Datenträgerinventar als Ausgangspunkt
Eine belastbare Ausschreibung nennt die Anzahl und Art der Medien. Besonders bei Servern und Storage-Systemen sind die enthaltenen Laufwerke gesondert zu berücksichtigen.
NORMEN UND ANWENDUNG
ISO/IEC 21964 bei der IT-Entsorgung Normgerechte Datenträgervernichtung fachlich richtig einordnen.
Die ISO/IEC 21964 betrifft die physische Vernichtung von Datenträgern. Sie hilft, materialbezogene Sicherheitsanforderungen präzise festzulegen – ohne pauschale Aussagen zur Rechtskonformität.
NORMEN UND ANWENDUNGNORMEN UND ANWENDUNG
Was der Normenbezug für Auftraggeber praktisch bedeutet
In Ausschreibungen und Leistungsbeschreibungen sollten Datenträgerarten und verlangte Sicherheitsstufen eindeutig benannt werden, damit Angebote fachlich vergleichbar sind.
Speicherart
HDDs, SSDs und Bänder getrennt betrachten.
Schutzbedarf
Informationen und Materialklasse zuordnen.
Nachweis
Vereinbarte Verfahren dokumentieren.
NORMEN UND ANWENDUNG
Vom Schutzbedarf zur passenden Materialklasse
Eine magnetische HDD, ein Flash-Speicher und ein Magnetband stellen unterschiedliche Anforderungen an die physische Vernichtung. Daher werden Medien zunächst technisch eingeteilt, bevor ein konkretes Vernichtungsergebnis vereinbart wird.
HINTERGRÜNDE UND PRAXIS
Fünf Punkte für eine präzise Vernichtungsvorgabe
Statt einer allgemeinen Normnennung benötigt ein Auftrag konkrete Angaben zur eingesetzten Hardware, zum Datenrisiko und zur geforderten Dokumentation.
Die Materialkategorie korrekt angeben
Magnetische Festplatten und elektronische Speicher werden nicht mit derselben Kennzeichnung beschrieben. Eine Anforderung wie H-5 kann deshalb nicht wortgleich auf Flash-Medien übertragen werden.
Das Risiko aus den Informationen ableiten
Nicht der Marktwert eines Datenträgers ist ausschlaggebend, sondern die Sensibilität der gespeicherten Informationen. Daraus ergibt sich, welche technische Vernichtungsanforderung sinnvoll festgelegt wird.
Den Geltungsbereich der Prüfung lesen
Bei einer Zertifizierung sind geprüfte Standorte, Tätigkeiten und ausgewiesene Verfahren maßgeblich. Eine allgemeine Zertifikatsabbildung ersetzt nicht die Prüfung des tatsächlich angebotenen Leistungsumfangs.
Den Auftrag eindeutig dokumentieren
Ein prüffähiger Projektbezug entsteht durch abgestimmte Mengen, Behandlungsart und Nachweise. Soweit vereinbart, können einzelne Datenträger über ihre Kennzeichnung zugeordnet werden.
HÄUFIGE FRAGEN
Fragen zu ISO/IEC 21964 bei der IT-Entsorgung
Ist ISO/IEC 21964 die aktuelle Norm?
Sie ist der aktuelle internationale Bezugsrahmen für Datenträgervernichtung.
Gilt H-5 für alle Speichermedien?
Nein, die Sicherheitsstufen sind an Materialkategorien gebunden.
Sind Schutzklasse und Sicherheitsstufe gleich?
Nein, sie beschreiben Schutzbedarf beziehungsweise Vernichtungsergebnis.
Ersetzt die Zertifizierung einen Auftragsnachweis?
Nein, ein konkreter Auftrag braucht die vereinbarte eigene Dokumentation.
Ist ISO/IEC 21964 automatisch ein DSGVO-Nachweis?
Nein, Datenschutzpflichten müssen darüber hinaus gesondert bewertet werden.
Sicherheit braucht überprüfbare Standards.
GDD-MitgliedFachlicher Austausch zu Datenschutz und Datensicherheit.
DEKRA · ISO 21964-3Unternehmenszertifizierung im ausgewiesenen Zertifizierungsumfang.
ISO/IEC 21964Aktuelle Normeinordnung für Datenträgervernichtung.
Schutzklasse 3Im ausgewiesenen Zertifizierungsumfang.
DokumentationProjektbezogene Nachweise je Auftrag.
Technische Anforderungen abstimmen
Sie planen die Vernichtung bestimmter Datenträgerbestände? Wir klären die materialbezogenen Vorgaben und den Nachweisumfang vor Auftragsbeginn.