Informationen zur neuen DIN-Norm 66399 für die Vernichtung von Datenträgern

Was ist neu an der DIN 66399?

Die neue DIN 66399 ersetzt die bisherige DIN 32757. Wesentliche Neuerungen sind:

Drei Schutzklassen

Die Ermittlung des Schutzbedarfs und die Zuordnung der Schutzklasse sowie der Sicherheitsstufen dient der Klassifizierung der anfallenden Daten.

Sechs Materialklassifizierungen

Erstmals definiert die Norm unterschiedliche Materialklassifizierungen, die auch die Größe der Informationsdarstellung auf den Datenträgern berücksichtigt (Papierdokumente, optische, magnetische oder elektronische Datenträger und Festplatten).

Sieben Sicherheitsstufen

Statt bisher fünf Sicherheitsstufen definiert die neue DIN 66399 jetzt sieben Sicherheitsstufen. Ein wesentlicher Unterschied ist die neue Stufe P-4 mit einer Teilchenfläche von max. 160 mm², die bisherige Stufe 4 wird zur Stufe P-5, aus Stufe 5 wird P-6 und der bisher nicht in der Norm berücksichtigte "Level 6" wird zur Stufe P-7.

Wichtige Hinweise der neuen DIN 66399:

• Ist die Möglichkeit gegeben, die Datenträger jederzeit direkt vor Ort durch den jeweils Verantwortlichen der Daten zu vernichten, so erhöht dies wesentlich die Sicherheit und ist anderen Verfahren vorzuziehen.
• Fallen Daten unterschiedlicher Sicherheitsstufen an der Anfallstelle an, wird eine Trennung in die verschiedenen Sicherheitsstufen empfohlen. Ist dies nicht möglich, so muss eine Vernichtung grundsätzlich und einheitlich gemäß der höheren Sicherheitsstufe erfolgen,um das Risiko einer unzureichenden Vernichtung zu minimieren.

• Ermittlung des Schutzbedarfs und Zuordnung zu den Schutzklassen

Um bei der Datenträgervernichtung dem Wirtschaftlichkeitsprinzip bzw. Angemessenheitsprinzip Rechnung zu tragen, ist es notwendig, die Daten in Schutzklassen einzuteilen. Dabei ist der Grad der Schutzbedürftigkeit ausschlaggebend für die Wahl der Sicherheitsstufe in Bezug auf die Vernichtung der Datenträger.

Schutzklasse 1:

Normaler Schutzbedarf für interne Daten. Diese Informationen sind für größere Gruppen bestimmt und zugänglich. Unberechtigte Offenlegung hätte begrenzte negative Auswirkungen auf das Unternehmen. Der Schutz personenbezogener Daten muss gewährleistet sein. Beispiele: Nicht Knowhow-relevante Korrespondenz, personalisierte Werbung, Kataloge, Wurfsendungen, Notizen ...

Schutzklasse 2:

Hoher Schutzbedarf für vertrauliche Daten, die auf einen kleinen Personenkreis beschränkt sind. Die ungerechtfertigte Weitergabe hätte erhebliche Auswirkungen auf Unternehmen und könnte gegen vertragliche Verpflichtungen oder Gesetze verstoßen. Der Schutz personenbezogener Daten muss hohen Anforderungen genügen. Beispiele: Knowhow-relevante Korrespondenz wie Angebote, Anfragen, Memos, Aushänge, Personaldaten...

Schutzklasse 3:

Sehr hoher Schutzbedarf für besonders vertrauliche und geheime Daten mit Beschränkung auf einen kleinen, namentlich bekannten Kreis von Zugriffsberechtigten. Eine unberechtigte Weitergabe hätte ernsthafte, existenzbedrohende Auswirkungen für Unternehmen und würde gegen Berufsgeheimnisse, Verträge und Gesetzeverstoßen. Der Schutz personenbezogener Daten muss uneingeschränkt gewährleistet sein. Beispiele: Unterlagen der Geschäftsleitung, F&E-Dokumente, Finanzdaten, Verschluss-Sachen ...

Die Zuordnung der drei Schutzklassen zu den Sicherheitsstufen kann mit folgender Tabelle vorgenommen werden:

 

	Sicher-heitsstufe 1	Sicher-heitsstufe 2	Sicher-heitsstufe 3	Sicher-heitsstufe 4	Sicher-heitsstufe 5	Sicher-heitsstufe 6	Sicher-heitsstufe 7
Schutzklasse 1	•1	•	•	•2	•2	•2	•2
Schutzklasse 2			•	•	•	•2	•2
Schutzklasse 3				•	•	•	•

¹Für personenbezogene Daten ist diese Kombination nicht anwendbar.
²Eine höhere Sicherheitsstufe deckt die Schutzklasse besser ab.

Sicherheitsstufen der DIN 66399 für Informationsdarstellung in Originalgrösse, z.B. Papierdokumente.

P-1

Empfohlen z.B. für Datenträger mit allgemeinen Daten, die unlesbar gemacht werden sollen.

Materialteilchenfläche ≤ 2000 mm² oder Streifenbreite ≤ 12 mm Streifenlänge nicht begrenzt.

P-2

Empfohlen z.B. für Datenträger mit internen Daten, die unlesbar gemacht werden sollen

Materialteilchenfläche ≤ 800 mm² oder Streifenbreite ≤ 6 mm Streifenlänge nicht begrenzt.

P-3

Empfohlen z.B. für Datenträger mit sensiblen und vertraulichen Daten.

Materialteilchenfläche ≤ 320 mm² oder Streifenbreite ≤ 2 mm Streifenlänge nicht begrenzt (z.B. auch Partikel 4 x 80 mm).

P-4

Empfohlen z.B. für Datenträger mit besonders sensiblen und vertraulichen Daten.

Materialteilchenfläche ≤ 160 mm² und für regelmäßige Partikel: Streifenbreite ≤ 6 mm Streifenlänge nicht begrenzt (z.B. Partikel 4 x 40 mm).

P-5

Empfohlen z.B. für Datenträger mit geheim zu haltenden Daten.

Materialteilchenfläche ≤ 30 mm² und für regelmäßige Partikel: Streifenbreite ≤ 2 mm Streifenlänge nicht begrenzt (z.B. Partikel 2 x 15 mm).

P-6

Empfohlen z.B. für Datenträger mit geheim zu haltenden Daten, wenn außergewöhnlich hohe Sicherheitsvorkehrungen einzuhalten sind.

Materialteilchenfläche ≤ 10 mm² und für regelmäßige Partikel: Streifenbreite ≤ 1 mm Streifenlänge nicht begrenzt (z.B. Partikel 0,8 x 12 mm).

P-7

Empfohlen z.B. für Datenträger mit streng geheim zu haltenden Daten, wenn höchste Sicherheitsvorkehrungen einzuhalten sind.

Materialteilchenfläche ≤ 5 mm² und für regelmäßige Partikel: Streifenbreite ≤ 1 mm Streifenlänge nicht begrenzt (z.B. Partikel 0,8 x 5 mm).