Was erfordert die Kontrolle A.3.17?
Die Mitarbeiter der Organisation und relevante Interessengruppen erhalten eine angemessene Schulung und Weiterbildung im Bereich Informationssicherheit sowie regelmäßige Aktualisierungen der Informationssicherheitspolitik der Organisation, themenspezifischer Richtlinien und Verfahren, soweit diese für ihre jeweilige Funktion im Zusammenhang mit der Verarbeitung personenbezogener Daten relevant sind.
Diese Steuerung befindet sich innerhalb der Gemeinsame Sicherheitskontrollen Anhang (A.3) erkennt an, dass selbst die besten technischen Kontrollmechanismen versagen, wenn die Bediener ihre Verantwortlichkeiten nicht kennen. Schulungen müssen auf die jeweilige Rolle zugeschnitten und regelmäßig aufgefrischt werden; einmalige Maßnahmen reichen nicht aus.
Was besagt der Umsetzungsleitfaden für Anhang B?
Anhang B (Abschnitt B.3.17) enthält folgende Hinweise:
- Bewusstsein für die Meldung von Vorfällen — Das Bewusstsein dafür schärfen, wie potenzielle Vorfälle im Zusammenhang mit personenbezogenen Daten erkannt und gemeldet werden können, und sicherstellen, dass alle Mitarbeiter die Meldekanäle und die Bedeutung einer rechtzeitigen Eskalation verstehen.
- Folgen von Verstößen — Sicherstellen, dass die Mitarbeiter über die Konsequenzen eines Verstoßes gegen die Datenschutz- und Sicherheitsbestimmungen informiert sind, und zwar in drei Dimensionen:
- Für die Organisation — Rechtliche Sanktionen, Geschäftsverluste, Reputationsschäden
- Für den Mitarbeiter — Disziplinarische Konsequenzen bis hin zur möglichen Entlassung
- Für den PII-Hauptteil — Physischer, materieller und emotionaler Schaden, den Einzelpersonen erleiden können
- Web Link A.3.19: Aufgeräumter Schreibtisch und aufgeräumter Bildschirm für damit zusammenhängende Anforderungen
- Regelmäßige Schulungen zum Zugriff auf personenbezogene Daten — Umfassende, regelmäßige Schulungen speziell für Mitarbeiter mit Zugriff auf personenbezogene Daten, die über das allgemeine Sicherheitsbewusstsein hinausgehen.
Die Leitlinien betonen, dass Sensibilisierung allein nicht ausreicht. Die Mitarbeiter müssen die realen Konsequenzen des unsachgemäßen Umgangs mit personenbezogenen Daten verstehen – nicht nur abstrakte Richtlinien, sondern die konkreten Auswirkungen auf die betroffenen Personen.
Wie lässt sich das mit der DSGVO vereinbaren?
Steuerung A.3.17 ist zugeordnet zu Datenschutz Artikel 39 Absatz 1 Buchstabe b (eine verwandte Bestimmung, die nicht förmlich in Anhang D aufgeführt ist) überträgt dem Datenschutzbeauftragten die Aufgabe, die Einhaltung der Datenschutzbestimmungen zu überwachen, einschließlich der Zuweisung von Verantwortlichkeiten, der Sensibilisierung und Schulung der an der Datenverarbeitung beteiligten Mitarbeiter. Obwohl nicht alle Organisationen einen Datenschutzbeauftragten haben, Datenschutz macht deutlich, dass Schulungen eine zentrale Maßnahme zur Einhaltung der Vorschriften darstellen.
Was hat sich gegenüber ISO 27701:2019 geändert?
Eine schrittweise Anleitung finden Sie unter Übergang von 2019 bis 2025.
In der Ausgabe von 2019 war diese Anforderung in Abschnitt 6.4.2.2 (Informationssicherheitsbewusstsein, -schulung und -weiterbildung) enthalten. Die Ausgabe von 2025 behält die Kernanforderungen als A.3.17 bei, mit einer klareren Trennung zwischen der Kontrollaussage und den Umsetzungshinweisen in B.3.17. Der dreidimensionale Ansatz zur Folgenabschätzung (Organisation, Mitarbeiter, Betroffener personenbezogener Daten) bleibt ein charakteristisches Merkmal der Leitlinien. Siehe die Korrespondenztabelle im Anhang F für die vollständige Kartierung.
Einfacher Einstieg mit einer persönlichen Produktdemo
Einer unserer Onboarding-Spezialisten führt Sie durch unsere Plattform, damit Sie selbstbewusst loslegen können.
Welche Nachweise erwarten die Wirtschaftsprüfer?
Bei der Beurteilung der Einhaltung von A.3.17 achten die Prüfer typischerweise auf Folgendes:
- Trainingsprogramm — Ein dokumentiertes Programm zur Sensibilisierung für Datenschutz und Datensicherheit mit Inhalten, die auf unterschiedliche Rollen und Zugriffsebenen für personenbezogene Daten zugeschnitten sind.
- Abschlussaufzeichnungen — Nachweis, dass alle relevanten Mitarbeiter die erforderlichen Schulungen absolviert haben, mit Angabe von Datum, Punktzahl (falls zutreffend) und Aufzeichnungen über etwaige Nachschulungen
- Regelmäßige Updates — Nachweis, dass die Schulungsinhalte bei Richtlinienänderungen aktualisiert werden und dass die Mitarbeiter über Richtlinienaktualisierungen informiert werden.
- Rollenspezifisches Training — Zusätzliche Schulungen für Mitarbeiter mit erweitertem Zugriff auf personenbezogene Daten oder speziellen Verarbeitungsfunktionen, die über das allgemeine Bewusstsein hinausgehen.
- Effektivitätsmessung — Nachweise dafür, dass das Schulungsprogramm auf seine Wirksamkeit hin evaluiert wird, beispielsweise durch Wissensüberprüfungen, Phishing-Simulationen oder die Analyse von Vorfallstrends.
Welche Steuerungselemente gehören dazu?
| Kontrollieren | Beziehung |
|---|---|
| A.3.11 Planung des Vorfallmanagements | Die Schulung sollte auch beinhalten, wie man Vorfälle mit personenbezogenen Daten erkennt und meldet. |
| A.3.18 Vertraulichkeitsvereinbarungen | Die Schulung bekräftigt die von den Mitarbeitern unterzeichneten Vertraulichkeitsverpflichtungen. |
| A.3.9 Zugriffsrechte | Mitarbeiter mit Zugriff auf personenbezogene Daten benötigen gezielte Schulungen zu ihren Zugriffsverantwortlichkeiten. |
| A.3.16 Einhaltung der Richtlinien | Die Ergebnisse von Compliance-Prüfungen können Schulungslücken aufzeigen, die geschlossen werden müssen. |
| A.3.12 Reaktion auf Vorfälle | Schulungen zur Reaktion auf Sicherheitsvorfälle stellen sicher, dass die Mitarbeiter ihre Rolle im Falle einer Sicherheitsverletzung kennen. |
Für wen gilt diese Regelung?
A.3.17 ist ein Gemeinsame Kontrolle Dies gilt sowohl für Verantwortliche als auch für Auftragsverarbeiter personenbezogener Daten. Alle Mitarbeiter, die personenbezogene Daten verarbeiten oder deren Sicherheit beeinträchtigen könnten, benötigen eine entsprechende Schulung. Dies umfasst nicht nur Festangestellte, sondern auch Auftragnehmer, Zeitarbeiter und alle relevanten Interessengruppen, die mit personenbezogenen Daten oder den Systemen, die diese verarbeiten, in Kontakt stehen.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Warum sollten Sie sich ISMS.online für eine Schulung zum Thema Datenschutz?
ISMS.online bietet praktische Werkzeuge für den Aufbau und die Aufrechterhaltung einer datenschutzbewussten Belegschaft:
- Verwaltung von Schulungsmodulen — Erstellen, Zuweisen und Verfolgen des Abschlusses von Schulungsmodulen, die auf verschiedene Rollen und Zugriffsebenen für personenbezogene Daten zugeschnitten sind.
- Automatisierte Planung — Schulungsintervalle nach Rolle festlegen, mit automatisierten Erinnerungen für die erstmalige Absolvierung und regelmäßige Auffrischungskurse
- Richtlinienbestätigungs-Tracking — Sicherstellen, dass alle Mitarbeiter die aktualisierten Datenschutzrichtlinien lesen und bestätigen, einschließlich der Übersicht über den Abschluss der Richtlinien und der Eskalationsmöglichkeiten für Nicht-Reagierende.
- Abschlussbericht — Erstellen Sie revisionssichere Berichte, aus denen hervorgeht, wer die Schulung wann abgeschlossen hat und welche Anforderungen noch ausstehen.
- Integration mit dem Incident-Management — Verknüpfen Sie Schulungsnachweise mit Vorfallsdaten, um festzustellen, ob Schulungslücken zu Vorfällen mit personenbezogenen Daten beigetragen haben.
- Onboarding neuer Mitarbeiter — Neuen Mitarbeitern im Rahmen des Einarbeitungsprozesses automatisch eine Datenschutzschulung zuweisen
Häufig gestellte Fragen
Wie oft sollte das Datenschutzbewusstsein geschult werden?
Der Standard sieht regelmäßige Aktualisierungen vor, schreibt aber keine spezifische Häufigkeit vor. Die meisten Organisationen bieten jährlich Auffrischungsschulungen für alle Mitarbeitenden an, ergänzt durch Schulungen bei wesentlichen Richtlinienänderungen. Mitarbeitende in risikoreichen Positionen, die sensible personenbezogene Daten verarbeiten, benötigen möglicherweise häufigere Schulungen. Entscheidend ist, dass die Schulungen kontinuierlich erfolgen und auf Veränderungen reagieren, anstatt nur einmalig durchgeführt zu werden.
Sollte die Schulung auch die Konsequenzen für PII-Verantwortlichen umfassen?
Ja. Die Umsetzungsrichtlinien fordern ausdrücklich, dass die Mitarbeiter die Folgen von Datenschutzverletzungen in drei Dimensionen verstehen: für das Unternehmen, für sich selbst und für die betroffenen Personen. Beispiele aus der Praxis, die Einzelpersonen schaden – wie Identitätsdiebstahl, finanzielle Verluste oder seelische Belastung – helfen den Mitarbeitern zu verstehen, warum Datenschutzmaßnahmen über abstrakte Compliance-Anforderungen hinaus wichtig sind.
Gilt dies auch für Auftragnehmer und Zeitarbeitskräfte?
Ja. Die Kontrollmaßnahmen gelten für alle Mitarbeiter der Organisation und relevante Interessengruppen. Dazu gehören Auftragnehmer, Zeitarbeiter, Berater und alle anderen Personen, die auf personenbezogene Daten oder Systeme zur Verarbeitung personenbezogener Daten zugreifen. Die Schulung muss vor Beginn der Verarbeitung personenbezogener Daten erfolgen und auf die jeweilige Rolle sowie die Dauer des Einsatzes abgestimmt sein.
Nehmen Sie Schulungsanforderungen in Ihre Erklärung zur Anwendbarkeit und diese mit konkreten Kontrollpflichten zu verknüpfen.
Unzureichende Ausbildung ist einer der Gründe die häufigsten Implementierungsfehler — Vermeiden Sie dies, indem Sie das Bewusstsein dafür von Anfang an in Ihr PIMS integrieren.
