Wombat

WAF-SOV-120 – Auftragsverarbeitungsvereinbarungen (AVV/DPA) müssen für jeden Subprozessor dokumentiert vorliegen

Säule: Sovereign | Schweregrad: 🟠 Hoch | Kategorie: Data Governance | Automatisierbar: Low

Beschreibung

A current data processing agreement (DPA) or order processing agreement (AVV) MUST exist for each sub-processor handling personal or regulated data. Sub-processor lists MUST be maintained and reviewed at least annually. DPA terms MUST cover data location, security measures, breach notification, deletion, and audit rights. Changes to sub-processors MUST follow a documented approval workflow.

Begründung

Risiko Beschreibung

Risk

Missing DPAs violate GDPR Article 28 and similar processor accountability requirements.

Risk

Undocumented sub-processors increase supply-chain risk and prevent effective exit management.

Anforderungen

  • A current data processing agreement (DPA) or order processing agreement (AVV) MUST exist for each sub-processor handling personal or regulated data.

  • Sub-processor lists MUST be maintained and reviewed at least annually.

  • DPA terms MUST cover data location, security measures, breach notification, deletion, and audit rights.

  • Changes to sub-processors MUST follow a documented approval workflow.

Implementierungsleitfaden

  1. Document the requirement in a version-controlled policy, ADR, or standard.

  2. Assign ownership and establish a review cadence (e.g., quarterly).

  3. Implement the required configuration as code in Terraform or equivalent IaC.

Reifegrade

Level Name Kriterien

L1

Ad hoc – control not consistently applied

* Die Anforderung ist nicht einheitlich umgesetzt; Nachweis existiert nur punktuell oder fehlt.

L2

Standardised – policy defined and communicated

* Eine dokumentierte Policy oder ein Standard beschreibt die Anforderung.

L3

Integrated – automated validation in CI/CD

* Terraform-Checks oder IaC-Gates prüfen die Anforderung automatisch in CI/CD.

L4

Auditable – metrics and exceptions tracked

* Abdeckung, Ausnahmen und Qualitätsmetriken werden quartalsweise berichtet.

L5

Optimised – continuous improvement based on data

* Die Effektivität wird kontinuierlich gemessen und automatisch optimiert.

Checks

waf-sov-120.config.dpa-register

Engine: config | Provider: any | Automated: Nein

DPA-Register muss alle Subprozessoren auflisten

DPA-Register muss alle Subprozessoren auflisten

Scope: file — docs/governance/dpa-register.md

Assertions: * exists attribute_exists — DPA/AVV register must list each sub-processor and agreement status.

Remediation: DPA-Register muss alle Subprozessoren auflisten

Compliant
# Beispiel konform zu waf-sov-120.config.dpa-register
Non-Compliant
# Beispiel nicht konform zu waf-sov-120.config.dpa-register

Evidenz

  • Terraform-Konfiguration, die die Anforderung umsetzt.

  • Policy, ADR oder Standard, der die Anforderung dokumentiert.

  • Optionale Cloud-Konsolen- oder API-Ausgaben, die den Laufzeit-Zustand bestätigen.

Verwandte Controls