Unsere Standorte

Hier finden Sie unsere zahlreichen Standorte rundum Rhenus. Sie können zwischen Ländern, den dazu gehörigen Standorten, Geschäftsbereichen, sowie Standorten in Ihrer Nähe wählen.

Detailbeschreibung – DIN 66399-3

Der dritte Teil der DIN 66399 wurde im Gegensatz  zu den ersten beiden Teile der DIN 66399 im Februar 2013 veröffentlich und beschreibt die drei möglichen Varianten einer Datenträgervernichtung inklusive der Prozessdefinition, der Prozessdurchführung sowie den Prozesskriterien.

Diese DIN SPEC ist als Fachbericht das Ergebnis des Arbeitsausschusses „Vernichtung von Datenträgern“ der DIN und hat nicht den Status einer Deutschen Norm. Diese DIN SPEC wurde nach den Verfahrensregeln einer Vornorm erarbeitet. Eine Vornorm ist das Ergebnis eines Gremiums mit deren Anwendung die notwendigen Erfahrungen gesammelt werden sollen, um daraus eine reguläre Norm zu erarbeiten.

Demnach sind Erfahrungen mit dieser Norm erwünscht und können gerne als E-Mail an nia@din.de kommuniziert werden.

1. + 2. Kapitel

Der Anwendungsbereich im ersten Abschnitt umfasst die verantwortliche Stelle und alle an dem Vernichtungsprozess Beteiligten. Gleichzeitig werden die Anforderungen an die entsprechenden Prozessschritte festgelegt.

Im zweiten Abschnitt werden als normative Verweise die ersten beiden Teile der DIN 66399 angegeben.

3. Kapitel

Im dritten Abschnitt wird der Prozessablauf für die drei Varianten dargelegt. Allerdings ist der Prozess unabhängig von der gewählten Variante in allen Einzelschritten sicher zu gestalten. Der Vernichtungsprozess endet erst mit Erreichung der definierten Sicherheitsstufe.

Dabei ist die Aufgabenteilung, insbesondere bei Einsatz eines Dienstleisters,  klar zu regeln. Da der § 9 des Bundesdatenschutzgesetzes bei einer Auftragsdatenverarbeitung nach § 11 BDSG vorschreibt, dass die erforderlichen technischen und organisatorischen Maßnahmen zu treffen sind, sind diese Maßnahmen sowohl in dem dritten Teil der DIN 66399 konkret beschrieben als auch anhand der definierten Schutzklasse zu ergreifen.
Die einzuhaltenden technischen und organisatorischen Maßnahmen sind entsprechend dem Schutzbedarf der Daten angemessen zu gestalten. Es sind Sicherheits- und Kontrollsysteme einzurichten, welche als Schutzzweck die Verhinderung von Datenmissbrauch haben. Insbesondere soll allerdings auch dem Angemessenheitsprinzip Rechnung getragen werden, indem die zu vernichtenden Datenträger in Schutzklassen durch den Herrn der Daten eingeteilt werden müssen. Hierfür wird empfohlen, dass aus ökologischen und ökonomischen Gründen die Trennung in unterschiedliche Sicherheitsstufen an der Anfallstelle vorgenommen wird.

Zur Ermittlung der Risikostruktur ist das zu schützende Material anhand der Sensibilität und unter Bezug auf die DIN 66399 Teil 1 einzuordnen. Insbesondere wird die frühe Erreichung der Funktionsunfähigkeit der Datenträger bereits bei der Sammlung der Datenträger an der Anfallstelle empfohlen. Durch diese Vorvernichtung lässt sich für einige Stoffkategorien (so beispielsweise für Festplatten und elektronische Datenträger) eine Basissicherheit für den weiteren Prozessverlauf erreicht, auch da die Attraktivität der Datenträger für eine weitere Verwendung geschmälert wird. Durch solche Sicherungsmaßnahmen lässt sich sogar eine Minderung der zu erreichenden Sicherheitsstufe argumentieren.

Vor der Wahl der Variante ist zu prüfen, ob die erforderliche Sicherheitsstufe (Partikelgröße) in Verbindung mit der Schutzklasse (technische und organisatorische Maßnahmen) erreicht werden können. Diese beiden zu definierenden Maßgrößen für den Vernichtungsprozess sind von der verantwortlichen Stelle, dem Herrn der Daten, festzulegen.

Für die Definition des Vernichtungsprozesses muss die verantwortliche Stelle die folgenden fünf Fragen beantworten:

  • Was für Datenträger und Informationen sind schutzwürdig und in welche Schutzklasse einzuordnen?
  • Welche Sicherheitsstufe ist für die Vernichtung zu wählen?
  • Wer soll die Vernichtung durchführen (verantwortliche Stelle direkt oder externer Dienstleister)?
  • Wo ist die Vernichtung durchzuführen (vor Ort oder extern beim Dienstleister)?
  • Wie sind die technischen und organisatorischen Maßnahmen bei der Anfallstelle, beim Transport und beim Dienstleister definiert?

Voraussetzung für die ordnungsgemäße Vernichtung ist eine detaillierte Organisation. Hier sind insbesondere die Abläufe zu dokumentieren, die Zuständigkeiten zu definieren, die gesetzlichen und betrieblichen Rahmenbedingen zu spezifizieren sowie die Anforderungen an das eingesetzte Personal vorzugeben. Der Prozess ist so zu definieren, dass keine Unbefugten Kenntnis der Daten erhalten. Der Transport der Datenträger ist gegen unbefugten Zugriff zu sichern. Auch sind sichere Behälter und Fahrzeuge entsprechend dem definierten Schutzbedarf der Daten einzusetzen.

Die verantwortliche Stelle hat vor Auftragserteilung die Prozesssicherheit und Abläufe des einzusetzenden Dienstleisters zu kontrollieren und zu prüfen. Diese Prüfung ist bei Auftragserteilung regelmäßig durchzuführen (z. B. einmal pro Jahr).

Die Abläufe und Prozessabschnitte sind vom eingesetzten Dienstleister schriftlich zu formulieren. Diese Dokumentation ist der verantwortlichen Stelle zur Verfügung zu stellen. In einem Audit ist diese Dokumentation gegen die Gegebenheiten beim Dienstleister sowie den Anforderungen aus dieser Norm zu prüfen und zu bestätigen.

Die Audits hinsichtlich Erlangung oder Verlängerung von Zertifikaten sind schriftlich zu dokumentieren und maximal auf einen Zeitraum von drei Jahren zu begrenzen. Vorzugsweise führt ein akkreditiertes Unternehmen diese Audits durch.

4. Kapitel

In Abschnitt vier werden nun die technischen und organisatorischen Maßnahmen zur Prozesssicherheit entsprechend den drei Varianten dargestellt. Diese Liste kann dem Herrn der Daten als Audit-Checkliste zur Überprüfung der möglichen Dienstleister dienen.

Die einzelnen Prozesskriterien sind jeweils in einzelne Bereiche aufgeteilt. Hierbei wird definiert, für welche Schutzklasse bzw. für welchen Schutzbedarf welche Kriterien entweder möglich oder erforderlich sind. Kriterien, die als möglich für eine gewisse Schutzklasse definiert werden, müssen von der für die Vernichtung eingesetzten Organisation entsprechend nicht unbedingt umgesetzt sein.

Seite drucken

Rhenus Data Office GmbH

Industriestraße 5
D-48301 Nottuln
Germany
Tel:  +49 (0) 2509 89-0
Fax: +49 (0) 2509 89-33
E-Mail: info.data-office@de.rhenus.com