ISO 27701:2025: PIMS-bevismateriale til GDPR-revisioner

Klokken er 08:40 en torsdag, og Ava, compliancechef hos FinScale, har netop åbnet den e-mail, som enhver hurtigt voksende B2B SaaS-virksomhed før eller siden modtager.

En stor tysk erhvervskunde har sendt et GDPR-due diligence-spørgeskema med en svarfrist på 48 timer. Kunden beder ikke om en privatlivspolitik. Et certifikat er ikke nok. Kunden beder om bevismateriale.

Fremlæg jeres fortegnelse over behandlingsaktiviteter for vores data. Vis bevismateriale for due diligence ved onboarding af underdatabehandlere. Forklar, hvordan I dokumenterer jeres forpligtelser efter GDPR Article 28. Angiv, om jeres platform fungerer som PII-dataansvarlig, databehandler, fælles dataansvarlig eller underdatabehandler for hver arbejdsgang. Dokumentér, at behandlingsgrundlaget er valideret for jeres AI-understøttede supportfunktion. Vis sletteforpligtelser, revisionsrettigheder, hændelsesbistand og kontraktkontroller.

Ava ved, at FinScale har byggestenene. Jura har databehandleraftalen. Sikkerhed har ISO/IEC 27001:2022-erklæringen om anvendelighed (SoA). Produkt har lanceringschecklister. Indkøb har leverandørkontrakter. Compliance har et register over behandlingsaktiviteter, selv om nogle poster er forældede. Problemet er ikke, at bevismaterialet ikke findes. Problemet er, at bevismaterialet er spredt, rolleuklarhederne er ikke afklaret, og ingen kan hurtigt spore en behandlingsaktivitet fra formål til behandlingsgrundlag, risikobeslutning, leverandørkontrol, sikkerhedskontrol, revisionsoptegnelse og ledelsens gennemgang.

Det er det reelle ansvarlighedshul.

ISO 27701:2025 bliver stærk, når den lukker dette hul. Et Privacy Information Management System, eller PIMS, er ikke blot en samling politikker til en databeskyttelsescertificering. Det er en driftsmodel til at producere pålideligt bevismateriale. For CISO’er, complianceansvarlige, databeskyttelsesansvarlige, revisorer og virksomhedsejere er målet enkelt: opbyg et PIMS, der dokumenterer GDPR-ansvarlighed for PII-dataansvarlige og PII-databehandlere, samtidig med at det understøtter forventningerne i ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 og COBIT 2019.

GDPR-ansvarlighed er et spørgsmål om bevismateriale

GDPR-ansvarlighed bliver ofte misforstået som et dokumentationskrav. Det er mere krævende end det.

GDPR Article 5 definerer de grundlæggende principper for behandling af personoplysninger, herunder lovlighed, rimelighed, gennemsigtighed, formålsbegrænsning, dataminimering, rigtighed, opbevaringsbegrænsning, integritet og fortrolighed. Article 5(2) gør den dataansvarlige ansvarlig for at kunne dokumentere overholdelse. Article 4 definerer begreberne personoplysninger, behandling, dataansvarlig, databehandler, pseudonymisering og brud på persondatasikkerheden. Article 6 kræver et behandlingsgrundlag for hver behandlingsaktivitet, hvor organisationen er dataansvarlig. Article 9 tilføjer strengere betingelser for særlige kategorier af personoplysninger. Article 28 regulerer databehandleres forpligtelser og kontraktvilkår.

Disse forpligtelser opfyldes ikke alene med en offentlig privatlivsmeddelelse. De kræver bevismateriale på niveauet for den enkelte behandlingsaktivitet.

En praktisk ISO 27701:2025 PIMS-model for bevismateriale skal kunne besvare:

• Hvilke PII behandles?
• Hvorfor behandles de?
• Fungerer organisationen som dataansvarlig, databehandler, fælles dataansvarlig eller underdatabehandler?
• Hvilket behandlingsgrundlag gælder, når organisationen er dataansvarlig?
• Hvilken dokumenteret instruks gælder, når organisationen er databehandler?
• Hvilke systemer, leverandører, underdatabehandlere og lokationer er involveret?
• Hvilken screening af databeskyttelsesrisici eller DPIA-beslutning blev gennemført?
• Hvilke sikkerhedskontroller beskytter PII?
• Hvilket bevismateriale dokumenterer, at kontrollen har fungeret?
• Hvem har godkendt restrisiko, undtagelser og korrigerende handlinger?

Clarysecs tilgang omsætter disse spørgsmål til politikforpligtelser, registre og sporbare bevisobjekter. Resultatet er et PIMS, der kan modstå kunde-due diligence, tilsynsgennemgang, intern revision, ISO-revision, DORA-vurdering og bestyrelsestilsyn.

Start med rolleklarhed: dataansvarlig, databehandler eller begge dele

Den hurtigste vej til at fejle en PIMS-revision er at behandle alle behandlingsaktiviteter ens.

Efter GDPR fastlægger en dataansvarlig formålene med og hjælpemidlerne til behandlingen. En databehandler behandler personoplysninger på vegne af en dataansvarlig. Mange SaaS- og teknologivirksomheder gør begge dele. FinScale er databehandler, når virksomheden hoster kundens slutbrugerdata efter kundens instrukser. FinScale er dataansvarlig for medarbejderregistre, marketingleads, faktureringskontakter, rekrutteringsdata og visse produktanalyser.

Denne sondring styrer kravene til bevismateriale.

Clarysecs Privacy Information Management System Policy gør rolleklassificering til et operationelt krav:

[Begge] Procesejeren / virksomhedsejeren SKAL klassificere organisationens PIMS-rolle for hver PII-behandlingsaktivitet i REG02, før behandlingsaktiviteten påbegyndes.

Denne ene forpligtelse ændrer driftsmodellen for databeskyttelse. Juridisk gennemgang er ikke længere en eftertanke ved lancering. Hver procesejer skal klassificere PIMS-rollen, før behandlingen starter. Klassificeringen bestemmer den efterfølgende beviskæde.

For aktiviteter som dataansvarlig kræver Clarysecs PII Processing Inventory and Lawful Basis Policy validering af behandlingsgrundlag:

[Dataansvarlig] Den databeskyttelsesansvarlige / PIMS-ansvarlige SKAL validere det behandlingsgrundlag, der er registreret i REG02, før behandling som dataansvarlig begynder, og før enhver formålsændring træder i kraft.

Fra afsnittet “Registreringer af den dataansvarliges formål og behandlingsgrundlag”, politikklausul 4.2.2.

For aktiviteter som databehandler flyttes fokus i bevismaterialet til dokumenterede instrukser, kontraktkontroller, styring af underdatabehandlere, sikkerhedsforanstaltninger, bistandsforpligtelser, hændelsesbistand og tilbagelevering eller sletning ved ophør. Her bliver REG08 kritisk.

Clarysecs Processor, Subprocessor and Third-Party Privacy Management Policy kræver:

[Dataansvarlig] Den databeskyttelsesansvarlige / PIMS-ansvarlige SKAL verificere, at kontraktkontrolfelter for databehandlere i REG08 omfatter behandlingens omfang, varighed, formål, PII-kategorier, kategorier af registrerede, fortrolighed, sikkerhed, godkendelse af underdatabehandlere, bistand, revision eller assurance, tilbagelevering, sletning og ophør før godkendelse.

Fra afsnittet “Kontraktkontroller og dokumenterede instrukser”, politikklausul 4.3.2.

REG02 etablerer behandlingsaktiviteten og rollen. REG04 screener databeskyttelsesrisici. REG08 validerer kontroller for databehandlere, underdatabehandlere og leverandører. REG12 indekserer bevismaterialet. Sammen skaber de PIMS-beviskæden.

Den PIMS-beviskæde, revisorer forventer

Et stærkt PIMS beder ikke teams om at vedligeholde adskilte regneark. Det definerer bevisobjekter, ejere, tidspunkter, gennemgangscyklusser og revisionsspor.

Clarysecs PIMS Documented Information and Evidence Management Policy fastslår:

[Alle] Den databeskyttelsesansvarlige / PIMS-ansvarlige SKAL vedligeholde et PIMS-indeks over dokumenteret information i REG12 før første PIMS-udgivelse og derefter kvartalsvist.

REG12 forhindrer, at databeskyttelsesprogrammet bliver en mappe med forældede PDF’er. Det viser revisoren, hvilket bevismateriale der findes, hvor det er opbevaret, hvem der ejer det, hvornår det sidst blev gennemgået, og hvilke behandlingsaktiviteter, risici, forpligtelser eller kontroller det understøtter.

Denne beviskæde stemmer naturligt overens med ISO/IEC 27001:2022-krav til kontekst, interesserede parter, risikoplanlægning, operationel styring, dokumenteret information, præstationsevaluering, intern revision, ledelsens gennemgang og løbende forbedring. Den kobler også til ISO/IEC 27002:2022-kontroller såsom 5.2 Information security roles and responsibilities, 5.20 Addressing information security within supplier agreements, 5.21 Managing information security in the ICT supply chain, 5.34 Privacy and protection of PII og 8.10 Information deletion.

Bevismateriale for dataansvarlige og databehandlere er ikke det samme

Avas tyske kunde spørger ikke kun, om FinScale har databeskyttelsespolitikker. Kunden ønsker dokumentation for, at FinScale forstår, hvilken rolle virksomheden har for hvert dataflow.

Når FinScale agerer som dataansvarlig, skal virksomheden begrunde, hvorfor den behandler data. For eksempel kan behandling af medarbejderløn bygge på kontraktmæssig nødvendighed og retlig forpligtelse. Marketing kan bygge på samtykke eller legitime forretningsinteresser afhængigt af kontekst og jurisdiktion. Rekruttering kan kræve opbevaringsgrænser, gennemsigtighed og adgangsstyring. Bevismaterialet er ikke kun det valgte behandlingsgrundlag. Det er den validerede registrering, meddelelsen, opbevaringsreglen, rettighedsproceduren og risikobeslutningen.

Når FinScale agerer som databehandler, skal virksomheden dokumentere, at den handler efter dokumenterede kundeinstrukser. Bevismaterialet omfatter databehandleraftalen, produktkonfiguration, systemlogfiler, sikkerhedskontroller, godkendelser af underdatabehandlere, bistandsprocedurer, proces for bistand ved brud, revisionsrettigheder og bevismateriale for sletning eller tilbagelevering.

Clarysecs P17 Data Protection and Privacy Policy understreger, at databeskyttelse skal integreres i ISMS:

Organisationen skal vedligeholde en formel styringsramme for databeskyttelse, der er integreret i ledelsessystemet for informationssikkerhed (ISMS), for at håndhæve denne politik.

Fra afsnittet “Styringskrav”, politikklausul 5.1.

SMV-versionen, Data Protection and Privacy Policy-sme, fastholder samme disciplin for bevismateriale:

Koordinatoren for databeskyttelse skal vedligeholde et register over alle behandlingsaktiviteter med personoplysninger, herunder datakategorier, formål, behandlingsgrundlag og opbevaringsperioder

Den kræver også:

Behandlingsgrundlaget (f.eks. samtykke, kontrakt, retlig forpligtelse) skal dokumenteres i registeret over behandlingsaktiviteter

For enterprise-programmer tilføjer P17 Data Protection and Privacy Policy ejerskab:

Juridisk afdeling skal vedligeholde og opdatere registeret over behandlingsgrundlag.

En praktisk gennemgang: lancering af produktanalyse

Forestil dig en produktanalysefunktion, der sporer brugernavigation, funktionsadoption, sessionsmetadata, organisations-ID, brugerrolle og enhedsoplysninger. Produkt ønsker indsigt i brugen. Salg ønsker adoptionsmetrikker. Customer Success ønsker signaler om churn. Jura spørger, om FinScale er dataansvarlig eller databehandler. Sikkerhed spørger, om logfiler indeholder personoplysninger. Indkøb bemærker, at analyseleverandøren bruger underdatabehandlere.

Et stærkt PIMS omsætter dette til en gentagelig arbejdsgang.

1. Opret eller opdater REG02, før behandlingen begynder

Virksomhedsejeren registrerer aktiviteten i REG02. Registreringen bør omfatte formål, PII-kategorier, kategorier af registrerede, systemer, opbevaringsperiode, overførsler, sikkerhedsforanstaltninger, rolleklassificering og behandlingsgrundlag eller dokumenteret instruks.

Hvis analyser anvendes til FinScales egne formål om produktforbedring, kan FinScale være dataansvarlig for aktiviteten. Hvis analyser alene udføres efter kundekonfigurerede indstillinger på vegne af kunden, kan FinScale være databehandler. I mange SaaS-miljøer kan begge roller findes i én funktion, afhængigt af dataflow og formål.

2. Validér behandlingsgrundlag eller dokumenteret instruks

Hvis FinScale er dataansvarlig, validerer den databeskyttelsesansvarlige eller Jura behandlingsgrundlaget i REG02, før behandlingen begynder. Hvis særlige kategorier af personoplysninger er involveret, skal teamet også identificere den relevante betingelse efter GDPR Article 9 og yderligere sikkerhedsforanstaltninger.

Hvis FinScale er databehandler, skal bevismaterialet pege på kundens dokumenterede instruks. Spørgsmålet bliver: hvor er instruksen, hvilken behandling er tilladt, og hvordan dokumenterer FinScale, at instruksen blev fulgt?

3. Udløs REG04-screening af databeskyttelsesrisici

Clarysecs Privacy Risk Assessment and DPIA Policy kræver:

[Begge] Procesejeren / virksomhedsejeren SKAL igangsætte screening af databeskyttelsesrisici i REG04, før ny eller væsentligt ændret PII-behandling, der er registreret i REG02, begynder.

Fra afsnittet “Screening af databeskyttelsesrisici”, politikklausul 4.1.1.

Screeningen bør vurdere følsomhed, omfang, overvågningsmæssige implikationer, de registreredes forventninger, profilering, automatiserede afgørelser, grænseoverskridende overførsler, leverandøradgang, opbevaring og kontroleffektivitet. Hvis risikoen er forhøjet, bør PIMS udløse en DPIA og registrere beslutningen.

4. Opdater REG08 for leverandører og underdatabehandlere

Hvis en tredjepartsanalyseudbyder modtager PII, opdaterer Indkøb, Jura og Databeskyttelse REG08. Kontraktfelter bør omfatte omfang, varighed, formål, PII-kategorier, fortrolighed, sikkerhed, godkendelse af underdatabehandlere, bistand, revision eller assurance, tilbagelevering, sletning og ophør.

Third-Party and Supplier Security Policy-sme understøtter denne driftsdisciplin ved at kræve:

Verifikation af datahåndteringspraksis eller efterlevelse af databeskyttelseskrav, hvor personhenførbare oplysninger (PII) er involveret

P17 Data Protection and Privacy Policy kræver også:

Indkøb samt juridiske og compliance-teams skal verificere overholdelse af Article 28 i GDPR og kræve årlig fornyet vurdering af alle højrisikoleverandører.

5. Indekser bevismateriale i REG12

Til sidst opdaterer den PIMS-ansvarlige REG12 med links til REG02, validering af behandlingsgrundlag, dokumenteret instruks, REG04-screening, DPIA hvis påkrævet, REG08-leverandørregistrering, databehandleraftale, sikkerhedsgennemgang, opbevaringsbeslutning, produktgodkendelse og overvågningsbevismateriale.

Det er sådan, databeskyttelse gennem design bliver til revisionsklart bevismateriale.

Brug Zenith Blueprint til at opbygge sporbarhed

At vide, hvilket bevismateriale der skal indsamles, er kun halvdelen af udfordringen. Den sværere del er at opbygge et system, der pålideligt producerer det.

Zenith Blueprint: An Auditor’s 30-Step Roadmap placerer dette i fasen ISMS Foundation & Leadership, Step 2: Stakeholder Needs and ISMS Scope. Vejledningen viser, hvordan interessentforventninger bliver til planlagte kontroller:

Kunder
(B2B SaaS)
Datafortrolighed, oppetid i henhold til
SLA, underretning om brud inden for
24 timer
Implementér adgangsstyring, kryptering;
hændelseshåndteringsplanen omfatter
underretningsprocedurer.

Den omfatter også:

Handlingspunkt 4.2: Udarbejd en liste over alle væsentlige interesserede parter, og noter deres krav vedrørende informationssikkerhed.

For ISO 27701:2025 skal dette handlingspunkt udvides til databeskyttelse. Interesserede parter omfatter kunder, registrerede, tilsynsmyndigheder, databehandlere, underdatabehandlere, medarbejdere, produktteams, intern revision, ledelsen, kunder i den finansielle sektor og sektortilsyn, hvor NIS2 eller DORA finder anvendelse.

I risikostyringsfasen, Step 13: Risk Treatment Planning and Statement of Applicability, anbefaler Zenith Blueprint sporbarhed:

Krydshenvis til regulering: Hvis visse kontroller er implementeret specifikt for at overholde GDPR, NIS2 eller DORA, kan du notere det enten i risikoregisteret (som del af begrundelsen for risikokonsekvens) eller i SoA-noterne.

Dette skaber den røde tråd, revisorer ønsker: krav, risiko, kontrol, ejer, bevismateriale, testresultat og forbedringshandling.

Hvor Zenith Controls passer ind i PIMS-modellen

Clarysecs Zenith Controls: The Cross-Compliance Guide hjælper teams med at undgå duplikerede efterlevelsesprogrammer ved at kortlægge kontroltemaer i ISO/IEC 27001:2022 og ISO/IEC 27002:2022 til andre standarder, revisionsforventninger og bevismønstre.

For ISO 27701:2025 PIMS-bevismateriale er fire ISO/IEC 27002:2022-kontroller særligt vigtige:

• 5.2 Information security roles and responsibilities
• 5.20 Addressing information security within supplier agreements
• 5.21 Managing information security in the ICT supply chain
• 5.34 Privacy and protection of PII

Kontrol 5.2 understøtter rolleklarhed. Et PIMS kræver klart defineret ansvarlighed for PIMS-ansvarlig, databeskyttelsesansvarlig, procesejer, virksomhedsejer, Jura, Indkøb, Sikkerhed, Intern revision og øverste ledelse.

Kontrol 5.34 understøtter den centrale databeskyttelsesforpligtelse. Zenith Blueprint, fasen Controls in Action, Step 23, forklarer revisionsforventningen:

Set fra et revisionsperspektiv kommer denne kontrol i stigende grad i fokus. Revisorer, tilsynsmyndigheder og kunder vil alle se:

✓ Hvor PII findes,
✓ Hvilket behandlingsgrundlag der regulerer behandlingen,
✓ Hvordan adgang begrænses,
✓ Hvordan hændelser rapporteres,
✓ Og hvordan organisationen respekterer rettigheder og opretholder gennemsigtighed.

Zenith Blueprint fortsætter:

Control 5.34 er ikke bare et afkrydsningsfelt. Det er en erklæring om etisk forvaltning.

Kontrol 5.20 og 5.21 kobler PIMS-bevismateriale til leverandørstyring og styring af IKT-forsyningskæden. Zenith Blueprint, fasen Controls in Action, Step 23, oplister emner i leverandøraftaler:

Centrale områder, der typisk behandles i leverandøraftaler, omfatter:

✓ Fortrolighedsforpligtelser, herunder omfang, varighed og begrænsninger for videregivelse til tredjeparter;
✓ Ansvar for adgangsstyring, såsom hvem der kan tilgå jeres data, hvordan legitimationsoplysninger administreres, og hvilken overvågning der er etableret;
✓ Tekniske og organisatoriske foranstaltninger for databeskyttelse, kryptering, sikker transmission, backup og forpligtelser vedrørende tilgængelighed;
✓ Tidsfrister og protokoller for hændelsesrapportering, ofte med definerede tidsrammer (f.eks. “underret inden for 24 timer”);
✓ Ret til revision, herunder frekvens, omfang og adgang til relevant bevismateriale (f.eks. rapporter fra penetrationstest, SoA, certificeringer);
✓ Kontroller for underleverandører, der kræver, at leverandøren viderefører tilsvarende sikkerhedsforpligtelser til sine nedstrømspartnere;
✓ Bestemmelser ved kontraktophør, såsom tilbagelevering eller destruktion af data, genoprettelse af aktiver og deaktivering af konti.

Dette er broen mellem GDPR-ansvarlighed og ISMS-bevismateriale.

Kortlægning af PIMS-bevismateriale på tværs af GDPR, NIS2, DORA, NIST og COBIT 2019

Bevismateriale vedrørende databeskyttelse tjener sjældent kun ét rammeværk. Et veldesignet PIMS-bevisobjekt kan besvare flere revisionsspørgsmål.

GDPR forankrer ansvarlighed vedrørende databeskyttelse gennem behandlingsgrundlag, rolleklarhed, databehandleraftaler, rettigheder, håndtering af brud og dokumenterbar efterlevelse.

NIS2 er relevant for væsentlige og vigtige enheder, herunder visse cloududbydere, managed service providers, managed security service providers, datacenterudbydere og organisationer inden for digital infrastruktur. NIS2 Article 20 placerer ansvaret for cybersikkerhedsstyring hos ledelsesorganer. Article 21 kræver passende tekniske, operationelle og organisatoriske foranstaltninger, herunder risikoanalyse, håndtering af hændelser, forretningskontinuitet, sikkerhed i forsyningskæden, sikker udvikling, effektivitetsvurdering, træning, kryptografi, HR-sikkerhed, adgangsstyring, styring af aktiver og MFA eller løbende autentifikation, hvor det er relevant. Article 23 indfører forventninger til rapportering af væsentlige hændelser, herunder tidlig varsling inden for 24 timer og hændelsesunderretning inden for 72 timer.

DORA er relevant for finansielle enheder og IKT-tredjepartsudbydere i finansielle økosystemer. DORA Articles 5 og 6 kræver IKT-risikostyring, politikker, strategi, test og løbende forbedring. Articles 17 til 19 dækker detektion, klassificering, eskalering, rapportering, rodårsagsanalyse og læringspunkter for IKT-hændelser. Articles 28 til 30 kræver strategi for IKT-tredjepartsrisiko, registre, due diligence, kontraktbestemmelser, revisionsrettigheder, hændelsesbistand, databeskyttelse, exitplanlægning og gennemgang af koncentrationsrisiko.

NIST CSF 2.0 giver et styrings- og risikosprog gennem GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND og RECOVER. COBIT 2019 tilføjer styringsmål, ledelsespraksis, ejerskab, metrikker, assurance og proceskapabilitet.

Efterlevelsesfordelen er tydelig. Én kontrolleret PIMS-beviskæde kan understøtte GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 og kunde-due diligence.

Hvordan revisorer vil teste jeres PIMS

En PIMS-revision er ikke en dokumentgennemgang. Det er en øvelse i sporbarhed af bevismateriale.

Clarysecs P33 Audit and Compliance Monitoring Policy understøtter revisionsmodellen:

Organisationen skal vedligeholde et revisionsregister, der indeholder:

SMV-ækvivalenten, Audit and Compliance Monitoring Policy-sme, tilføjer et vigtigt kvalitetskrav til bevismateriale:

Metadata (f.eks. hvem der indsamlede det, hvornår og fra hvilket system) skal dokumenteres.

Dette metadatakrav er lille, men stærkt. Skærmbilleder uden kilde, dato, indsamler og systemkontekst er svagt bevismateriale. Kontrolleret revisionsbevis dokumenterer autenticitet, aktualitet og sporbarhed.

Sådan ser godt PIMS-bevismateriale ud

Antag, at en revisor udvælger én aktivitet: analyse af kundesupportsager.

Et svagt svar er: “Vi har en privatlivspolitik, og vores databehandleraftale dækker det.”

Et stærkt PIMS-svar er:

1. REG02 identificerer aktiviteten, systemer, PII-kategorier, registrerede, formål, rolleklassificering, opbevaring, overførsler, sikkerhedskontroller og ejer.
2. Rolleklassificeringen viser, om organisationen er dataansvarlig, databehandler eller begge dele for bestemte dele af arbejdsgangen.
3. Hvis organisationen er dataansvarlig, er behandlingsgrundlaget valideret og registreret i registeret over behandlingsgrundlag.
4. Hvis organisationen er databehandler, er kundeinstruksen og databehandleraftalens klausul linket.
5. REG04 viser screening af databeskyttelsesrisici før lancering eller væsentlig ændring.
6. REG08 identificerer sagsstyringsplatformen, leverandøren af AI-sammenfatning, underdatabehandlere, kontraktkontroller, revisionsrettigheder, sikkerhedsassurance, slettevilkår og hændelsesbistand.
7. Bevismateriale for adgangsstyring viser, at supportpersonalets adgang er rollebaseret og gennemgået.
8. Bevismateriale for logning og overvågning viser, at adgang til supportsager overvåges.
9. Bevismateriale for opbevaring og sletning viser, at sager slettes eller anonymiseres i henhold til den godkendte opbevaringsperiode.
10. REG12 indekserer alt understøttende bevismateriale med ejer og gennemgangsdato.
11. Revisionsregisteret viser, om aktiviteten blev testet, hvilke konstateringer der blev rejst, og om korrigerende handlinger blev lukket.

Det er sådan, ISO 27701:2025 bliver operationel. Den skaber en gentagelig ansvarlighedskæde.

Almindelige fejl i PIMS-bevismateriale

På tværs af SaaS-, fintech-, managed service- og B2B-teknologimiljøer optræder de samme mangler igen og igen.

For det første vedligeholder organisationer en RoPA eller et register over behandlingsaktiviteter, men klassificerer ikke roller som dataansvarlig og databehandler pr. aktivitet. Det skaber uklarhed om behandlingsgrundlag, dokumenterede instrukser og underdatabehandlerforpligtelser.

For det andet registreres behandlingsgrundlaget én gang og revalideres ikke, når formålet ændres. GDPR Article 6 kræver disciplin omkring formål og behandlingsgrundlag. Viderebehandling kan kræve forenelighedsvurdering og sikkerhedsforanstaltninger.

For det tredje oplister leverandørfortegnelser leverandører, men viser ikke kontraktkontrolfelter. En leverandørliste er ikke det samme som databehandlerstyring.

For det fjerde er DPIA-beslutninger uformelle. Teams siger “ikke høj risiko”, men kan ikke vise screeningskriterier, godkender, dato eller bevismateriale.

For det femte findes revisionsbevismateriale, men det er ukontrolleret. Skærmbilleder mangler metadata. Politikker er aktuelle, men registre er forældede. Kontrakter findes, men fornyede vurderinger ved kontraktfornyelse overses.

For det sjette fokuserer hændelsesprocesser på cybersikkerhedshændelser, men klassificerer ikke tydeligt brud på persondatasikkerheden. GDPR-analyse af brud på persondatasikkerheden, rapportering af væsentlige hændelser efter NIS2 og DORA-rapportering af IKT-hændelser skal koordineres, ikke dubleres.

Clarysec håndterer disse fejl ved at behandle PIMS-bevismateriale som et kontrolleret ledelsessystem, ikke som en panikløsning op til revision.

Tjekliste for beredskab til ISO 27701:2025 PIMS-bevismateriale

Brug denne tjekliste til jeres næste interne beredskabsgennemgang.

• Definér PIMS-omfang og interesserede parter, herunder kunder, tilsynsmyndigheder, registrerede, leverandører, intern revision og ledelse.
• Tildel PIMS-roller og ansvarsområder, herunder PIMS-ansvarlig, databeskyttelsesansvarlig, procesejer, Jura, Indkøb, Sikkerhed og Intern revision.
• Opret REG02-poster for hver PII-behandlingsaktivitet.
• Klassificér rollen som dataansvarlig, databehandler, fælles dataansvarlig eller underdatabehandler for hver aktivitet.
• Validér behandlingsgrundlag for behandling som dataansvarlig, før behandlingen begynder og før formålsændring.
• Registrér dokumenterede instrukser for aktiviteter som databehandler.
• Udløs REG04-screening af databeskyttelsesrisici før ny eller væsentligt ændret behandling.
• Gennemfør en DPIA, hvor risikoscreeningen viser forhøjet databeskyttelsesrisiko.
• Vedligehold REG08 for databehandlere, underdatabehandlere, IKT-leverandører og leverandører med relevans for databeskyttelse.
• Verificér kontraktfelter for omfang, varighed, formål, PII-kategorier, fortrolighed, sikkerhed, bistand, revisionsrettigheder, tilbagelevering, sletning og ophør.
• Vedligehold REG12 som PIMS-indeks over dokumenteret information.
• Kortlæg PIMS-bevismateriale til ISO/IEC 27001:2022-risikobehandling og SoA-noter.
• Krydshenvis til GDPR-, NIS2-, DORA-, NIST CSF 2.0- og COBIT 2019-forpligtelser, hvor det er relevant.
• Gennemfør årlige interne revisioner af efterlevelse vedrørende databeskyttelse, og opdater revisionsregisteret.
• Gennemgå åbne konstateringer, korrigerende handlinger, risikobeslutninger og ledelsesrapportering kvartalsvist.

P17 Data Protection and Privacy Policy understøtter revisionscyklussen:

En intern revision af efterlevelse vedrørende databeskyttelse skal gennemføres årligt eller ved væsentlige organisatoriske eller regulatoriske ændringer. Revisionens omfang skal omfatte:

Budskabet er enkelt. Efterlevelse vedrørende databeskyttelse overvåges; den antages ikke.

Opbyg jeres PIMS-model for bevismateriale med Clarysec

ISO 27701:2025 giver størst værdi, når den er integreret med ISO/IEC 27001:2022 og designet til at producere bevismateriale som standard. Det er sådan, databeskyttelse bliver en forsvarlig driftsmodel frem for et certificeringsprojekt.

Når en kunde beder om assurance vedrørende databeskyttelse, kan I vise bevismateriale. Når en tilsynsmyndighed spørger, hvorfor I behandlede data, kan I vise rolle, formål, behandlingsgrundlag, sikkerhedsforanstaltninger og godkendelser. Når en revisor spørger, hvordan I styrer underdatabehandlere, kan I vise REG08, kontraktkontroller, fornyede vurderinger og revisionsrettigheder. Når bestyrelsen spørger, om databeskyttelsesrisiko er under kontrol, kan I vise metrikker, åbne handlinger, revisionsresultater og ledelsens gennemgang.

Hvis jeres PIMS stadig er tungt på politikker og let på bevismateriale, så start med den kæde, revisorer vil følge:

REG02 fortegnelse over behandlingsaktiviteter, REG04 screening af databeskyttelsesrisici, REG08 styring af databehandlere og underdatabehandlere, REG12 indeks over bevismateriale, register over behandlingsgrundlag, revisionsregister og SoA-kortlægning.

Clarysec kan hjælpe jer med at operationalisere denne kæde gennem:

• Zenith Blueprint: An Auditor’s 30-Step Roadmap, især Step 2 for interessentkrav, Step 13 for risikobehandling og SoA-sporbarhed samt Step 23 for databeskyttelses-, leverandør- og organisatoriske kontroller.
• Zenith Controls: The Cross-Compliance Guide, hvor ISO/IEC 27002:2022-kontrollerne 5.2, 5.20, 5.21 og 5.34 anvendes som praktiske forankringspunkter for ansvarlighed vedrørende databeskyttelse.
• Clarysecs ISO 27701 PIMS-politiksæt, herunder Privacy Information Management System Policy, PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Processor, Subprocessor and Third-Party Privacy Management Policy og PIMS Documented Information and Evidence Management Policy.
• Enterprise- og SMV-understøttelse gennem P17 Data Protection and Privacy Policy, Data Protection and Privacy Policy-sme, Third-Party and Supplier Security Policy-sme, P33 Audit and Compliance Monitoring Policy og Audit and Compliance Monitoring Policy-sme.

Jeres næste handling er enkel: vælg én højrisiko-PII-behandlingsaktivitet, og gennemgå beviskæden fra REG02 til REG12. Hvis kæden bryder, er det jeres første forbedringsprojekt. Hvis den holder, udvid modellen på tværs af jeres fortegnelse over behandlingsaktiviteter.

Det er sådan, ISO 27701:2025 bliver mere end et certifikat. Den bliver beviset for GDPR-ansvarlighed.