ISO 27701:2025 PIMS-bizonyítékok GDPR-auditokhoz

Csütörtökön 08:40 van, és Ava, a FinScale megfelelőségi vezetője éppen megnyitotta azt az e-mailt, amelyet előbb-utóbb minden gyorsan növekvő B2B SaaS vállalat megkap.

Egy jelentős német nagyvállalati ügyfél GDPR szerinti átvilágítási kérdőívet küldött 48 órás határidővel. Nem adatvédelmi szabályzatot kér. Nem elégszik meg egy tanúsítvánnyal. Bizonyítékokat kér.

Adja át a mi adatainkra vonatkozó adatkezelési tevékenységek nyilvántartását. Mutassa be az al-adatfeldolgozók bevonásához kapcsolódó átvilágítás bizonyítékait. Magyarázza el, hogyan igazolja a GDPR Article 28 szerinti kötelezettségeit. Azonosítsa, hogy a platform az egyes munkafolyamatokban PII-adatkezelőként, adatfeldolgozóként, közös adatkezelőként vagy al-adatfeldolgozóként jár-e el. Bizonyítsa, hogy az AI-támogatott ügyféltámogatási funkció jogalapját ellenőrizték. Mutassa be a törlési kötelezettségeket, az auditálási jogokat, az incidensek támogatását és a szerződéses kontrollokat.

Ava tudja, hogy a FinScale rendelkezik az alapokkal. A jogi területnél ott van az adatfeldolgozási szerződés. A biztonsági területnél ott van az ISO/IEC 27001:2022 alkalmazhatósági nyilatkozat. A termékcsapat rendelkezik élesítési ellenőrzőlistákkal. A beszerzésnél ott vannak a beszállítói szerződések. A megfelelőségi területnek van adatkezelési nyilvántartása, bár egyes bejegyzések elavultak. A probléma nem az, hogy nincsenek bizonyítékok. A probléma az, hogy a bizonyítékok szétszórtak, a szerepköri bizonytalanság nincs feloldva, és senki sem tud gyorsan végigkövetni egy adatkezelési tevékenységet a céltól a jogalapon, a kockázati döntésen, a beszállítói kontrollon, a biztonsági kontrollon, az auditbejegyzésen és a vezetőségi felülvizsgálaton át.

Ez a valódi elszámoltathatósági rés.

Az ISO 27701:2025 akkor válik igazán értékessé, amikor ezt a rést zárja. A Privacy Information Management System, vagyis PIMS, nem pusztán adatvédelmi tanúsításhoz szükséges szabályzatgyűjtemény. Olyan működési modell, amely megbízható bizonyítékokat állít elő. A CISO-k, megfelelőségi vezetők, adatvédelmi felelősök, auditorok és üzleti folyamatgazdák célja egyszerű: olyan PIMS kialakítása, amely bizonyítja a GDPR szerinti elszámoltathatóságot a PII-adatkezelők és PII-adatfeldolgozók számára, miközben támogatja az ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 és COBIT 2019 elvárásait is.

A GDPR szerinti elszámoltathatóság bizonyítékkérdés

A GDPR szerinti elszámoltathatóságot gyakran puszta dokumentációs követelményként értelmezik. Ennél jóval többet jelent.

A GDPR Article 5 meghatározza a személyes adatok kezelésének alapelveit, ideértve a jogszerűséget, tisztességességet, átláthatóságot, célhoz kötöttséget, adattakarékosságot, pontosságot, tárolási korlátozást, integritást és bizalmas jelleget. Az Article 5(2) az adatkezelőt teszi felelőssé azért, hogy képes legyen igazolni a megfelelést. Az Article 4 meghatározza a személyes adat, az adatkezelés, az adatkezelő, az adatfeldolgozó, az álnevesítés és a személyesadat-sértés fogalmait. Az Article 6 minden adatkezelői adatkezelési tevékenységhez jogalapot követel meg. Az Article 9 szigorúbb feltételeket ír elő a személyes adatok különleges kategóriáira. Az Article 28 az adatfeldolgozói kötelezettségeket és a szerződéses feltételeket szabályozza.

Ezek a kötelezettségek nem teljesíthetők pusztán egy nyilvános adatvédelmi tájékoztatóval. Az adatkezelési tevékenység szintjén kell bizonyítékokat biztosítani.

Egy gyakorlati ISO 27701:2025 szerinti PIMS-bizonyítékmodellnek a következő kérdésekre kell választ adnia:

• Milyen PII kezelése történik?
• Mi az adatkezelés célja?
• A szervezet adatkezelőként, adatfeldolgozóként, közös adatkezelőként vagy al-adatfeldolgozóként jár el?
• Milyen jogalap alkalmazandó, amikor a szervezet adatkezelő?
• Milyen dokumentált utasítás alkalmazandó, amikor a szervezet adatfeldolgozó?
• Mely rendszerek, beszállítók, al-adatfeldolgozók és helyszínek érintettek?
• Milyen adatvédelmi kockázati előszűrés vagy DPIA-döntés született?
• Mely biztonsági kontrollok védik a PII-t?
• Milyen bizonyíték igazolja a kontroll működését?
• Ki hagyta jóvá a maradványkockázatot, a kivételeket és a helyesbítő intézkedéseket?

A Clarysec megközelítése ezeket a kérdéseket szabályzati kötelezettségekké, nyilvántartásokká és visszakövethető bizonyítékobjektumokká alakítja. Az eredmény olyan PIMS, amely ellenáll az ügyféloldali átvilágításnak, a felügyeleti hatósági ellenőrzésnek, a belső auditnak, az ISO auditnak, a DORA-értékelésnek és az igazgatósági kontrollnak.

Kezdje a szerepek egyértelműsítésével: adatkezelő, adatfeldolgozó vagy mindkettő

A PIMS-audit sikertelenségének leggyorsabb módja, ha minden adatkezelési tevékenységet azonos módon kezelnek.

A GDPR szerint az adatkezelő határozza meg az adatkezelés céljait és eszközeit. Az adatfeldolgozó az adatkezelő nevében kezel személyes adatokat. Számos SaaS- és technológiai vállalat mindkét szerepet betölti. A FinScale adatfeldolgozó, amikor az ügyfélutasítások alapján ügyféloldali végfelhasználói adatokat hosztol. Adatkezelő a munkavállalói nyilvántartások, marketing érdeklődők, számlázási kapcsolattartók, toborzási adatok és egyes termékanalitikai adatok esetében.

Ez a különbségtétel határozza meg a bizonyítékkövetelményeket.

A Clarysec Privacy Information Management System Policy a szerepbesorolást működési követelménnyé teszi:

[Mindkettő] A folyamatgazda / üzleti folyamatgazda KÖTELES a szervezet PIMS-szerepét minden PII-kezelési tevékenységre vonatkozóan a REG02-ben besorolni az adatkezelési tevékenység megkezdése előtt.

Ez az egyetlen kötelezettség megváltoztatja az adatvédelmi működési modellt. A jogi felülvizsgálat többé nem az élesítést követő utólagos lépés. Minden folyamatgazdának be kell sorolnia a PIMS-szerepet az adatkezelés megkezdése előtt. Ez a besorolás határozza meg a későbbi bizonyítékláncot.

Adatkezelői tevékenységek esetén a Clarysec PII Processing Inventory and Lawful Basis Policy jogalap-ellenőrzést ír elő:

[Adatkezelő] Az adatvédelmi felelős / PIMS-vezető KÖTELES ellenőrizni a REG02-ben rögzített jogalapot az adatkezelői adatkezelés megkezdése előtt és minden célmódosítás hatálybalépése előtt.

A „Controller purpose and lawful basis records” szakaszból, 4.2.2 szabályzati pont.

Adatfeldolgozói tevékenységek esetén a bizonyítékok fókusza a dokumentált utasításokra, a szerződéses kontrollokra, az al-adatfeldolgozói irányításra, a biztonsági intézkedésekre, a segítségnyújtási kötelezettségekre, az incidensek támogatására, valamint a megszűnéskori visszaszolgáltatásra vagy törlésre helyeződik át. Itt válik kritikus jelentőségűvé a REG08.

A Clarysec Processor, Subprocessor and Third-Party Privacy Management Policy előírja:

[Adatkezelő] Az adatvédelmi felelős / PIMS-vezető KÖTELES ellenőrizni a REG08 adatfeldolgozói szerződéses kontrollmezőit, hogy azok a jóváhagyás előtt lefedjék az adatkezelés hatályát, időtartamát, célját, a PII-kategóriákat, a PII-alanyok kategóriáit, a titoktartást, a biztonságot, az al-adatfeldolgozók engedélyezését, a segítségnyújtást, az auditot vagy bizonyosságot, a visszaszolgáltatást, a törlést és a megszüntetést.

A „Contract and documented instruction controls” szakaszból, 4.3.2 szabályzati pont.

A REG02 rögzíti az adatkezelési tevékenységet és a szerepet. A REG04 előszűri az adatvédelmi kockázatot. A REG08 ellenőrzi az adatfeldolgozói, al-adatfeldolgozói és beszállítói kontrollokat. A REG12 jegyzékbe veszi a bizonyítékokat. Együtt hozzák létre a PIMS-bizonyítékláncot.

A PIMS-bizonyítéklánc, amelyet az auditorok elvárnak

Egy erős PIMS nem kéri a csapatoktól egymástól független táblázatok karbantartását. Meghatározza a bizonyítékobjektumokat, a felelősöket, az időzítést, a felülvizsgálati ciklusokat és az auditnyomokat.

A Clarysec PIMS Documented Information and Evidence Management Policy kimondja:

[Mindenki] Az adatvédelmi felelős / PIMS-vezető KÖTELES fenntartani a PIMS dokumentált információinak jegyzékét a REG12-ben a PIMS első közzététele előtt, majd azt követően negyedévente.

A REG12 megakadályozza, hogy az adatvédelmi program elavult PDF-ek mappájává váljon. Megmutatja az auditornak, milyen bizonyítékok léteznek, hol vannak tárolva, ki a felelősük, mikor történt az utolsó felülvizsgálatuk, és mely adatkezelési tevékenységeket, kockázatokat, kötelezettségeket vagy kontrollokat támogatják.

Ez a bizonyítéklánc természetes módon illeszkedik az ISO/IEC 27001:2022 kontextusra, érdekelt felekre, kockázattervezésre, operatív kontrollra, dokumentált információra, teljesítményértékelésre, belső auditra, vezetőségi felülvizsgálatra és folyamatos fejlesztésre vonatkozó követelményeihez. Kapcsolódik továbbá az ISO/IEC 27002:2022 olyan kontrolljaihoz, mint az 5.2 Információbiztonsági szerepek és felelősségek, az 5.20 Információbiztonság kezelése beszállítói megállapodásokban, az 5.21 Információbiztonság kezelése az IKT-ellátási láncban, az 5.34 A magánszféra és a PII védelme, valamint a 8.10 Információk törlése.

Az adatkezelői és adatfeldolgozói bizonyítékok nem azonosak

Ava német ügyfele nemcsak azt kérdezi, hogy a FinScale rendelkezik-e adatvédelmi szabályzatokkal. Az ügyfél annak bizonyítását várja, hogy a FinScale minden adatáramlásnál tisztában van a saját szerepével.

Adatkezelőként eljárva a FinScale-nek igazolnia kell, miért kezel adatokat. Például a munkavállalói bérszámfejtés támaszkodhat szerződéses szükségességre és jogi kötelezettségre. A marketing támaszkodhat hozzájárulásra vagy jogos érdekre, a kontextustól és a joghatóságtól függően. A toborzás megőrzési korlátokat, átláthatóságot és hozzáférés-szabályozást igényelhet. A bizonyíték nem pusztán a kiválasztott jogalap. Ide tartozik az ellenőrzött bejegyzés, a tájékoztató, a megőrzési szabály, a joggyakorlási eljárás és a kockázati döntés is.

Adatfeldolgozóként eljárva a FinScale-nek bizonyítania kell, hogy dokumentált ügyfélutasítások alapján jár el. A bizonyítékok közé tartozik a DPA, a termékkonfiguráció, a rendszernaplók, a biztonsági kontrollok, az al-adatfeldolgozói engedélyek, a segítségnyújtási eljárások, az adatsértés-támogatási folyamat, az auditálási jogok, valamint a törlés vagy visszaszolgáltatás bizonyítékai.

A Clarysec P17 Data Protection and Privacy Policy megerősíti, hogy az adatvédelmet be kell építeni az IBIR-be:

A szervezet köteles formális adatvédelmi irányítási keretrendszert fenntartani, amely az információbiztonság-irányítási rendszerbe (ISMS) integrálva biztosítja a szabályzat alkalmazását.

A „Governance Requirements” szakaszból, 5.1 szabályzati pont.

Az SME-változat, a Data Protection and Privacy Policy-sme, ugyanezt a bizonyítékfegyelmet tartja fenn:

Az adatvédelmi koordinátor köteles nyilvántartást vezetni valamennyi személyesadat-kezelési tevékenységről, beleértve az adatkategóriákat, a célt, a jogalapot és a megőrzési időket.

Továbbá előírja:

A jogalapot (pl. hozzájárulás, szerződés, jogi kötelezettség) dokumentálni kell az adatkezelési nyilvántartásban.

Vállalati programok esetében a P17 Data Protection and Privacy Policy felelősségi kört is hozzárendel:

A Jogi Osztály köteles fenntartani és frissíteni a Jogalap-nyilvántartást.

Gyakorlati példa: termékanalitika bevezetése

Vegyünk egy termékanalitikai funkciót, amely követi a felhasználói navigációt, a funkcióhasználatot, a munkamenet-metaadatokat, a szervezeti azonosítót, a felhasználói szerepkört és az eszközinformációkat. A termékcsapat használati betekintéseket szeretne. Az értékesítés bevezetési mutatókat kér. Az ügyfélsiker-csapat lemorzsolódási jeleket keres. A jogi terület azt kérdezi, hogy a FinScale adatkezelő vagy adatfeldolgozó-e. A biztonsági terület azt kérdezi, hogy a naplók tartalmaznak-e személyes adatokat. A beszerzés jelzi, hogy az analitikai beszállító al-adatfeldolgozókat vesz igénybe.

Egy erős PIMS ezt ismételhető munkafolyamattá alakítja.

1. REG02 létrehozása vagy frissítése az adatkezelés megkezdése előtt

Az üzleti folyamatgazda rögzíti a tevékenységet a REG02-ben. A bejegyzésnek tartalmaznia kell a célt, a PII-kategóriákat, a PII-alanyok kategóriáit, a rendszereket, a megőrzési időt, az adattovábbításokat, a biztonsági intézkedéseket, a szerepbesorolást, valamint a jogalapot vagy a dokumentált utasítást.

Ha az analitikát a FinScale saját termékfejlesztési céljaira használják, a FinScale e tevékenység tekintetében adatkezelő lehet. Ha az analitika kizárólag az ügyfél által konfigurált beállítások szerint, az ügyfél nevében történik, a FinScale adatfeldolgozó lehet. Sok SaaS-környezetben egy funkción belül mindkét szerep jelen lehet, az adatáramlástól és a céltól függően.

2. Jogalap vagy dokumentált utasítás ellenőrzése

Ha a FinScale az adatkezelő, az adatvédelmi felelős vagy a jogi terület az adatkezelés megkezdése előtt ellenőrzi a REG02-ben szereplő jogalapot. Ha különleges kategóriájú adatok is érintettek, a csapatnak a vonatkozó GDPR Article 9 szerinti feltételt és a kiegészítő védelmi intézkedéseket is azonosítania kell.

Ha a FinScale adatfeldolgozó, a bizonyítéknak az ügyfél dokumentált utasítására kell mutatnia. A kérdés ekkor az: hol található az utasítás, milyen adatkezelés engedélyezett, és hogyan bizonyítja a FinScale, hogy az utasítást követte?

3. REG04 adatvédelmi kockázati előszűrés indítása

A Clarysec Privacy Risk Assessment and DPIA Policy előírja:

[Mindkettő] A folyamatgazda / üzleti folyamatgazda KÖTELES adatvédelmi kockázati előszűrést indítani a REG04-ben, mielőtt a REG02-ben rögzített új vagy lényegesen módosított PII-kezelés megkezdődik.

A „Privacy risk screening” szakaszból, 4.1.1 szabályzati pont.

Az előszűrésnek értékelnie kell az érzékenységet, a nagyságrendet, a megfigyelési következményeket, az érintetti elvárásokat, a profilalkotást, az automatizált döntéseket, a határokon átnyúló adattovábbításokat, a beszállítói hozzáférést, a megőrzést és a kontrollhatékonyságot. Ha a kockázat emelkedett, a PIMS-nek DPIA-t kell indítania és rögzítenie kell a döntést.

4. REG08 frissítése beszállítókra és al-adatfeldolgozókra

Ha harmadik fél analitikai szolgáltató PII-t kap, a beszerzés, a jogi terület és az adatvédelmi terület frissíti a REG08-at. A szerződéses mezőknek le kell fedniük a hatályt, időtartamot, célt, PII-kategóriákat, titoktartást, biztonságot, al-adatfeldolgozói engedélyezést, segítségnyújtást, auditot vagy bizonyosságot, visszaszolgáltatást, törlést és megszüntetést.

A Third-Party and Supplier Security Policy-sme támogatja ezt a működési fegyelmet azzal, hogy előírja:

Az adatkezelési gyakorlat vagy az adatvédelmi megfelelés ellenőrzése, ha személyazonosításra alkalmas információk (PII) érintettek.

A P17 Data Protection and Privacy Policy szintén előírja:

A beszerzési, jogi és megfelelőségi csapatok kötelesek ellenőrizni a GDPR Article 28 szerinti megfelelést, és minden magas kockázatú beszállító esetében éves újraértékelést kell előírniuk.

5. Bizonyítékok jegyzékbe vétele a REG12-ben

Végül a PIMS-vezető frissíti a REG12-t a REG02-re, a jogalap-ellenőrzésre, a dokumentált utasításra, a REG04 előszűrésre, szükség esetén a DPIA-ra, a REG08 beszállítói bejegyzésre, a DPA-ra, a biztonsági felülvizsgálatra, a megőrzési döntésre, a termékjóváhagyásra és a felügyeleti bizonyítékokra mutató hivatkozásokkal.

Ez alakítja a beépített adatvédelmet auditfelkészültséget biztosító bizonyítékká.

A Zenith Blueprint használata a visszakövethetőség kialakításához

Annak ismerete, hogy milyen bizonyítékot kell gyűjteni, csak a kihívás egyik fele. A nehezebb rész egy olyan rendszer kialakítása, amely megbízhatóan előállítja ezeket.

A Zenith Blueprint: egy auditor 30 lépéses ütemterve ezt az ISMS Foundation & Leadership fázisban, a 2. lépésben, az érdekelt felek igényei és az IBIR alkalmazási területe témakörében keretezi. Az útmutató bemutatja, hogyan válnak az érdekelt felek elvárásai tervezett kontrollokká:

Ügyfelek
(B2B SaaS)
Adatbizalmasság, SLA szerinti rendelkezésre állás, adatsértés-bejelentés
24 órán belül
Hozzáférés-szabályozás és titkosítás bevezetése;
az incidensreagálási terv tartalmazza
az értesítési eljárásokat.

Továbbá tartalmazza:

4.2 intézkedési pont: Állítsa össze valamennyi jelentős érdekelt fél listáját, és rögzítse az információbiztonsággal kapcsolatos követelményeiket.

Az ISO 27701:2025 esetében ezt az intézkedési pontot ki kell terjeszteni az adatvédelemre. Az érdekelt felek közé tartoznak az ügyfelek, az érintettek, a szabályozó hatóságok, az adatfeldolgozók, az al-adatfeldolgozók, a munkavállalók, a termékcsapatok, a belső audit, a vezetés, a pénzügyi szektorbeli ügyfelek és az ágazati szabályozó hatóságok ott, ahol a NIS2 vagy a DORA alkalmazandó.

A kockázatkezelési fázis 13. lépésében, a kockázatkezelési tervezés és az alkalmazhatósági nyilatkozat kapcsán a Zenith Blueprint visszakövethetőséget javasol:

Jogszabályok kereszthivatkozása: ha bizonyos kontrollokat kifejezetten a GDPR, NIS2 vagy DORA megfelelés érdekében vezettek be, ezt rögzítheti a kockázati nyilvántartásban (a kockázati hatás indoklásának részeként) vagy az SoA megjegyzéseiben.

Ez hozza létre az auditorok által keresett aranyszálat: követelmény, kockázat, kontroll, felelős, bizonyíték, teszteredmény és fejlesztési intézkedés.

Hol illeszkedik a Zenith Controls a PIMS-modellbe

A Clarysec Zenith Controls: megfelelőségi keretrendszerek közötti útmutató segít a csapatoknak elkerülni a párhuzamos megfelelési programokat azáltal, hogy az ISO/IEC 27001:2022 és ISO/IEC 27002:2022 kontrolltémáit más szabványokhoz, auditelvárásokhoz és bizonyítékmintákhoz rendeli.

Az ISO 27701:2025 szerinti PIMS-bizonyítékoknál négy ISO/IEC 27002:2022 kontroll különösen fontos:

• 5.2 Információbiztonsági szerepek és felelősségek
• 5.20 Információbiztonság kezelése beszállítói megállapodásokban
• 5.21 Információbiztonság kezelése az IKT-ellátási láncban
• 5.34 A magánszféra és a PII védelme

Az 5.2 kontroll támogatja a szerepek egyértelműségét. A PIMS-nek meghatározott elszámoltathatóságra van szüksége a PIMS-vezető, az adatvédelmi felelős, a folyamatgazda, az üzleti folyamatgazda, a jogi terület, a beszerzés, a biztonsági terület, a belső audit és a felső vezetés tekintetében.

Az 5.34 kontroll támogatja az alapvető adatvédelmi kötelezettséget. A Zenith Blueprint a Controls in Action fázis 23. lépésében így magyarázza az auditelvárást:

Audit szempontból ez a kontroll egyre inkább előtérbe kerül. Az auditorok, szabályozó hatóságok és ügyfelek egyaránt látni akarják:

✓ Hol található PII,
✓ Milyen jogalap szabályozza az adatkezelést,
✓ Hogyan korlátozott a hozzáférés,
✓ Hogyan jelentik az incidenseket,
✓ És hogyan biztosítja a szervezet a jogok érvényesülését és az átláthatóságot.

A Zenith Blueprint így folytatja:

Az 5.34 kontroll nem puszta kipipálandó tétel. Ez az etikus gondnokság nyilatkozata.

Az 5.20 és 5.21 kontrollok a PIMS-bizonyítékokat a beszállítói és IKT-ellátási lánc irányításához kapcsolják. A Zenith Blueprint a Controls in Action fázis 23. lépésében felsorolja a beszállítói megállapodások témáit:

A beszállítói megállapodásokban jellemzően érintett fő területek:

✓ Titoktartási kötelezettségek, beleértve a hatályt, az időtartamot és a harmadik fél részére történő adatközlés korlátozásait;
✓ Hozzáférés-szabályozási felelősségek, például ki férhet hozzá az Ön adataihoz, hogyan kezelik a hitelesítő adatokat, és milyen megfigyelés működik;
✓ Technikai és szervezési intézkedések az adatvédelemre, titkosításra, biztonságos továbbításra, biztonsági mentésre és rendelkezésre állási vállalásokra;
✓ Incidensjelentési határidők és előírások, gyakran meghatározott időkeretekkel (pl. „értesítés 24 órán belül”);
✓ Auditálási jog, beleértve a gyakoriságot, a hatályt és a releváns bizonyítékokhoz való hozzáférést (pl. penetrációs tesztjelentések, SoA, tanúsítványok);
✓ Alvállalkozói kontrollok, amelyek előírják, hogy a beszállító egyenértékű biztonsági kötelezettségeket adjon tovább a downstream partnereinek;
✓ Szerződés megszűnésére vonatkozó rendelkezések, például adat-visszaszolgáltatás vagy megsemmisítés, eszközvisszavétel és fiókdeaktiválás.

Ez teremti meg a hidat a GDPR szerinti elszámoltathatóság és az IBIR-bizonyítékok között.

PIMS-bizonyítékok megfeleltetése GDPR, NIS2, DORA, NIST és COBIT 2019 szerint

Az adatvédelmi bizonyítékok ritkán csak egyetlen keretrendszert szolgálnak. Egy jól megtervezett PIMS bizonyítékobjektum több auditkérdésre is választ adhat.

A GDPR a jogalapon, a szerepek egyértelműségén, az adatfeldolgozói szerződéseken, a jogokon, az adatsértés-kezelésen és az igazolható megfelelésen keresztül rögzíti az adatvédelmi elszámoltathatóságot.

A NIS2 az alapvető és fontos szervezetek szempontjából releváns, ideértve bizonyos felhőszolgáltatókat, menedzselt szolgáltatókat, menedzselt biztonsági szolgáltatókat, adatközpont-szolgáltatókat és digitális infrastruktúrával foglalkozó szervezeteket. A NIS2 Article 20 a kiberbiztonsági irányítás felelősségét a vezető testületekre helyezi. Az Article 21 megfelelő technikai, operatív és szervezeti intézkedéseket követel meg, ideértve a kockázatelemzést, az incidenskezelést, az üzletmenet-folytonosságot, az ellátási lánc biztonságát, a biztonságos fejlesztést, az eredményesség értékelését, a képzést, a kriptográfiát, a HR-biztonságot, a hozzáférés-szabályozást, az eszközkezelést, valamint adott esetben az MFA-t vagy folyamatos hitelesítést. Az Article 23 jelentős incidensbejelentési elvárásokat vezet be, ideértve a 24 órán belüli korai figyelmeztetést és a 72 órán belüli incidensbejelentést.

A DORA a pénzügyi szervezetek és a pénzügyi ökoszisztémák IKT harmadik fél szolgáltatói szempontjából releváns. A DORA Articles 5 és 6 IKT-kockázatirányítást, szabályzatokat, stratégiát, tesztelést és folyamatos fejlesztést követelnek meg. Az Articles 17 to 19 az IKT-incidensek észlelését, besorolását, eszkalációját, jelentését, gyökérok-elemzését és a tanulságok levonását fedik le. Az Articles 28 to 30 IKT harmadik fél kockázati stratégiát, nyilvántartásokat, átvilágítást, szerződéses rendelkezéseket, auditálási jogokat, incidenssegítségnyújtást, adatvédelmet, kilépési tervezést és koncentrációs kockázat felülvizsgálatot követelnek meg.

A NIST CSF 2.0 a GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND és RECOVER funkciókon keresztül irányítási és kockázati nyelvezetet biztosít. A COBIT 2019 irányítási célkitűzéseket, irányítási gyakorlatokat, felelősséget, mutatókat, bizonyosságot és folyamatképességet ad hozzá.

A megfelelőségi előny egyértelmű. Egyetlen kontrollált PIMS-bizonyítéklánc támogatni tudja a GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 és az ügyféloldali átvilágítás követelményeit.

Hogyan fogják az auditorok tesztelni a PIMS-et

A PIMS-audit nem dokumentum-felülvizsgálat. Bizonyíték-visszakövethetőségi gyakorlat.

A Clarysec P33 Audit and Compliance Monitoring Policy támogatja az auditmodellt:

A szervezet köteles olyan auditnyilvántartást fenntartani, amely tartalmazza:

Az SME-megfelelője, az Audit and Compliance Monitoring Policy-sme, fontos bizonyítékminőségi követelményt ad hozzá:

A metaadatokat (pl. ki gyűjtötte, mikor és melyik rendszerből) dokumentálni kell.

Ez a metaadat-követelmény kicsi, de jelentős. A forrás, dátum, gyűjtő és rendszerkontextus nélküli képernyőképek gyenge bizonyítékok. A kontrollált auditbizonyíték igazolja a hitelességet, naprakészséget és visszakövethetőséget.

Milyen a jó PIMS-bizonyíték

Tegyük fel, hogy az auditor egy tevékenységet választ ki: ügyféltámogatási jegyek elemzése.

Gyenge válasz: „Van adatvédelmi szabályzatunk, és a DPA-nk lefedi.”

Erős PIMS-válasz:

1. A REG02 azonosítja a tevékenységet, rendszereket, PII-kategóriákat, PII-alanyokat, célt, szerepbesorolást, megőrzést, adattovábbításokat, biztonsági kontrollokat és felelőst.
2. A szerepbesorolás megmutatja, hogy a szervezet a munkafolyamat egyes részeinél adatkezelő, adatfeldolgozó vagy mindkettő.
3. Adatkezelőként a jogalapot ellenőrzik és rögzítik a Jogalap-nyilvántartásban.
4. Adatfeldolgozóként az ügyfélutasítást és a DPA-záradékot összekapcsolják.
5. A REG04 bemutatja az élesítés vagy lényeges változás előtti adatvédelmi kockázati előszűrést.
6. A REG08 azonosítja a jegykezelő platformot, az AI-összefoglalást végző beszállítót, az al-adatfeldolgozókat, a szerződéses kontrollokat, az auditálási jogokat, a biztonsági bizonyosságokat, a törlési feltételeket és az incidenssegítségnyújtást.
7. A hozzáférés-szabályozási bizonyíték igazolja, hogy az ügyféltámogatási személyzet hozzáférése szerepköralapú és felülvizsgált.
8. A naplózási és felügyeleti bizonyíték igazolja, hogy az ügyféltámogatási jegyekhez való hozzáférést nyomon követik.
9. A megőrzési és törlési bizonyíték igazolja, hogy a jegyeket a jóváhagyott megőrzési idő szerint törlik vagy anonimizálják.
10. A REG12 felelős és felülvizsgálati dátum feltüntetésével jegyzékbe veszi az összes alátámasztó bizonyítékot.
11. Az Auditnyilvántartás megmutatja, hogy a tevékenységet tesztelték-e, milyen megállapítások születtek, és lezárták-e a helyesbítő intézkedéseket.

Így válik az ISO 27701:2025 működésivé. Ismételhető elszámoltathatósági láncot hoz létre.

Gyakori PIMS-bizonyítékhiányosságok

SaaS-, fintech-, menedzselt szolgáltatási és B2B technológiai környezetekben ugyanazok a hiányosságok jelennek meg újra és újra.

Először: a szervezetek fenntartanak RoPA-t vagy adatkezelési nyilvántartást, de tevékenységenként nem sorolják be az adatkezelői és adatfeldolgozói szerepeket. Ez zavart okoz a jogalapok, a dokumentált utasítások és az al-adatfeldolgozói kötelezettségek körül.

Másodszor: a jogalapot egyszer rögzítik, de a cél megváltozásakor nem ellenőrzik újra. A GDPR Article 6 a célra és a jogalapra vonatkozó fegyelmet követel meg. A további adatkezelés összeegyeztethetőségi vizsgálatot és védelmi intézkedéseket igényelhet.

Harmadszor: a beszállítói nyilvántartások felsorolják a beszállítókat, de nem mutatják a szerződéses kontrollmezőket. A beszállítói lista nem azonos az adatfeldolgozói irányítással.

Negyedszer: a DPIA-döntések informálisak. A csapatok azt mondják, „nem magas kockázatú”, de nem tudják bemutatni az előszűrési kritériumokat, a jóváhagyót, a dátumot vagy a bizonyítékot.

Ötödször: léteznek auditbizonyítékok, de nincsenek kontrolláltan kezelve. A képernyőképekből hiányoznak a metaadatok. A szabályzatok naprakészek, de a nyilvántartások elavultak. A szerződések léteznek, de a megújításkori újraértékelések elmaradnak.

Hatodszor: az incidensfolyamatok a kiberbiztonsági eseményekre összpontosítanak, de nem sorolják be egyértelműen a személyesadat-sértéseket. A GDPR szerinti személyesadat-sértési elemzést, a NIS2 szerinti jelentős incidensjelentést és a DORA szerinti IKT-incidensjelentést össze kell hangolni, nem pedig párhuzamosítani.

A Clarysec ezeket a hiányosságokat úgy kezeli, hogy a PIMS-bizonyítékokat kontrollált irányítási rendszerként, nem pedig utolsó pillanatos auditmentésként kezeli.

ISO 27701:2025 PIMS-bizonyítékokra való felkészültségi ellenőrzőlista

Használja ezt az ellenőrzőlistát a következő belső felkészültségi felülvizsgálathoz.

• Határozza meg a PIMS alkalmazási területét és az érdekelt feleket, ideértve az ügyfeleket, szabályozó hatóságokat, érintetteket, beszállítókat, belső auditot és vezetést.
• Rendelje hozzá a PIMS szerepeket és felelősségeket, ideértve a PIMS-vezetőt, az adatvédelmi felelőst, a folyamatgazdát, a jogi területet, a beszerzést, a biztonsági területet és a belső auditot.
• Hozzon létre REG02-bejegyzést minden PII-kezelési tevékenységre.
• Sorolja be minden tevékenységnél az adatkezelői, adatfeldolgozói, közös adatkezelői vagy al-adatfeldolgozói szerepet.
• Ellenőrizze az adatkezelői adatkezelés jogalapját az adatkezelés megkezdése előtt és célmódosítás előtt.
• Rögzítse az adatfeldolgozói tevékenységekre vonatkozó dokumentált utasításokat.
• Indítson REG04 adatvédelmi kockázati előszűrést új vagy lényegesen módosított adatkezelés előtt.
• Végezzen DPIA-t, ha a kockázati előszűrés emelkedett adatvédelmi kockázatot jelez.
• Tartsa fenn a REG08-at adatfeldolgozókra, al-adatfeldolgozókra, IKT-beszállítókra és adatvédelmi szempontból releváns beszállítókra.
• Ellenőrizze a szerződéses mezőket a hatályra, időtartamra, célra, PII-kategóriákra, titoktartásra, biztonságra, segítségnyújtásra, auditálási jogokra, visszaszolgáltatásra, törlésre és megszüntetésre vonatkozóan.
• Tartsa fenn a REG12-t a PIMS dokumentált információinak jegyzékeként.
• Képezze le a PIMS-bizonyítékokat az ISO/IEC 27001:2022 kockázatkezelésre és SoA-megjegyzésekre.
• Hivatkozza keresztre a GDPR, NIS2, DORA, NIST CSF 2.0 és COBIT 2019 kötelezettségeit, ahol releváns.
• Végezzen éves belső adatvédelmi megfelelőségi auditokat, és frissítse az Auditnyilvántartást.
• Negyedévente vizsgálja felül a nyitott megállapításokat, helyesbítő intézkedéseket, kockázati döntéseket és vezetői jelentéseket.

A P17 Data Protection and Privacy Policy megerősíti az auditciklust:

Belső adatvédelmi megfelelőségi auditot kell végezni évente, illetve jelentős szervezeti vagy szabályozási változás esetén. Az audit hatályának tartalmaznia kell:

Az üzenet egyszerű. Az adatvédelmi megfelelést nyomon kell követni, nem feltételezni.

Építse fel PIMS-bizonyítékmodelljét a Clarysec segítségével

Az ISO 27701:2025 akkor a legértékesebb, ha integrálódik az ISO/IEC 27001:2022 rendszerrel, és alapértelmezés szerint bizonyítékok előállítására tervezték. Így válik az adatvédelem tanúsítási projekt helyett igazolható működési modellé.

Amikor egy ügyfél adatvédelmi bizonyosságot kér, bizonyítékot tud bemutatni. Amikor egy szabályozó hatóság megkérdezi, miért kezelt adatokat, be tudja mutatni a szerepet, a célt, a jogalapot, a védelmi intézkedéseket és a jóváhagyásokat. Amikor egy auditor azt kérdezi, hogyan irányítja az al-adatfeldolgozókat, be tudja mutatni a REG08-at, a szerződéses kontrollokat, az újraértékeléseket és az auditálási jogokat. Amikor az igazgatóság azt kérdezi, hogy az adatvédelmi kockázat kontroll alatt van-e, be tudja mutatni a mutatókat, a nyitott intézkedéseket, az auditeredményeket és a vezetőségi felülvizsgálatot.

Ha a PIMS még mindig szabályzatnehéz és bizonyítékszegény, kezdje azzal a lánccal, amelyet az auditorok követni fognak:

REG02 adatkezelési tevékenységek nyilvántartása, REG04 adatvédelmi kockázati előszűrés, REG08 adatfeldolgozói és al-adatfeldolgozói irányítás, REG12 bizonyítékjegyzék, Jogalap-nyilvántartás, Auditnyilvántartás és SoA-megfeleltetés.

A Clarysec a következőkön keresztül segít működésbe állítani ezt a láncot:

• Zenith Blueprint: egy auditor 30 lépéses ütemterve, különösen a 2. lépés az érdekelt felek követelményeihez, a 13. lépés a kockázatkezeléshez és SoA-visszakövethetőséghez, valamint a 23. lépés az adatvédelmi, beszállítói és szervezeti kontrollokhoz.
• Zenith Controls: megfelelőségi keretrendszerek közötti útmutató, az ISO/IEC 27002:2022 5.2, 5.20, 5.21 és 5.34 kontrolljait gyakorlati adatvédelmi elszámoltathatósági horgonyként használva.
• A Clarysec ISO 27701 szerinti PIMS-szabályzatcsomagja, beleértve a Privacy Information Management System Policy, PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Processor, Subprocessor and Third-Party Privacy Management Policy és PIMS Documented Information and Evidence Management Policy szabályzatokat.
• Vállalati és SME-támogatás a P17 Data Protection and Privacy Policy, Data Protection and Privacy Policy-sme, Third-Party and Supplier Security Policy-sme, P33 Audit and Compliance Monitoring Policy és Audit and Compliance Monitoring Policy-sme útján.

A következő lépés egyszerű: válasszon ki egy magas kockázatú PII-kezelési tevékenységet, és járja végig a bizonyítékláncot a REG02-től a REG12-ig. Ha a lánc megszakad, ez legyen az első fejlesztési projekt. Ha a lánc működik, terjessze ki a modellt a teljes adatkezelési nyilvántartásra.

Így válik az ISO 27701:2025 többé, mint tanúsítvány. A GDPR szerinti elszámoltathatóság bizonyítékává válik.