Verordnung vom 31. August 2022 über Datenschutzzertifizierungen (VDSZ) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza del 31 agosto 2022 sulle certificazioni in materia di protezione dei dati (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="de" value="Verordnung vom 31. August 2022 über Datenschutzzertifizierungen (VDSZ)" shortForm="VDSZ"/><FRBRname xml:lang="fr" value="Ordonnance du 31 août 2022 sur les certifications en matière de protection des données (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="en" value="Ordinance of 31 August 2022 on Data Protection Certification (DPCO)" shortForm="DPCO"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/de"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/de/xml"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.5"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Bundeskanzlei"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/DEU" showAs="de"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>235.13 </docNumber></p><p><docTitle>Verordnung <br/>über Datenschutzzertifizierungen</docTitle></p><p>(VDSZ)</p><p>vom 31. August 2022 (Stand am 1. September 2023)</p></preface><preamble><p>Der Schweizerische Bundesrat,</p><p>gestützt auf Artikel 13 Absatz 2 des Datenschutzgesetzes vom 25. September 2020<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>235.1</b></ref></p></authorialNote> (DSG),</p><p>verordnet:</p></preamble><body><section eId="sec_1"><num>1. Abschnitt: </num><heading>Zertifizierungsstellen</heading><article eId="art_1"><num><b>Art. 1</b></num><heading>Anforderungen</heading><paragraph eId="art_1/para_1"><num>1</num><content><p> Stellen, die Datenschutzzertifizierungen nach Artikel 13 DSG durchführen (Zertifizierungsstellen), müssen akkreditiert sein. Die Akkreditierung richtet sich nach der Akkreditierungs- und Bezeichnungsverordnung vom 17. Juni 1996<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1996/1904_1904_1904" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>946.512</b></ref></p></authorialNote> (AkkBV), soweit die vorliegende Verordnung keine abweichenden Vorschriften enthält.</p></content></paragraph><paragraph eId="art_1/para_2"><num>2</num><content><blockList><listIntroduction eId="art_1/para_2/listintro"> Je eine separate Akkreditierung ist erforderlich für die Zertifizierung:</listIntroduction><item eId="art_1/para_2/lbl_a"><num>a. </num><p>der Organisation und der Verfahren (Managementsysteme) im Zusammenhang mit Datenbearbeitungen;</p></item><item eId="art_1/para_2/lbl_b"><num>b. </num><p>von Produkten, namentlich Datenbearbeitungssystemen oder -programmen und Hardware, sowie von Dienstleistungen und Prozessen im Zusammenhang mit Datenbearbeitungen.</p></item></blockList></content></paragraph><paragraph eId="art_1/para_3"><num>3</num><content><p> Die Zertifizierungsstellen müssen über eine festgelegte Organisation sowie ein festgelegtes Zertifizierungsverfahren (Zertifizierungsprogramm) verfügen. </p></content></paragraph><paragraph eId="art_1/para_4"><num>4</num><content><p> Die Mindestanforderungen an die Qualifikation des Personals, das Zertifizierungen durchführt, richten sich nach dem Anhang. Die Zertifizierungsstellen müssen nachweisen, dass sie über entsprechend diesen Kriterien qualifiziertes Personal verfügen.</p></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Akkreditierungsverfahren</heading><paragraph eId="art_2/para"><content><p>Die Schweizerische Akkreditierungsstelle (SAS) zieht für das Akkreditierungsverfahren und die Nachkontrolle sowie für die Sistierung oder den Entzug einer Akkreditierung den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) bei.</p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Ausländische Zertifizierungsstellen</heading><paragraph eId="art_3/para_1"><num>1</num><content><p> Ausländische Zertifizierungsstellen, die auf schweizerischem Territorium tätig sein wollen, müssen nachweisen, dass sie über eine gleichwertige Qualifikation verfügen und die Anforderungen nach Artikel 1 Absätze 3 und 4 erfüllen sowie dass ihnen die schweizerische Datenschutzgesetzgebung hinreichend bekannt ist.</p></content></paragraph><paragraph eId="art_3/para_2"><num>2</num><content><p> Der EDÖB anerkennt eine ausländische Zertifizierungsstelle nach Rücksprache mit der SAS.</p></content></paragraph><paragraph eId="art_3/para_3"><num>3</num><content><p> Er kann die Anerkennung befristen und mit Auflagen verbinden. </p></content></paragraph><paragraph eId="art_3/para_4"><num>4</num><content><p> Er entzieht die Anerkennung, wenn die Bedingungen und Auflagen nicht mehr erfüllt sind.</p></content></paragraph></article></section><section eId="sec_2"><num>2. Abschnitt: </num><heading>Gegenstand und Verfahren</heading><article eId="art_4"><num><b>Art. 4</b></num><heading>Gegenstand der Zertifizierung </heading><paragraph eId="art_4/para_1"><num>1</num><content><blockList><listIntroduction eId="art_4/para_1/listintro"> Zertifizierbar sind:</listIntroduction><item eId="art_4/para_1/lbl_a"><num>a. </num><p>Managementsysteme;</p></item><item eId="art_4/para_1/lbl_b"><num>b. </num><p>Produkte, Dienstleistungen und Prozesse.</p></item></blockList></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Die Zertifizierung von Managementsystemen kann die Gesamtheit des Systems, einzelne Teile der Organisation oder einzelne, abgrenzbare Verfahren umfassen.</p></content></paragraph><paragraph eId="art_4/para_3"><num>3</num><content><blockList><listIntroduction eId="art_4/para_3/listintro"> Die Zertifizierung von Produkten, Dienstleistungen und Prozessen kann Folgendes umfassen:</listIntroduction><item eId="art_4/para_3/lbl_a"><num>a. </num><p>Produkte, die hauptsächlich der Bearbeitung von Personendaten dienen oder bei deren Benutzung Personendaten erzeugt werden;</p></item><item eId="art_4/para_3/lbl_b"><num>b. </num><p>Dienstleistungen oder Prozesse, die hauptsächlich der Bearbeitung von Personendaten dienen oder die Personendaten erzeugen. </p></item></blockList></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Anforderungen an das Zertifizierungsprogramm</heading><paragraph eId="art_5/para_1"><num>1</num><content><blockList><listIntroduction eId="art_5/para_1/listintro"> Im Zertifizierungsprogramm müssen mindestens geregelt sein:</listIntroduction><item eId="art_5/para_1/lbl_a"><num>a. </num><p>die Prüfkriterien und die sich daraus ergebenden Anforderungen an die zu zertifizierenden Gegenstände; </p></item><item eId="art_5/para_1/lbl_b"><num>b. </num><p>der Ablauf des Verfahrens, insbesondere das Vorgehen, wenn Unregelmässigkeiten festgestellt werden.</p></item></blockList></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><blockList><listIntroduction eId="art_5/para_2/listintro"> Bei der Festlegung des Zertifizierungsprogramms muss Folgendes berücksichtigt werden:</listIntroduction><item eId="art_5/para_2/lbl_a"><num>a. </num><p>die zu bearbeitenden Personendaten;</p></item><item eId="art_5/para_2/lbl_b"><num>b. </num><p>die für die Bearbeitung der Personendaten verwendete elektronische Infrastruktur;</p></item><item eId="art_5/para_2/lbl_c"><num>c. </num><p>die organisatorischen Massnahmen im Zusammenhang mit der Bearbeitung von Personendaten.</p></item></blockList></content></paragraph><paragraph eId="art_5/para_3"><num>3</num><content><p> Die Prüfkriterien müssen mit allen Grundsätzen nach Artikel 6 DSG übereinstimmen.</p></content></paragraph><paragraph eId="art_5/para_4"><num>4</num><content><p> Das Zertifizierungsprogramm muss den gemäss Anhang 2 AkkBV<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1996/1904_1904_1904" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>946.512</b></ref></p></authorialNote> anwendbaren Normen sowie weiteren anwendbaren technischen Normen entsprechen.</p></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Anforderungen an die Zertifizierung von Managementsystemen</heading><paragraph eId="art_6/para_1"><num>1</num><content><blockList><listIntroduction eId="art_6/para_1/listintro"> Gegenstand der Prüfung von Managementsystemen sind insbesondere:</listIntroduction><item eId="art_6/para_1/lbl_a"><num>a.  </num><p>die Datenschutzpolitik;</p></item><item eId="art_6/para_1/lbl_b"><num>b. </num><p>die Dokumentation von Zielen, Risiken und Massnahmen zur Gewährleistung des Datenschutzes und der Datensicherheit;</p></item><item eId="art_6/para_1/lbl_c"><num>c. </num><p>die organisatorischen und technischen Vorkehrungen zur Umsetzung der festgelegten Ziele und Massnahmen, insbesondere zur Behebung von Mängeln.</p></item></blockList></content></paragraph><paragraph eId="art_6/para_2"><num>2</num><content><blockList><listIntroduction eId="art_6/para_2/listintro"> Der EDÖB erlässt Richtlinien über die Mindestanforderungen an das Managementsystem. Er berücksichtigt dabei die internationalen Anforderungen an die Errichtung, den Betrieb, die Überwachung und die Verbesserung solcher Managementsysteme und insbesondere die folgenden technischen Normen<authorialNote><p>  Die aufgeführten Normen können kostenlos eingesehen und gegen Bezahlung bezogen werden bei der Schweizerischen Normen-Vereinigung (SNV), Sulzerallee 70, 8404 Winterthur; www.snv.ch. </p></authorialNote>:</listIntroduction><item eId="art_6/para_2/lbl_a"><num>a. </num><p>SN EN ISO 9001, Qualitätsmanagementsysteme, Anforderungen;</p></item><item eId="art_6/para_2/lbl_b"><num>b. </num><p>SN EN ISO/IEC 27001, Informationstechnik, IT-Sicherheitsverfahren, Informationssicherheits-Managementsysteme, Anforderungen;</p></item><item eId="art_6/para_2/lbl_c"><num>c. </num><p>SN EN ISO/IEC 27701, IT-Sicherheitsverfahren, Erweiterung zu ISO/IEC 27001 und ISO/IEC 27002 für das Management von Informationen zum Schutz der Privatsphäre, Anforderungen und Richtlinien. </p></item></blockList></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Anforderungen an die Zertifizierung von Produkten, Dienstleistungen und Prozessen</heading><paragraph eId="art_7/para_1"><num>1</num><content><blockList><listIntroduction eId="art_7/para_1/listintro"> Gegenstand der Prüfung von Produkten, Dienstleistungen und Prozessen ist insbesondere die Gewährleistung:</listIntroduction><item eId="art_7/para_1/lbl_a"><num>a. </num><p>der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der bearbeiteten Personendaten;</p></item><item eId="art_7/para_1/lbl_b"><num>b. </num><p>der Vermeidung der Bearbeitung von Personendaten, die im Hinblick auf den Verwendungszweck des Produkts, der Dienstleistung oder des Prozesses nicht erforderlich sind;</p></item><item eId="art_7/para_1/lbl_c"><num>c. </num><p>der Transparenz der Bearbeitung von Personendaten; </p></item><item eId="art_7/para_1/lbl_d"><num>d. </num><p>von technischen Massnahmen zur Unterstützung der Anwenderin oder des Anwenders bei der Einhaltung weiterer Datenschutzgrundsätze und datenschutzrechtlicher Pflichten, insbesondere der Rechte der betroffenen Personen.</p></item></blockList></content></paragraph><paragraph eId="art_7/para_2"><num>2</num><content><p> Der EDÖB erlässt Richtlinien darüber, nach welchen weiteren datenschutzrechtlichen Kriterien die Prüfung erfolgen muss.</p></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Erteilung und Gültigkeit der Datenschutzzertifizierung</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> Die Zertifizierungsstelle zertifiziert das Managementsystem, das Produkt, die Dienstleistung oder den Prozess, wenn die datenschutzrechtlichen Anforderungen und die Voraussetzungen nach dieser Verordnung, nach den vom EDÖB erlassenen Richtlinien oder nach anderen gleichwertigen Normen erfüllt sind. Die Zertifizierung kann mit Auflagen verbunden werden.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> Die Zertifizierung ist drei Jahre gültig. Die Zertifizierungsstelle muss jährlich prüfen, ob die Voraussetzungen weiterhin erfüllt sind.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Anerkennung ausländischer Datenschutzzertifizierungen</heading><paragraph eId="art_9/para"><content><p>Der EDÖB anerkennt nach Rücksprache mit der SAS ausländische Zertifizierungen, wenn gewährleistet ist, dass die Anforderungen der schweizerischen Gesetzgebung erfüllt sind.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Ausnahme von der Pflicht zur Erstellung einer Datenschutz-Folgenabschätzung </heading><paragraph eId="art_10/para"><content><p>Der private Verantwortliche kann von der Erstellung einer Datenschutz-Folgenabschätzung gemäss Artikel 22 Absatz 5 DSG nur absehen, wenn die Zertifizierung die Bearbeitung, die im Rahmen der Datenschutz-Folgenabschätzung zu prüfen wäre, einschliesst.</p></content></paragraph></article></section><section eId="sec_3"><num>3. Abschnitt: </num><heading>Sanktionen</heading><article eId="art_11"><num><b>Art. 11</b></num><heading>Sistierung und Entzug der Zertifizierung</heading><paragraph eId="art_11/para_1"><num>1</num><content><blockList><listIntroduction eId="art_11/para_1/listintro"> Die Zertifizierungsstelle kann eine Zertifizierung sistieren oder entziehen, insbesondere wenn sie im Rahmen der Überprüfung schwere Mängel feststellt. Ein schwerer Mangel liegt insbesondere vor, wenn:</listIntroduction><item eId="art_11/para_1/lbl_a"><num>a. </num><p>wesentliche Voraussetzungen der Datenschutzzertifizierung nicht mehr erfüllt sind; oder</p></item><item eId="art_11/para_1/lbl_b"><num>b. </num><p>eine Zertifizierung irreführend oder missbräuchlich verwendet wird.</p></item></blockList></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><p> Bei Streitigkeiten über die Sistierung oder den Entzug richten sich die Beurteilung und das Verfahren nach den zivilrechtlichen Bestimmungen, die auf das Vertragsverhältnis zwischen der Zertifizierungsstelle und dem Hersteller von Datenbearbeitungssystemen oder -programmen, dem Verantwortlichen oder dem Auftragsbearbeiter, der die Zertifizierung erhalten hat, anwendbar sind. </p></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Verfahren bei Aufsichtsmassnahmen des EDÖB</heading><paragraph eId="art_12/para_1"><num>1</num><content><p> Stellt der EDÖB bei einem Hersteller von Datenbearbeitungssystemen oder -programmen, einem Verantwortlichen oder einem Auftragsbearbeiter, der über eine Zertifizierung verfügt, schwere Mängel fest, so informiert er die Zertifizierungsstelle darüber.</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p> Die Zertifizierungsstelle fordert den Hersteller von Datenbearbeitungssystemen oder -programmen, den Verantwortlichen oder den Auftragsbearbeiter unverzüglich auf, den Mangel innerhalb von 30 Tagen, nachdem sie vom EDÖB informiert wurde, zu beheben.</p></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p> Wird der Mangel nicht innerhalb von 30 Tagen behoben, so sistiert die Zertifizierungsstelle die Zertifizierung. Besteht keine Aussicht darauf, dass innerhalb eines angemessenen Zeitraums ein rechtskonformer Zustand geschaffen oder wiederhergestellt wird, so wird die Zertifizierung entzogen.</p></content></paragraph><paragraph eId="art_12/para_4"><num>4</num><content><p> Wird der Mangel nicht innerhalb der Frist nach Absatz 2 behoben und hat die Zertifizierungsstelle die Zertifizierung nicht sistiert oder entzogen, so trifft der EDÖB eine Massnahme nach Artikel 51 Absatz 1 DSG. Er kann namentlich anordnen, die Zertifizierung zu sistieren oder zu entziehen. Richtet er die Verfügung an die Zertifizierungsstelle, so informiert er die SAS darüber.</p></content></paragraph></article></section><section eId="sec_4"><num>4. Abschnitt: </num><heading>Schlussbestimmungen</heading><article eId="art_13"><num><b>Art. 13</b></num><heading>Aufhebung eines anderen Erlasses</heading><paragraph eId="art_13/para"><content><p>Die Verordnung über die Datenschutzzertifizierungen vom 28. September 2007<authorialNote><p>  [<ref href="https://fedlex.data.admin.ch/eli/oc/2007/701" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2007</b> 5003</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2010/151" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2010</b> 949</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2016/582" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2016</b> 3447</ref>]</p></authorialNote> wird aufgehoben.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Inkrafttreten</heading><paragraph eId="art_14/para"><content><p>Diese Verordnung tritt am 1. September 2023 in Kraft.</p></content></paragraph></article></section></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza del 31 agosto 2022 sulle certificazioni in materia di protezione dei dati (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="de" value="Verordnung vom 31. August 2022 über Datenschutzzertifizierungen (VDSZ)" shortForm="VDSZ"/><FRBRname xml:lang="fr" value="Ordonnance du 31 août 2022 sur les certifications en matière de protection des données (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="en" value="Ordinance of 31 August 2022 on Data Protection Certification (DPCO)" shortForm="DPCO"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/de"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/de/xml"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="heading">Anhang</block></container></preface><mainBody><p>(Art. 1 Abs. 4)</p><level eId="annex_u1/lvl_u1"><heading>Mindestanforderungen an die Qualifikation des Personals</heading><level eId="annex_u1/lvl_u1/lvl_1"><num>1</num><heading>Zertifizierung von Managementsystemen</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/listintro">Das Personal, das Managementsysteme zertifiziert, muss gesamthaft über folgende Qualifikationen verfügen:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/bull_u1"><num>– </num><p>Kenntnisse im Bereich des Datenschutzrechts: mindestens zweijährige praktische Tätigkeit im Bereich des Datenschutzes oder erfolgreich abgeschlossene, mindestens einjährige Ausbildung an einer Hochschule oder Fachhochschule mit Schwerpunkt Datenschutzrecht;</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u2"><num>– </num><p>Kenntnisse im Bereich der Informationssicherheit: mindestens zweijährige praktische Tätigkeit im Bereich der Informationssicherheit oder erfolgreich abgeschlossene, mindestens einjährige Ausbildung an einer Hochschule oder Fachhochschule mit Schwerpunkt Informationssicherheit;</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u3"><num>– </num><p>Kenntnisse der Entwicklungen im Bereich des Datenschutzrechts und im Bereich der Informationssicherheit;</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u4"><num>– </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/bull_u4/listintro">Ausbildung als Auditorin oder Auditor von Managementsystemen, die insbesondere die international massgebenden Anforderungen der folgenden Normen<authorialNote><p>  Die aufgeführten Normen können kostenlos eingesehen und gegen Bezahlung bezogen werden bei der Schweizerischen Normen-Vereinigung (SNV), Sulzerallee 70, 8404 Winterthur; www.snv.ch.</p></authorialNote> erfüllt:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/bull_u4/bull_u1"><num>– </num><p>SN EN ISO/IEC 17021-1, Konformitätsbewertung, Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren, Teil 1: Anforderungen,</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u4/bull_u2"><num>– </num><p>SN EN ISO/IEC 17021-3, Konformitätsbewertung, Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren, Teil 3: Anforderungen an die Kompetenz für die Auditierung und Zertifizierung von Qualitätsmanagementsystemen, und</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u4/bull_u3"><num>– </num><p>SN EN ISO/IEC 27006, Informationstechnik, IT-Sicherheitsverfahren, Anforderungen an Institutionen, die Audits und Zertifizierung von Informationssicherheits-Managementsystemen anbieten.</p></item></blockList></item></blockList><p>Die Zertifizierungsstelle muss für die einzelnen Bereiche über qualifiziertes Personal verfügen. Die Prüfung der Managementsysteme durch ein interdisziplinäres Team ist zulässig.</p></content></level><level eId="annex_u1/lvl_u1/lvl_2"><num>2</num><heading>Zertifizierung von Produkten, Dienstleistungen und Prozessen</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/listintro">Das Personal, das Produkte, Dienstleistungen oder Prozesse zertifiziert, muss gesamthaft über folgende Qualifikationen verfügen:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/bull_u1"><num>– </num><p>Kenntnisse im Bereich des Datenschutzrechts: mindestens zweijährige praktische Tätigkeit im Bereich des Datenschutzes oder erfolgreich abgeschlossene, mindestens einjährige Ausbildung an einer Hochschule oder Fachhochschule mit Schwerpunkt Datenschutzrecht;</p></item><item eId="annex_u1/lvl_u1/lvl_2/bull_u2"><num>– </num><p>Kenntnisse im Bereich der Informationssicherheit: mindestens zweijährige praktische Tätigkeit im Bereich der Informationssicherheit oder erfolgreich abgeschlossene, mindestens einjährige Ausbildung an einer Hochschule oder Fachhochschule mit Schwerpunkt Informationssicherheit;</p></item><item eId="annex_u1/lvl_u1/lvl_2/bull_u3"><num>– </num><p>Kenntnisse der Entwicklungen im Bereich des Datenschutzrechts und im Bereich der Informationssicherheit;</p></item><item eId="annex_u1/lvl_u1/lvl_2/bull_u4"><num>– </num><p>Fachkenntnisse bezüglich der Zertifizierung von Produkten, Dienstleistungen oder Prozessen, welche die Anforderungen des Zertifizierungsprogramms und der Richtlinien des EDÖB sowie die international massgebenden Anforderungen, insbesondere nach den technisch anwendbaren Normen und der Norm «SN EN ISO/IEC 17065<authorialNote><p>  Die aufgeführte Norm kann kostenlos eingesehen und gegen Bezahlung bezogen werden bei der Schweizerischen Normen-Vereinigung (SNV), Sulzerallee 70, 8404 Winterthur; www.snv.ch.</p></authorialNote>, Konformitätsbewertung, Anforderungen an Stellen, die Produkte, Prozesse und Dienstleistungen zertifizieren», erfüllen.</p></item></blockList><p>Die Zertifizierungsstelle muss für die einzelnen Bereiche über qualifiziertes Personal verfügen. Die Prüfung von Produkten, Dienstleistungen und Prozessen durch ein interdisziplinäres Team ist zulässig.</p></content></level></level></mainBody></doc></component></components></act></akomaNtoso>