ISO 21964 Datenträgervernichtung NIS-2
ISO 21964, NIS-2 und DSGVO richtig einordnen
ISO/IEC 21964, DSGVO und NIS-2 beantworten unterschiedliche Fragen. Die Norm behandelt die Vernichtung von Datenträgern; Datenschutzrecht betrifft unter anderem den Umgang mit personenbezogenen Informationen; das Cybersicherheitsrecht stellt Anforderungen an erfasste Einrichtungen. Ein Vernichtungszertifikat allein bestätigt deshalb keine vollständige Rechtskonformität Ihres Unternehmens.
Symbolfoto · Foto: Jordan Harrison / Unsplash
ISO/IEC 21964: den Vernichtungsprozess beschreiben
Für einen konkreten Auftrag werden Materialart, Schutzbedarf, Sicherheitsstufe und Nachweisumfang abgestimmt. Teil 3 der Norm behandelt den Vernichtungsprozess. Das hinterlegte DEKRA-Zertifikat von ProCoReX weist Schutzklasse 3 und H-5, E-5, O-5 sowie T-6 aus. Entscheidend ist, welche Leistung innerhalb dieses Geltungsbereichs beauftragt wird.
DSGVO: Sicherheit passend zu den Risiken
Artikel 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen für ein angemessenes Schutzniveau. Die Wahl der Datenbehandlung hängt unter anderem von den konkreten Risiken ab. Daraus folgt keine pauschale Aussage, dass jedes Gerät zwingend mechanisch zerstört werden muss. Verantwortlichkeiten, gegebenenfalls Auftragsverarbeitung und die benötigte Dokumentation sind für das jeweilige Projekt zu klären.
NIS-2: Betroffenheit gesondert prüfen
Das deutsche NIS-2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Ob Ihre Einrichtung darunter fällt, ist anhand der geltenden Kriterien zu prüfen. Datenträgervernichtung kann ein Baustein Ihres Sicherheitsmanagements sein; sie ersetzt weder die Prüfung der Betroffenheit noch weitere organisatorische Anforderungen.
Was sollte im Vernichtungsauftrag stehen?
Benennen Sie freigegebene Medien, Materialklassen, vereinbartes Vernichtungsniveau, Übernahmeweg und Abschlussnachweis. Wenn Ihre Bestandsführung einen Einzelbezug benötigt, vereinbaren Sie die Seriennummernerfassung ausdrücklich. Ihre verantwortliche IT- oder Datenschutzstelle sollte die Anforderungen bestätigen.