a. um die zulässigen Partikelgrößen von sechs ausgewählten Materialarten und den zugehörigen Datenträgermedien die,  
  jeweils abhängig vom Schutzbedarf der eigenen Daten, bei der Datenvernichtung eingehalten werden müssen.
• (3) Eine wichtige Neuheit der DIN 66399 ist der dritte Teil, der umfassende technische und organisatorische Anforderungen an 
  die Prozessschritte bei der Datenvernichtung vorgibt. Hier werden genaue Vorgaben an das Managementsystem des Dienstleisters, 
  welcher die Datenträgervernichtung durchführt, gemacht. 
  Dieser Dienstleister kann entweder eine interne Abteilung (Servicecenter) des Unternehmens selbst oder 
  ein externer Dienstleister im Auftrag des Unternehmens sein.