ISO 27701:2025 PIMS доказателства за одити по GDPR

Четвъртък е, 08:40 ч., и Ava, мениджърът по съответствие във FinScale, току-що е отворила имейла, който всяка бързо растяща B2B SaaS компания рано или късно получава.

Голям германски корпоративен клиент е изпратил въпросник за надлежна проверка по GDPR със срок от 48 часа. Той не иска политика за поверителност. Не се задоволява със сертификат. Иска доказателства.

Предоставете вашия Регистър на дейностите по обработване (RoPA) за нашите данни. Покажете доказателства за надлежна проверка при въвеждане на подизпълнители. Обяснете как доказвате задълженията си по Article 28 от GDPR. Посочете дали платформата ви действа като администратор, обработващ лични данни, съвместен администратор или подизпълнител за всеки работен поток. Докажете, че правното основание е валидирано за вашата функция за поддръжка с изкуствен интелект. Покажете задължения за изтриване, права на одит, съдействие при инциденти и договорни контроли.

Ava знае, че FinScale разполага с необходимите елементи. Правният отдел има споразумение за обработване на лични данни (DPA). Екипът по сигурност има Декларация за приложимост по ISO/IEC 27001:2022. Продуктовият екип има контролни списъци за пускане. Закупуването има договори с доставчици. Екипът по съответствие има регистър на дейностите по обработване, макар че някои записи са остарели. Проблемът не е, че доказателства не съществуват. Проблемът е, че доказателствата са разпръснати, неяснотата по ролите не е решена и никой не може бързо да проследи дадена дейност по обработване от целта до правното основание, решението по риска, контрола върху доставчика, контрола за сигурност, одитния запис и прегледа от ръководството.

Това е реалният пропуск в отчетността.

ISO 27701:2025 става силен инструмент, когато затвори този пропуск. Privacy Information Management System, или PIMS, не е просто папка с политики за сертификация по поверителност. Това е оперативен модел за създаване на надеждни доказателства. За CISO, мениджъри по съответствие, ръководители по поверителността, одитори и собственици на бизнеса целта е ясна: да се изгради PIMS, която доказва отчетност по GDPR за администратори и обработващи лични данни, като същевременно подпомага очакванията по ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 и COBIT 2019.

Отчетността по GDPR е въпрос на доказателства

Отчетността по GDPR често се разбира погрешно като изискване за документация. Тя е по-взискателна.

Article 5 от GDPR определя основните принципи за обработване на лични данни, включително законосъобразност, добросъвестност, прозрачност, ограничаване на целите, свеждане на данните до минимум, точност, ограничение на съхранението, цялостност и поверителност. Article 5(2) възлага на администратора отговорността да може да докаже съответствие. Article 4 дефинира терминологията за лични данни, обработване, администратор, обработващ лични данни, псевдонимизация и нарушение на сигурността на личните данни. Article 6 изисква правно основание за всяка дейност по обработване от администратор. Article 9 добавя по-строги условия за специални категории лични данни. Article 28 урежда задълженията на обработващия лични данни и договорните условия.

Тези задължения не се изпълняват само чрез публично уведомление за поверителност. Те изискват доказателства на ниво дейност по обработване.

Практическият модел за доказателства по ISO 27701:2025 PIMS трябва да отговаря на следните въпроси:

• Какви лични данни се обработват?
• Защо се обработват?
• Организацията действа ли като администратор, обработващ лични данни, съвместен администратор или подизпълнител?
• Какво правно основание се прилага, когато организацията е администратор?
• Какво документирано указание се прилага, когато организацията е обработващ лични данни?
• Кои системи, доставчици, подизпълнители и местоположения участват?
• Какъв скрининг на риска за поверителността или какво решение по DPIA е извършено?
• Кои контроли за сигурност защитават личните данни?
• Кои доказателства потвърждават, че контролът е функционирал?
• Кой е одобрил остатъчния риск, изключенията и коригиращите действия?

Подходът на Clarysec превръща тези въпроси в задължения по политики, регистри и проследими доказателствени обекти. Резултатът е PIMS, която може да издържи надлежна проверка от клиент, преглед от надзорен орган, вътрешен одит, ISO одит, оценка по DORA и контрол от управителния съвет.

Започнете с яснота на ролите: администратор, обработващ лични данни или и двете

Най-бързият начин да се провалите на PIMS одит е да третирате всяка дейност по обработване по един и същ начин.

Съгласно GDPR администраторът определя целите и средствата на обработването. Обработващият лични данни обработва лични данни от името на администратор. Много SaaS и технологични компании изпълняват и двете роли. FinScale е обработващ лични данни, когато хоства данни на крайни потребители на клиенти по указания на клиента. Тя е администратор за записи на служители, маркетингови потенциални клиенти, контакти за фактуриране, данни за подбор на персонал и част от продуктовите анализи.

Това разграничение определя изискванията към доказателствата.

Политиката на Clarysec Privacy Information Management System Policy превръща класификацията на ролята в оперативно изискване:

[И двете] Собственикът на процеса / собственикът на бизнеса ТРЯБВА да класифицира PIMS ролята на организацията за всяка дейност по обработване на лични данни в REG02, преди дейността по обработване да започне.

Това едно задължение променя оперативния модел за поверителност. Правният преглед вече не е последваща стъпка при пускане. Всеки собственик на процес трябва да класифицира PIMS ролята преди началото на обработването. Тази класификация определя последващата верига от доказателства.

За дейности като администратор политиката на Clarysec PII Processing Inventory and Lawful Basis Policy изисква валидиране на правното основание:

[Администратор] Ръководителят по поверителността / PIMS мениджърът ТРЯБВА да валидира правното основание, записано в REG02, преди да започне обработване от администратор и преди да влезе в сила каквато и да е промяна на целта.

От раздел „Записи за целите и правното основание на администратора“, клауза на политиката 4.2.2.

За дейности като обработващ лични данни фокусът на доказателствата се измества към документирани указания, договорни контроли, управление на подизпълнители, мерки за сигурност, задължения за съдействие, съдействие при инциденти и връщане или изтриване при прекратяване. Именно тук REG08 става критичен.

Политиката на Clarysec Processor, Subprocessor and Third-Party Privacy Management Policy изисква:

[Администратор] Ръководителят по поверителността / PIMS мениджърът ТРЯБВА да провери, че полетата за договорни контроли на обработващия лични данни в REG08 обхващат обхвата, срока и целта на обработването, категориите лични данни, категориите субекти на данни, поверителността, сигурността, разрешаването на подизпълнители, съдействието, одита или уверението, връщането, изтриването и прекратяването преди одобрение.

От раздел „Договорни контроли и контроли за документирани указания“, клауза на политиката 4.3.2.

REG02 установява дейността по обработване и ролята. REG04 извършва скрининг на риска за поверителността. REG08 валидира контролите за обработващи лични данни, подизпълнители и доставчици. REG12 индексира доказателствата. Заедно те създават веригата от PIMS доказателства.

Веригата от PIMS доказателства, която одиторите очакват

Силната PIMS не изисква екипите да поддържат несвързани електронни таблици. Тя дефинира доказателствени обекти, собственици, срокове, цикли на преглед и одитни следи.

Политиката на Clarysec PIMS Documented Information and Evidence Management Policy постановява:

[Всички] Ръководителят по поверителността / PIMS мениджърът ТРЯБВА да поддържа индекс на документираната информация на PIMS в REG12 преди първоначалното публикуване на PIMS и след това на тримесечна база.

REG12 не позволява програмата за поверителност да се превърне в папка с остарели PDF файлове. Той показва на одитора какви доказателства съществуват, къде се съхраняват, кой ги притежава, кога последно са прегледани и кои дейности по обработване, рискове, задължения или контроли подкрепят.

Тази верига от доказателства естествено се съгласува с изискванията на ISO/IEC 27001:2022 за контекст, заинтересовани страни, планиране на риска, оперативен контрол, документирана информация, оценяване на резултатността, вътрешен одит, преглед от ръководството и непрекъснато подобрение. Тя се свързва и с контролите по ISO/IEC 27002:2022 като 5.2 Роли и отговорности за информационната сигурност, 5.20 Адресиране на информационната сигурност в споразуменията с доставчици, 5.21 Управление на информационната сигурност във веригата на доставки на ИКТ, 5.34 Поверителност и защита на PII и 8.10 Изтриване на информация.

Доказателствата за администратор и обработващ лични данни не са еднакви

Германският клиент на Ava не пита само дали FinScale има политики за поверителност. Клиентът иска доказателство, че FinScale разбира коя роля изпълнява за всеки поток от данни.

Когато действа като администратор, FinScale трябва да обоснове защо обработва данни. Например обработването за ведомости за заплати на служители може да се основава на необходимост за изпълнение на договор и правно задължение. Маркетингът може да се основава на съгласие или легитимни интереси според контекста и юрисдикцията. Подборът на персонал може да изисква ограничения на съхранението, прозрачност и контроли на достъпа. Доказателството не е само избраното правно основание. То включва валидирания запис, уведомлението, правилото за съхранение, процедурата за права и решението по риска.

Когато действа като обработващ лични данни, FinScale трябва да докаже, че действа по документирани указания на клиента. Доказателствата включват DPA, конфигурация на продукта, системни журнали, контроли за сигурност, разрешения за подизпълнители, процедури за съдействие, процес за съдействие при нарушения, права на одит и доказателства за изтриване или връщане.

Политиката на Clarysec P17 Data Protection and Privacy Policy потвърждава, че поверителността трябва да бъде интегрирана в ISMS:

Организацията трябва да поддържа формална рамка за управление на поверителността, интегрирана в система за управление на информационната сигурност (ISMS), за прилагане на тази политика.

От раздел „Изисквания за управление“, клауза на политиката 5.1.

SME версията Data Protection and Privacy Policy-sme запазва същата дисциплина по доказателствата:

Координаторът по поверителността трябва да поддържа регистър на всички дейности по обработване на лични данни, включително категории данни, цел, правно основание и срокове за съхранение.

Тя също изисква:

Правното основание (напр. съгласие, договор, правно задължение) трябва да бъде документирано в регистъра на дейностите по обработване.

За корпоративни програми P17 Data Protection and Privacy Policy добавя собственост:

Правният отдел трябва да поддържа и актуализира Регистъра на правните основания.

Практически пример: пускане на продуктови анализи

Разгледайте функция за продуктови анализи, която проследява навигацията на потребителите, използването на функционалности, метаданни за сесии, ID на организация, роля на потребителя и информация за устройството. Продуктовият екип иска аналитична информация за използването. Продажбите искат показатели за възприемане. Екипът за клиентски успех иска сигнали за риск от отлив. Правният отдел пита дали FinScale е администратор или обработващ лични данни. Сигурността пита дали журналите съдържат лични данни. Закупуването отбелязва, че доставчикът на аналитични услуги използва подизпълнители.

Силната PIMS превръща това в повторяем работен поток.

1. Създайте или актуализирайте REG02 преди началото на обработването

Собственикът на бизнеса записва дейността в REG02. Записът трябва да включва цел, категории лични данни, категории субекти на данни, системи, срок за съхранение, предавания, мерки за сигурност, класификация на ролята и правно основание или документирано указание.

Ако аналитиката се използва за собствени цели на FinScale за подобряване на продукта, FinScale може да бъде администратор за тази дейност. Ако аналитиката се извършва само по настройки, конфигурирани от клиента, от името на клиента, FinScale може да бъде обработващ лични данни. В много SaaS среди и двете роли могат да съществуват в рамките на една функция в зависимост от потока от данни и целта.

2. Валидирайте правното основание или документираното указание

Ако FinScale е администратор, ръководителят по поверителността или правният отдел валидира правното основание в REG02 преди началото на обработването. Ако са включени данни от специална категория, екипът трябва също да идентифицира съответното условие по Article 9 от GDPR и допълнителните предпазни мерки.

Ако FinScale е обработващ лични данни, доказателствата трябва да сочат към документираното указание на клиента. Въпросът става: къде е указанието, какво обработване е разрешено и как FinScale доказва, че го е спазила?

3. Задействайте скрининг на риска за поверителността в REG04

Политиката на Clarysec Privacy Risk Assessment and DPIA Policy изисква:

[И двете] Собственикът на процеса / собственикът на бизнеса ТРЯБВА да инициира скрининг на риска за поверителността в REG04, преди да започне ново или съществено променено обработване на лични данни, записано в REG02.

От раздел „Скрининг на риска за поверителността“, клауза на политиката 4.1.1.

Скринингът трябва да оцени чувствителност, мащаб, последици от мониторинга, очаквания на субектите на данни, профилиране, автоматизирани решения, трансгранични прехвърляния на данни, достъп на доставчици, съхранение и ефективност на контролите. Ако рискът е повишен, PIMS трябва да задейства DPIA и да запише решението.

4. Актуализирайте REG08 за доставчици и подизпълнители

Ако външен доставчик на аналитични услуги получава лични данни, Закупуване, правният отдел и екипът по поверителността актуализират REG08. Договорните полета трябва да обхващат обхват, срок, цел, категории лични данни, поверителност, сигурност, разрешаване на подизпълнители, съдействие, одит или уверение, връщане, изтриване и прекратяване.

Third-Party and Supplier Security Policy-sme поддържа тази оперативна дисциплина, като изисква:

Проверка на практиките за обработване на данни или съответствието със защитата на личните данни, когато е включена лично идентифицируема информация (PII).

P17 Data Protection and Privacy Policy също изисква:

Екипите по закупуване, правни въпроси и съответствие трябва да проверяват съответствието с Article 28 от GDPR и да изискват годишна повторна оценка на всички високорискови доставчици.

5. Индексирайте доказателствата в REG12

Накрая PIMS мениджърът актуализира REG12 с връзки към REG02, валидирането на правното основание, документираното указание, скрининга в REG04, DPIA ако е необходима, записа за доставчика в REG08, DPA, прегледа на сигурността, решението за съхранение, одобрението на продукта и доказателствата от мониторинга.

Така поверителността още при проектирането се превръща в доказателство, готово за одит.

Използване на Zenith Blueprint за изграждане на проследимост

Да знаете какви доказателства да събирате е само половината от предизвикателството. По-трудната част е да изградите система, която надеждно ги създава.

Zenith Blueprint: An Auditor’s 30-Step Roadmap поставя това във фазата ISMS Foundation & Leadership, Step 2: Stakeholder Needs and ISMS Scope. Ръководството показва как очакванията на заинтересованите страни се превръщат в планирани контроли:

Клиенти
(B2B SaaS)
Поверителност на данните, uptime съгласно
SLA, уведомяване за нарушение в рамките на
24 ч.
Внедрете контроли на достъпа, шифроване;
планът за реагиране при инциденти включва
процедури за уведомяване.

То включва също:

Елемент за действие 4.2: Съставете списък на всички значими заинтересовани страни и отбележете техните изисквания, свързани с информационната сигурност.

За ISO 27701:2025 разширете този елемент за действие към поверителността. Заинтересованите страни включват клиенти, субекти на данни, регулатори, обработващи лични данни, подизпълнители, служители, продуктови екипи, вътрешен одит, ръководство, клиенти от финансовия сектор и секторни регулатори, когато се прилагат NIS2 или DORA.

Във фазата Risk Management, Step 13: Risk Treatment Planning and Statement of Applicability, Zenith Blueprint препоръчва проследимост:

Кръстосано съпоставяне с регулации: Ако определени контроли са внедрени специално за съответствие с GDPR, NIS2 или DORA, можете да отбележите това или в Регистъра на риска (като част от обосновката на въздействието на риска), или в бележките към SoA.

Това създава златната нишка, която одиторите търсят: изискване, риск, контрол, собственик, доказателство, резултат от тест и действие за подобрение.

Къде Zenith Controls се вписва в PIMS модела

Zenith Controls: The Cross-Compliance Guide на Clarysec помага на екипите да избягват дублиращи се програми за съответствие, като картографира тематични области на контролите по ISO/IEC 27001:2022 и ISO/IEC 27002:2022 към други стандарти, одитни очаквания и модели на доказателства.

За ISO 27701:2025 PIMS доказателства четири контроли от ISO/IEC 27002:2022 са особено важни:

• 5.2 Роли и отговорности за информационната сигурност
• 5.20 Адресиране на информационната сигурност в споразуменията с доставчици
• 5.21 Управление на информационната сигурност във веригата на доставки на ИКТ
• 5.34 Поверителност и защита на PII

Контрол 5.2 подкрепя яснотата на ролите. PIMS се нуждае от дефинирана отчетност за PIMS мениджъра, ръководителя по поверителността, собственика на процес, собственика на бизнеса, правния отдел, закупуването, сигурността, вътрешния одит и висшето ръководство.

Контрол 5.34 подкрепя основното задължение за поверителност. Zenith Blueprint, във фазата Controls in Action, Step 23, обяснява одитното очакване:

От одитна гледна точка този контрол е във все по-силен фокус. Одитори, регулатори и клиенти еднакво искат да видят:

✓ Къде се намират личните данни,
✓ Какво правно основание урежда тяхното обработване,
✓ Как е ограничен достъпът,
✓ Как се докладват инцидентите,
✓ И как организацията зачита правата и поддържа прозрачност.

Zenith Blueprint продължава:

Контрол 5.34 не е просто отметка в списък. Той е заявление за етично попечителство.

Контроли 5.20 и 5.21 свързват PIMS доказателствата с управлението на доставчици и ИКТ веригата на доставки. Zenith Blueprint, във фазата Controls in Action, Step 23, изброява теми за споразуменията с доставчици:

Ключовите области, които обичайно се разглеждат в споразуменията с доставчици, включват:

✓ Задължения за поверителност, включително обхват, срок и ограничения за разкриване към трети страни;
✓ Отговорности за контрол на достъпа, като кой може да има достъп до вашите данни, как се управляват удостоверителните данни и какъв мониторинг е въведен;
✓ Технически и организационни мерки за защита на данните, шифроване, сигурно предаване, архивиране и ангажименти за наличност;
✓ Срокове и протоколи за докладване на инциденти, често с определени времеви рамки (напр. „уведомяване в рамките на 24 часа“);
✓ Право на одит, включително честота, обхват и достъп до релевантни доказателства (напр. доклади от тестове за проникване, SoA, сертификации);
✓ Контроли за подизпълнители, изискващи доставчикът да прехвърли еквивалентни задължения за сигурност към своите партньори надолу по веригата;
✓ Разпоредби при край на договора, като връщане или унищожаване на данни, възстановяване на активи и деактивиране на акаунти.

Това е мостът между отчетността по GDPR и доказателствата в ISMS.

Картографиране на PIMS доказателства към GDPR, NIS2, DORA, NIST и COBIT 2019

Доказателствата за поверителност рядко обслужват само една рамка. Добре проектираният PIMS доказателствен обект може да отговори на няколко одитни въпроса.

GDPR закрепва отчетността за поверителността чрез правно основание, яснота на ролите, договори с обработващи лични данни, права, обработване на нарушения и доказуемо съответствие.

NIS2 е релевантна за съществени и важни субекти, включително определени доставчици на облачни услуги, доставчици на управлявани услуги, доставчици на управлявани услуги за сигурност, доставчици на центрове за данни и организации за цифрова инфраструктура. Article 20 от NIS2 възлага отговорност за управлението на киберсигурността на ръководните органи. Article 21 изисква подходящи технически, оперативни и организационни мерки, включително анализ на риска, обработване на инциденти, непрекъсваемост на дейността, сигурност на веригата на доставки, сигурна разработка, оценяване на ефективността, обучение, криптография, сигурност на човешките ресурси, контрол на достъпа, управление на активите и MFA или непрекъсната автентикация, когато е подходящо. Article 23 въвежда очаквания за докладване на съществени инциденти, включително ранно предупреждение в рамките на 24 часа и уведомяване за инцидент в рамките на 72 часа.

DORA е релевантна за финансови субекти и доставчици на ИКТ услуги от трети страни във финансовите екосистеми. DORA Articles 5 and 6 изискват управление на ИКТ риска, политики, стратегия, тестване и непрекъснато подобрение. Articles 17 to 19 обхващат откриване, класификация, ескалация и докладване на ИКТ инциденти, анализ на първопричините и извлечени поуки. Articles 28 to 30 изискват стратегия за ИКТ риск от трети страни, регистри, надлежна проверка, договорни разпоредби, права на одит, съдействие при инциденти, защита на данните, планиране на изход и преглед на риска от концентрация.

NIST CSF 2.0 предоставя език за управление и риск чрез GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND и RECOVER. COBIT 2019 добавя цели на управление, управленски практики, собственост, показатели, уверение и способност на процесите.

Предимството за съответствие е ясно. Една контролирана верига от PIMS доказателства може да подпомага GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 и надлежна проверка от клиенти.

Как одиторите ще тестват вашата PIMS

PIMS одитът не е преглед на документи. Той е упражнение по проследимост на доказателствата.

Политиката на Clarysec P33 Audit and Compliance Monitoring Policy подкрепя одитния модел:

Организацията трябва да поддържа Одитен регистър, съдържащ:

SME еквивалентът Audit and Compliance Monitoring Policy-sme добавя важно изискване за качество на доказателствата:

Метаданните (напр. кой ги е събрал, кога и от коя система) трябва да бъдат документирани.

Това изискване за метаданни е малко, но силно. Екранни снимки без източник, дата, събиращо лице и системен контекст са слаби доказателства. Контролираното одитно доказателство доказва автентичност, актуалност и проследимост.

Как изглеждат добрите PIMS доказателства

Да приемем, че одитор избира една дейност: анализ на тикети за клиентска поддръжка.

Слабият отговор е: „Имаме политика за поверителност и нашето DPA го покрива.“

Силният PIMS отговор е:

1. REG02 идентифицира дейността, системите, категориите лични данни, субектите на данни, целта, класификацията на ролята, съхранението, предаванията, контролите за сигурност и собственика.
2. Класификацията на ролята показва дали организацията е администратор, обработващ лични данни или и двете за конкретни части от работния поток.
3. Ако е администратор, правното основание е валидирано и записано в Регистъра на правните основания.
4. Ако е обработващ лични данни, указанието на клиента и клаузата от DPA са свързани.
5. REG04 показва скрининг на риска за поверителността преди пускане или съществена промяна.
6. REG08 идентифицира платформата за тикети, доставчика за AI обобщаване, подизпълнителите, договорните контроли, правата на одит, уверенията за сигурност, условията за изтриване и съдействието при инциденти.
7. Доказателствата за контрол на достъпа показват, че достъпът на персонала по поддръжка е базиран на роли и се преглежда.
8. Доказателствата от регистриране и мониторинг показват, че достъпът до тикети за поддръжка се наблюдава.
9. Доказателствата за съхранение и изтриване показват, че тикетите се изтриват или анонимизират съгласно одобрения срок за съхранение.
10. REG12 индексира всички поддържащи доказателства със собственик и дата на преглед.
11. Одитният регистър показва дали дейността е тествана, какви констатации са повдигнати и дали коригиращите действия са приключени.

Така ISO 27701:2025 става оперативен. Той създава повторяема верига на отчетност.

Чести слабости в PIMS доказателствата

В SaaS, fintech, управлявани услуги и B2B технологични среди едни и същи пропуски се появяват многократно.

Първо, организациите поддържат RoPA или регистър на дейностите по обработване, но не класифицират ролите на администратор и обработващ лични данни по дейност. Това създава объркване относно правното основание, документираните указания и задълженията към подизпълнители.

Второ, правното основание се записва еднократно и не се валидира повторно при промяна на целта. Article 6 от GDPR изисква дисциплина по целта и правното основание. По-нататъшното обработване може да изисква оценка на съвместимостта и предпазни мерки.

Трето, инвентарите на доставчици изброяват доставчици, но не показват полета за договорни контроли. Списъкът на доставчици не е същото като управление на обработващи лични данни.

Четвърто, решенията по DPIA са неформални. Екипите казват „не е висок риск“, но не могат да покажат критерии за скрининг, одобряващ, дата или доказателства.

Пето, одитни доказателства съществуват, но не са контролирани. На екранните снимки липсват метаданни. Политиките са актуални, но регистрите са остарели. Договорите съществуват, но повторните оценки при подновяване се пропускат.

Шесто, процесите за инциденти се фокусират върху събития по киберсигурността, но не класифицират ясно нарушенията на сигурността на личните данни. Анализът на нарушенията на сигурността на личните данни по GDPR, докладването на съществени инциденти по NIS2 и докладването на ИКТ инциденти по DORA трябва да бъдат координирани, а не дублирани.

Clarysec адресира тези слабости, като третира PIMS доказателствата като контролирана система за управление, а не като подготовка за одит в последния момент.

Контролен списък за готовност на ISO 27701:2025 PIMS доказателства

Използвайте този контролен списък за следващия вътрешен преглед на готовността.

• Дефинирайте PIMS обхвата и заинтересованите страни, включително клиенти, регулатори, субекти на данни, доставчици, вътрешен одит и ръководство.
• Възложете PIMS роли и отговорности, включително PIMS мениджър, ръководител по поверителността, собственик на процес, правен отдел, закупуване, сигурност и вътрешен одит.
• Създайте REG02 записи за всяка дейност по обработване на лични данни.
• Класифицирайте ролята на администратор, обработващ лични данни, съвместен администратор или подизпълнител за всяка дейност.
• Валидирайте правното основание за обработване от администратор преди началото на обработването и преди промяна на целта.
• Запишете документирани указания за дейности като обработващ лични данни.
• Задействайте скрининг на риска за поверителността в REG04 преди ново или съществено променено обработване.
• Завършете DPIA, когато скринингът на риска показва повишен риск за поверителността.
• Поддържайте REG08 за обработващи лични данни, подизпълнители, ИКТ доставчици и доставчици, релевантни за поверителността.
• Проверявайте договорните полета за обхват, срок, цел, категории лични данни, поверителност, сигурност, съдействие, права на одит, връщане, изтриване и прекратяване.
• Поддържайте REG12 като индекс на документираната информация на PIMS.
• Картографирайте PIMS доказателствата към третиране на риска по ISO/IEC 27001:2022 и бележките към SoA.
• Съпоставяйте задълженията по GDPR, NIS2, DORA, NIST CSF 2.0 и COBIT 2019, когато е релевантно.
• Провеждайте годишни вътрешни одити на съответствието с поверителността и актуализирайте Одитния регистър.
• Преглеждайте отворените констатации, коригиращите действия, решенията по риска и управленското докладване на тримесечна база.

P17 Data Protection and Privacy Policy потвърждава одитния цикъл:

Вътрешен одит на съответствието с поверителността трябва да се провежда ежегодно или при съществени организационни или регулаторни промени. Обхватът на одита трябва да включва:

Посланието е просто. Съответствието с поверителността се наблюдава, а не се приема за даденост.

Изградете своя PIMS модел за доказателства с Clarysec

ISO 27701:2025 е най-ценен, когато е интегриран с ISO/IEC 27001:2022 и е проектиран да създава доказателства по подразбиране. Така поверителността се превръща в защитим оперативен модел, а не в проект за сертификация.

Когато клиент поиска уверение за поверителност, можете да покажете доказателства. Когато регулатор попита защо сте обработвали данни, можете да покажете роля, цел, правно основание, предпазни мерки и одобрения. Когато одитор попита как управлявате подизпълнителите, можете да покажете REG08, договорни контроли, повторни оценки и права на одит. Когато управителният съвет попита дали рискът за поверителността е под контрол, можете да покажете показатели, отворени действия, резултати от одит и преглед от ръководството.

Ако вашата PIMS все още е тежка откъм политики и лека откъм доказателства, започнете с веригата, която одиторите ще следват:

REG02 инвентар на обработването, REG04 скрининг на риска за поверителността, REG08 управление на обработващи лични данни и подизпълнители, REG12 индекс на доказателствата, Регистър на правните основания, Одитен регистър и картографиране към SoA.

Clarysec може да ви помогне да въведете тази верига в оперативна работа чрез:

• Zenith Blueprint: An Auditor’s 30-Step Roadmap, особено Step 2 за изисквания на заинтересованите страни, Step 13 за третиране на риска и проследимост към SoA и Step 23 за контроли за поверителност, доставчици и организация.
• Zenith Controls: The Cross-Compliance Guide, използвайки контролите 5.2, 5.20, 5.21 и 5.34 от ISO/IEC 27002:2022 като практически опори за отчетност по поверителността.
• Набора от ISO 27701 PIMS политики на Clarysec, включително Privacy Information Management System Policy, PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Processor, Subprocessor and Third-Party Privacy Management Policy и PIMS Documented Information and Evidence Management Policy.
• Поддръжка за корпоративни организации и SME чрез P17 Data Protection and Privacy Policy, Data Protection and Privacy Policy-sme, Third-Party and Supplier Security Policy-sme, P33 Audit and Compliance Monitoring Policy и Audit and Compliance Monitoring Policy-sme.

Следващото ви действие е просто: изберете една високорискова дейност по обработване на лични данни и проследете веригата от доказателства от REG02 до REG12. Ако веригата се прекъсне, това е първият ви проект за подобрение. Ако издържи, разширете модела върху целия си инвентар на обработването.

Така ISO 27701:2025 става повече от сертификат. Той става доказателство за отчетност по GDPR.