Der zweite Abschnitt der ISO 21964, der ebenfalls im Oktober 2012 veröffentlicht wurde, erläutert anhand der Definitionen des ersten Teils spezifische technische Anforderungen an Maschinen, die zur Vernichtung von Datenschutzmaterial eingesetzt werden. In diesem Zusammenhang wird auf die zulässigen Prüfmethoden gemäß DIN 19054 und DIN EN ISO 216 verwiesen. Diese Vorgaben ermöglichen eine ordnungsgemäße Auditierung und Zertifizierung der verwendeten Technik.

Es ist grundlegend erforderlich, dass die eingesetzten Maschinen die für die jeweilige Art des Datenschutzmaterials erforderliche Vernichtungsqualität aufweisen, um die notwendige Partikelgröße zu erreichen. Auf der mechanischen Ebene erfolgt die Festlegung der Sicherheitsstufe durch den Einsatz unterschiedlicher Siebeinsätze, die die Größe der während des Zerteilungsvorgangs entstehenden Partikel beeinflussen. Für die genannten Sicherheitsstufen sind jeweils eine Normgröße und eine Toleranzgröße definiert. Dabei darf der Anteil an vernichteten Partikeln, deren Größe die Normgröße überschreitet und höchstens die Toleranzgröße erreicht, 10 Prozent der Gesamtmenge der vernichteten Materialien nicht übersteigen.

Dieser Abschnitt der Norm fasst den Anwendungsbereich der eigentlichen Norm zusammen, die normativen Anforderungen der ersten beiden Abschnitte sowie drei exemplarische Prozessabläufe für verschiedene Varianten der datenschutzkonformen Vernichtung. Zusätzlich werden technische und organisatorische Maßnahmen zur Sicherstellung des Prozesses sowie Leitlinien für die Planung und Durchführung von Audits aufgeführt.

Der dritte Teil der ISO 21964 (DIN 66399) bildet somit einen bedeutenden, möglicherweise sogar den entscheidenden Teil der Norm. Durch die konkrete Umsetzung der beschriebenen Prozesse werden die technischen und organisatorischen Anforderungen effektiv in die Praxis überführt.

Informationen, die für größere Gruppen bestimmt sind,  wie Arbeitspläne, Telefonlisten und allgemeine E-Mails.      

Informationen, die nur einem kleinen Personenkreis bekannt sind wie Mitarbeiter-, Kunden-, Lieferantendaten, einfache Geburtstagslisten, normale Unterlagen aus Forschungs- und Entwicklungsarbeit.

Informationen, die ienem namentlich bekannten Kreis von Personen verfügbar sind wie finanzielle Ergebnisse, Preis-, Marketingstrategien, Informationen zu Pension, Rente, Arbeitsverträge, Lebensläufe oder hochsensible Unterlagen aus Forschungs- Entwicklungsarbeit. 

Die Datenwiederherstellung erfordert keine besonderen Kenntnisse ist jedoch nur mit erheblichem Zeit- und Arbeitsaufwand möglich. 

Geeignet für allgemeine Daten.

Zur Datenwiederherstellung werden besondere Fachkentnisse sowie erheblicher Zeit- und Arbeitsaufwand benötigt.

Geeignet für interne Daten.

Die Datenwiederherstellung erfordert spezielle Fachkentnisse sowie besondere Hilfsmittel. Hinzu kommt auch ein erheblicher Zeit- und Arbeitsaufwand.

Geeignet für vertrauliche Daten.

Die Datenwiederherstellung erfordert den Einsatz außergewöhnlicher Hilfsmittel sowie einen außergewöhnlichen Arbeits- und Zeitaufwand.

Geeignet für besonders sensible Daten.

Die Datenwiederherstellung erfordert „gewerbeunübliche Einrichtungen“ wie z. B. speziell zur Datenwiederherstellung konsturierte Geräte.

Geeignet für geheime Daten.

Dei Datenwiederherstellung ist nach dem heutigen Stand der Technik niicht möglich.

Geeignet für geheime Daten mit außergewöhnlich hohem Schutzbedarf.                                                                                  

Die Datenwiederherstellung ist nach dem heutigen Stand der Technik und Wissenschaft nicht möglich.

Geeignet für streng geheime Daten.                                                                                                                                                                               

Beachten Sie, dass personenbezogene Daten stets mindestens auf der Sicherheitsstufe 3 vernichtet werden müssen, somit ist die Schutzklasse 2 die Mindeste anforderung für die Vernichtung personenbezogener Daten.

Durch verschiedene Maßnahmen können die im eigentlichen mechanischen Vorgang erzielten Sicherheitsstufen erhöht werden. Voraussetzungen hierfür sind:

• generelle Zulässigkeit
• die Zustimmung des Auftraggebers
• eine Mindestmaterialmenge von 100 Kilogramm

Die Erhöhung umfasst die Vermischung und Verpressung des vernichteten Materials für Datenträger der Kategorie P* und F**; dieses Vorgehen ermöglicht die einmalige Anhebung auf die nächsthöhere Sicherheitsstufe bis zur maximal zulässigen Stufe 4. Somit würde die Sicherheitsstufe P-4 z. B. dadurch erreicht werden, dass die Informationsträger in der Sicherheitsstufe P-3 zerkleinert und die Partikel anschließend vermischt und verpresst werden.
Die Vernichtung der Datenträger durch den Verantwortlichen ist der Vernichtung durch externe Dienstleister vorzuziehen.