ISO/IEC 27701:2025 – Система за управление на информацията за неприкосновеността

ISO/IEC 27701:2025 – Система за управление на информацията за неприкосновеността

ISO/IEC 27701:2025 е международен стандарт за създаване, внедряване, поддържане и непрекъснато подобряване на Privacy Information Management System – PIMS.

Стандартът предоставя управленска рамка за защита на личната информация и за систематично управление на рисковете, отговорностите и процесите, свързани с обработването на Personally Identifiable Information (PII).

ISO/IEC 27701:2025 е приложим както за организации, които определят целите и средствата за обработване на лични данни – PII controllers, така и за организации, които обработват лична информация от името на други – PII processors. Той може да бъде използван от организации от всеки размер и сектор.

Strategy предоставя цялостно съдействие за внедряване на ISO/IEC 27701:2025 – от първоначален GAP анализ и определяне на PIMS обхвата до privacy risk assessment, разработване на документацията, внедряване на контролите, вътрешен одит и подготовка за сертификация.

Какво представлява ISO/IEC 27701:2025?

Защитата на личните данни често се разглежда основно като юридически въпрос – политики за поверителност, съгласия, договорни клаузи или задължения по GDPR.

На практика ефективната защита на личната информация изисква много повече.

Организацията трябва да знае какви лични данни обработва, защо ги обработва, къде се съхраняват, кой има достъп до тях, на кого се предоставят, колко време се запазват и как се управляват рисковете през целия жизнен цикъл на информацията.

ISO/IEC 27701 превръща тези въпроси в систематичен управленски процес.

• PIMS обединява privacy governance, управление на риска, роли и отговорности, operational controls, управление на доставчици, комуникация, monitoring, вътрешен одит и непрекъснато подобрение в една обща рамка.

Основната промяна в ISO/IEC 27701:2025

Най-значимата промяна спрямо изданието от 2019 г. е, че ISO/IEC 27701 вече е самостоятелен Management System Standard.

ISO/IEC 27701:2019 беше разработен като разширение към ISO/IEC 27001 и ISO/IEC 27002. Това означаваше, че PIMS се изграждаше в контекста на вече съществуваща ISMS.

При ISO/IEC 27701:2025 организацията може да внедри и сертифицира своята PIMS независимо от ISO/IEC 27001. Същевременно двата стандарта остават много подходящи за интегриране.

• Това значително разширява приложимостта на стандарта – например за HR организации, healthcare providers, marketing компании, публични администрации или други организации, при които privacy management е основният приоритет.

За кои организации е подходящ ISO 27701

Практически всяка организация обработва лична информация – данни за служители, клиенти, кандидати за работа, доставчици, потребители или други физически лица.

ISO/IEC 27701 е особено подходящ за организации, които обработват значителен обем или чувствителни лични данни, предоставят услуги на международни клиенти или трябва да докажат зрелостта на своите privacy процеси.

Това включва например IT и SaaS компании, cloud providers, outsourcing организации, финансови институции, здравни организации, HR и recruitment компании, телекомуникационни предприятия, e-commerce компании и публични институции.

Стандартът е подходящ и за организации, които вече имат ISO/IEC 27001 и искат да разширят своята система с по-детайлно управление на privacy и PII.

Какви са ползите от ISO/IEC 27701?

Добре внедрената PIMS позволява privacy управлението да бъде част от ежедневната работа на организацията, а не само набор от правни документи.

Системата може да подпомогне организацията при:

• идентифициране и управление на privacy risks;
• ясно определяне на роли и отговорности;
• управление на PII през целия жизнен цикъл;
• контрол върху достъпа и предоставянето на лични данни;
• управление на processors, sub-processors и други трети страни;
• демонстриране на accountability;
• по-добра подготовка за клиентски и регулаторни проверки;
• изграждане на доверие сред клиенти, партньори и потребители.

ISO посочва като основни ползи укрепването на privacy protection, доказуемата accountability, подпомагането на съответствието с privacy regulations и интеграцията с ISO/IEC 27001.

Какво управлява една PIMS?

PIMS не се свежда до Privacy Policy.

Организацията трябва да разбира как личната информация се движи през нейните процеси – от първоначалното събиране до изтриването или анонимизирането.

Това означава да бъдат управлявани въпроси като целите на обработването, categories of PII, законовите и договорните основания, достъпът, съхранението, трансферите към трети страни, retention periods и сигурното унищожаване.

Особено значение има и разграничението между ролята на организацията като PII controller и като PII processor, тъй като отговорностите и необходимите контроли могат да бъдат различни

Privacy Risk Assessment

Управлението на риска е основен елемент на ISO/IEC 27701.

Организацията трябва да разглежда не само риска за самата компания, но и възможните последствия за физическите лица, чиито данни се обработват.

Например неправомерният достъп до определена информация може да представлява IT security risk за организацията, но едновременно с това да има сериозни последствия за засегнатото лице.

Затова privacy risk assessment трябва да разглежда контекста, характера на данните, целта на обработването, участващите страни и потенциалните въздействия.

PII Controllers и PII Processors

ISO/IEC 27701 прави важно разграничение между организацията като controller и processor.

PII Controller определя защо и по какъв начин се обработва личната информация.

PII Processor обработва PII от името на controller и в рамките на определените инструкции и отношения.

Една организация може да изпълнява и двете роли в различни процеси.

Например SaaS компания може да бъде controller за данните на собствените си служители, но processor по отношение на личните данни, които клиентите обработват чрез нейната платформа.

Новото издание структурира контролите така, че ясно да се разграничават изискванията и мерките за controllers, processors и общите privacy controls. BSI посочва 34 controller controls, 21 processor controls и 31 shared controls в Annex A, допълнени от насоки за прилагането им в Annex B.

ISO 27701 и GDPR

ISO/IEC 27701 може да бъде много полезна рамка за организациите, които трябва да управляват задължения по GDPR.

Стандартът въвежда структурирани процеси за accountability, управление на риска, роли, обработване на PII, управление на трети страни и доказване на изпълнението.

ISO изрично посочва, че стандартът подпомага организациите при демонстриране на съответствие с международни privacy regulations, включително GDPR.

Сертификацията по ISO/IEC 27701 не означава автоматично или пълно съответствие с GDPR.

GDPR е нормативен акт и конкретните законови задължения трябва да бъдат анализирани самостоятелно.

Интересното при изданието от 2025 г. е, че стандартът включва и отделно съпоставяне с GDPR в Annex D, което значително улеснява работата по mapping между PIMS и регулаторните изисквания.

ISO 27701 и ISO 27001

Въпреки че ISO/IEC 27701:2025 вече може да бъде внедряван самостоятелно, комбинацията с ISO/IEC 27001 остава особено силна.

ISO/IEC 27001 управлява информационната сигурност и рисковете за confidentiality, integrity и availability.

ISO/IEC 27701 добавя по-детайлен слой за privacy governance и защита на PII.

Организация, която вече има внедрена ISMS, може да използва значителна част от съществуващите процеси – risk management, access control, supplier management, incident management, competence, internal audit и Management Review – и да ги разшири с privacy-specific requirements.

Това позволява да бъде изградена интегрирана ISMS + PIMS, вместо две паралелни системи.

Как Strategy внедрява ISO/IEC 27701:2025?

При внедряването започваме с това как организацията реално обработва лична информация.

Първата стъпка е GAP анализ на съществуващите privacy и security практики. След това определяме PIMS обхвата и ролите на организацията като PII controller и/или processor.

Следва идентифициране на категориите PII, процесите по обработване, трети страни и приложимите правни, договорни и клиентски изисквания.

В зависимост от организацията проектът може да включва:

• ISO 27701 GAP Analysis;
• PIMS Scope;
• Privacy Governance;
• PII Inventory и mapping на обработванията;
• Privacy Risk Assessment;
• роли на controller и processor;
• privacy policies и процедури;
• управление на PII lifecycle;
• third-party и processor management;
• retention и deletion;
• incident и breach management;
• обучение и awareness;
• вътрешен одит;
• Management Review;
• preparation for certification.

При вече внедрен ISO/IEC 27001 интегрираме PIMS максимално със съществуващата ISMS, така че да се избегне ненужно дублиране на процеси и документация.

Преход от ISO/IEC 27701:2019 към ISO/IEC 27701:2025

За организациите, които вече използват или са сертифицирани по ISO/IEC 27701:2019, преходът трябва да започне с Transition GAP Analysis.

Не е необходимо PIMS да бъде разработвана отначало. Голяма част от съществуващите privacy controls, risk management и governance процеси могат да бъдат запазени.

Основният анализ трябва да се съсредоточи върху новата standalone структура, Clauses 4–10, променената организация на контролите, разделението между controller/processor/shared controls и връзките с ISO/IEC 27001:2022.

Самият стандарт включва Annex F, който показва съответствието с ISO/IEC 27701:2019 и подпомага migration process.

Конкретният график за преход на съществуващи сертификати следва да бъде потвърден със сертификационния орган, тъй като схемите и акредитационните договорености могат да определят конкретните срокове.

Какво проверява одиторът?

Одиторът няма да търси просто Privacy Policy и няколко GDPR документа.

Трябва да има логическа и доказуема връзка между:

PII processing → privacy risk → role/controller/processor → control → implementation → evidence → monitoring → improvement.

На практика могат да бъдат разглеждани records of processing activities, договори с processors, retention periods, access controls, privacy notices, requests от data subjects, incidents, risk assessments, training records, vendor assessments и други доказателства според обхвата на PIMS.

Това е разликата между формално подготвена privacy документация и реално функционираща система за управление.

Сертификация по ISO/IEC 27701:2025

Една от важните характеристики на новото издание е, че организацията вече може да внедри ISO/IEC 27701 като самостоятелна PIMS и да я подложи на независима оценка, без ISO/IEC 27001 да бъде предварително условие.

Когато организацията вече има ISO/IEC 27001, сертификационният подход може да бъде интегриран и да използва общите елементи на двете системи.

Планирате ISO/IEC 27701:2025?

Ако вече използвате ISO/IEC 27701:2019, можем да започнем с Transition GAP Analysis и да определим необходимите промени за новото издание.

Ако внедрявате Privacy Information Management System за първи път, можем да поемем целия процес – от анализа на PII и privacy risk assessment до вътрешния одит и подготовката за сертификация.