Rollbaserad dataskyddsutbildning för ISO 27701 och GDPR

Sarah, informationssäkerhetschef på ett snabbväxande FinTech-bolag, förväntade sig att PIMS-revisionen enligt ISO/IEC 27701:2025 skulle granska policyer, registerposter och riskbedömningar. Redan dag två hade revisorn lämnat komfortzonen.

Han frågade inte om de anställda hade slutfört den årliga modulen ”Privacy 101”. Kontrollpanelen visade 98 procents genomförandegrad, vilket såg imponerande ut tills frågorna blev kirurgiskt precisa.

”Era utvecklare hanterar känslig finansiell PII och inför biometrisk autentisering. Vilken specifik utbildning har de fått om inbyggt dataskydd, uppgiftsminimering i API-design, säker loggning, begränsningar för testdata och särskilda kategorier av personuppgifter enligt GDPR?”

Sedan kom kundsupporten.

”De kan se transaktionshistorik. Hur utbildas de i att känna igen en begäran om tillgång till personuppgifter, verifiera identitet, undvika överflödiga ärendeanteckningar och eskalera oavsiktligt röjande?”

Sedan HR.

”De har precis infört ett nytt molnbaserat lönesystem som driftas utanför EU. Vilken dataskyddsutbildning fick de om leverantörsgranskning av personuppgiftsbiträden, gränsöverskridande överföringar, uppgifter om anställda och bevarande?”

Sarah hade policyer, ett register över behandlingsaktiviteter, leverantörsklausuler, rutiner för personuppgiftsincidenter och en definierad PIMS-omfattning. Det hon saknade var försvarbart underlag för att rätt personer hade utbildats för rätt dataskyddsansvar.

Det är denna lucka som får många dataskyddsprogram att fallera. ISO/IEC 27701:2025 och GDPR belönar inte organisationer för generisk medvetenhet. De kräver ansvarsskyldighet, kompetens och operativ bevisning. Om personer samlar in, använder, visar, lagrar, delar, raderar, övervakar eller stödjer system som innehåller PII behöver de veta vad som gäller för deras roll, när de ska eskalera och var underlag registreras.

Rollbaserad utbildning i dataskyddsmedvetenhet är det som gör ett PIMS verkligt.

Varför dataskyddsutbildning enligt en standardmodell misslyckas

De flesta organisationer genomför redan någon form av utbildning i säkerhetsmedvetenhet. Problemet är att dataskyddsskyldigheter är ojämnt fördelade i verksamheten.

En utvecklare behöver inbyggt dataskydd, datamaskering, pseudonymisering, säker kodning, minimering av loggning och medvetenhet om ändringars påverkan. En supportmedarbetare behöver identitetsverifiering, minimering av ärendeinformation, igenkänning av DSAR och eskalering vid oavsiktligt röjande. HR behöver dataskydd för anställda, hantering av särskilda kategorier av personuppgifter, konfidentialitet, bevarande och åtkomstbegränsningar. Upphandling behöver veta när en leverantör är ett personuppgiftsbiträde eller underbiträde. Incidenthanterare behöver kunna skilja en säkerhetsincident från en personuppgiftsincident.

Ett enda årligt GDPR-test kan inte skapa operativ kompetens i alla dessa roller.

GDPR gör detta tydligt genom Article 5, som definierar principer såsom laglighet, korrekthet, öppenhet, ändamålsbegränsning, uppgiftsminimering, riktighet, lagringsminimering samt integritet och konfidentialitet. Article 5(2) lägger till principen om ansvarsskyldighet, som kräver att personuppgiftsansvariga kan visa efterlevnad. Article 32 kräver lämpliga tekniska och organisatoriska åtgärder för säkerhet i behandlingen. Articles 4, 6 och 9 gör rolltydlighet ännu viktigare genom att definiera behandling, relationer mellan personuppgiftsansvarig och personuppgiftsbiträde, rättslig grund och särskilda kategorier av personuppgifter.

Den praktiska revisionsfrågan är enkel: kan ni visa att personalen förstår det PII-ansvar som hör till deras roll?

Clarysecs policyståndpunkt för små och medelstora företag är tydlig. I Informationssäkerhetsmedvetenhets- och utbildningspolicy – SME, klausul 1.3, anges:

”Denna policy stödjer efterlevnad av ISO/IEC 27001, NIS2, GDPR och DORA genom att integrera säkerhetsmedvetenhet i det dagliga arbetet och i rollbaserade förväntningar.”

Uttrycket ”det dagliga arbetet” är avgörande. Dataskyddsmedvetenhet är inte en affisch. Den måste synas vid insamling, åtkomst, delning, bevarande, radering, leverantörsintroduktion, incidentrapportering och ledningens genomgång.

Från medvetenhet till PIMS-kompetens

Clarysec behandlar dataskyddsutbildning som en styrningskontroll, inte som ett sidoprojekt inom lärande och utveckling. Ett försvarbart PIMS-utbildningsprogram har fyra lager:

1. Grundläggande dataskyddsmedvetenhet för all personal med PII-åtkomst eller PIMS-ansvar.
2. Rollbaserad utbildning för team vars beslut påverkar dataskyddsutfall.
3. Utlösarbaserad utbildning efter rolländringar, nya system, incidenter, revisionsiakttagelser eller regulatoriska ändringar.
4. Insamling av underlag i REG11, kopplat till målgrupp, roll, utbildningstyp, kravställt slutförandedatum, bekräftelser, registreringar av försenade aktiviteter, underlag för repetitionsutbildning och underlagsansvariga.

Detta följer strukturen i Zenith Blueprint, Clarysecs 30-stegs färdplan för att införa ett revisionsklart ledningssystem. I steg 4, ”Roller och ansvar i ISMS”, betonar Blueprint att roller ska kommuniceras så att personalen vet vem som äger vad, vem de ska kontakta och hur incidenter ska rapporteras.

Steg 5, ”Kommunikation, medvetenhet och kompetens”, är ännu tydligare:

”Identifiera erforderliga kompetenser: Fastställ vilka kunskaper och färdigheter som krävs för olika roller i ert ISMS … era utvecklare behöver känna till principer för säker kodning, ert HR-team bör veta hur personuppgifter hanteras säkert osv.”

Samma logik gäller direkt för ISO/IEC 27701:2025. Det går inte att tilldela PII-ansvar och hoppas att generisk medvetenhet täcker det. Kompetens måste identifieras, utbildas, mätas och beläggas med underlag.

Policy för dataskyddsutbildning, medvetenhet och kompetens omsätter detta till ett PIMS-arbetsflöde. Klausul 4.1.6 kräver:

”[Alla] Dataskyddsansvarig / PIMS-ansvarig SKA registrera tilldelad utbildningsmålgrupp, utbildningstyp, kravställt slutförandedatum och underlagsansvarig i REG11 innan varje årlig utbildningscykel börjar.”

Detta skapar en brygga mellan dataskyddsroller och revisionsunderlag. Revisorn behöver inte längre dra slutsatser om vem som borde ha utbildats. REG11 visar tilldelning, tidsfrist, slutförande, status för försenade aktiviteter, bekräftelse, repetitionscykel och ansvarig.

ISO/IEC 27002:2022-kontrollerna bakom dataskyddsutbildning

Dataskyddsutbildning blir granskningsbar när den knyts till kontroller, inte bara till slutförda kurser. I Zenith Controls mappar Clarysec rollbaserad dataskyddsutbildning mot tre centrala ISO/IEC 27002:2022-kontroller: 6.3, 5.2 och 5.34.

Zenith Controls klassificerar kontroll 6.3 som förebyggande, med stöd för konfidentialitet, riktighet och tillgänglighet, med cybersäkerhetskonceptet ”Protect”, den operativa förmågan ”Human Resource Security” samt styrnings- och ekosystemdomäner. Syftet är att förebygga dataskydds- och säkerhetsbrister som orsakas av mänskliga fel, otydliga förväntningar och rollförvirring.

Kontroll 6.3 är också beroende av relaterade kontroller:

För dataskydd är kontroll 5.34 ankaret. Zenith Blueprint, steg 23, förklarar det beteendekrav som ligger bakom integritet och skydd av PII:

”Personalen måste förstå vad PII är, hur missbruk rapporteras och vilka rutiner som är förbjudna, inte i juridiska termer utan som dagligt beteende.”

Den meningen fångar vad många PIMS-införanden missar. Dataskyddspolicyer kan vara juridiska artefakter, men dataskyddsutbildning måste vara operativ.

Bygg den rollbaserade PIMS-utbildningsmatrisen

Den mest användbara artefakten för styrning av dataskyddsutbildning är en rollbaserad utbildningsmatris. Den kopplar samman roll, PII-exponering, viktiga risker, obligatorisk utbildning, tidpunkt och underlag.

Policy för dataskyddsutbildning, medvetenhet och kompetens kräver detta innan PIMS-ansvar tilldelas. Klausul 4.3.1 anger:

”[Alla] Dataskyddsansvarig / PIMS-ansvarig SKA definiera rollbaserade dataskyddsutbildningsämnen i REG11 innan PIMS-ansvar tilldelas en roll.”

En praktisk matris bör se ut så här:

Denna matris stödjer även rolltydlighet för personuppgiftsansvariga och personuppgiftsbiträden. En SaaS-leverantör som agerar som personuppgiftsbiträde behöver utbildning om dokumenterade kundinstruktioner, anlitande av underbiträden, stöd vid personuppgiftsincidenter, återlämning och radering samt vidareförda avtalsförpliktelser. Samma organisation, när den agerar som personuppgiftsansvarig för HR och marknadsföring, behöver utbildning om rättslig grund, integritetsmeddelanden, samtycke där det är tillämpligt, registrerades rättigheter och bevarande.

Denna distinktion är viktig eftersom GDPR Article 4 skiljer mellan personuppgiftsansvariga och personuppgiftsbiträden, och ISO/IEC 27701:2025 förväntar sig att dessa dataskyddsroller är operativt förstådda.

Använd introduktion, årlig utbildning och utlösarbaserad utbildning

Ett PIMS-utbildningsprogram måste besvara tre tidsfrågor: vad händer när någon börjar, vad händer varje år och vad händer när risken förändras.

Policy för dataskyddsutbildning, medvetenhet och kompetens anger baslinjen. Klausul 4.2.1 kräver:

”[Alla] Dataskyddsansvarig / PIMS-ansvarig SKA tilldela grundläggande utbildning i dataskyddsmedvetenhet i REG11 inom 10 arbetsdagar efter introduktion för personal med åtkomst till PII eller PIMS-ansvar.”

Klausul 4.2.3 tillägger:

”[Alla] Dataskyddsansvarig / PIMS-ansvarig SKA tilldela årlig repetitionsutbildning i dataskydd i REG11 minst en gång var 12:e månad.”

SME-versionen av Informationssäkerhetsmedvetenhets- och utbildningspolicy förstärker kraven på aktualitet och praktisk relevans. Klausul 6.1.1 anger:

”Materialet ska vara praktiskt, anpassat till rollen och uppdateras årligen.”

Det mogna steget är utlösarbaserad utbildning. Klausul 6.5.1 i samma SME-policy anger:

”När arbetsroller ändras eller system införs kan riktad utbildning i medvetenhet krävas (t.ex. säker fildelning, nya dataskyddskrav och krav på uppgiftsminimering).”

Det är här dataskyddsutbildning blir riskbaserad. En supportmedarbetare som befordras till teamledare kan få ansvar för åtkomstgodkännanden. Ett nytt CRM kan införa exporter, integrationer, bevarandefält och påverkan på begäranden från registrerade. Ett nytt analysverktyg kan införa spårning, profilering eller samtyckesimplikationer. En ny löneleverantör kan införa krav på leverantörsgranskning av personuppgiftsbiträden och gränsöverskridande överföringar.

Utbildning bör utlösas av dessa förändringar, inte skjutas upp till den årliga repetitionsutbildningen.

Den koncernövergripande Informationssäkerhetsmedvetenhets- och utbildningspolicyn lägger till ett tydligt slutförandefönster. Klausul 6.1.3 anger:

”Rollbaserad utbildning (t.ex. administratörer, utvecklare, ledande befattningshavare) ska tilldelas och slutföras inom 60 dagar efter rolltilldelning eller höjning av systemprivilegier.”

För PII-roller med hög risk väljer många organisationer kortare tidsfrister, men principen är densamma: rollbaserad utbildning följer ansvar.

Hur REG11 stänger en revisionsiakttagelse

Överväg en realistisk internrevisionsiakttagelse:

”Kundsupportpersonal kan komma åt kunders PII och kan ta emot begäranden om tillgång till personuppgifter, men det finns inget underlag för rollbaserad dataskyddsutbildning för supportmedarbetare eller teamledare.”

Ett Clarysec-införandeteam skulle stänga iakttagelsen i fem steg.

Först skapar dataskyddsansvarig en REG11-utbildningsmålgrupp med namnet ”Customer Support PII Handlers”. Underlagsansvarig är Support Operations Manager. Utbildningstypen är ”Rollbaserad dataskyddsutbildning”. Slutförandefristen är 30 dagar. De kopplade ansvaren omfattar identitetsverifiering, minimering av ärendeinformation, säkra bilagor, igenkänning av DSAR och eskalering av misstänkta personuppgiftsincidenter.

För det andra mappar dataskyddsansvarig innehållet mot policykrav, inklusive klausul 4.3.1 i Policy för dataskyddsutbildning, medvetenhet och kompetens och klausul 6.1.3 i den koncernövergripande Informationssäkerhetsmedvetenhets- och utbildningspolicyn.

För det tredje använder utbildningen scenariobaserad testning:

För det fjärde registreras slutförandet i REG11: deltagare, roll, modul, tidsstämpel för slutförande, resultat på kunskapstest eller scenario, bekräftelse, status för försenade aktiviteter, datum för repetitionsutbildning och underlagsansvarig.

Klausul 4.4.1 i Policy för dataskyddsutbildning, medvetenhet och kompetens kräver:

”[Alla] Dataskyddsansvarig / PIMS-ansvarig SKA upprätthålla underlag för utbildningstilldelning, slutförande, försening, bekräftelse och repetitionsutbildning i REG11 för varje obligatorisk dataskyddsutbildningsaktivitet.”

För det femte stängs revisionsiakttagelsen med underlag: REG11-export, utbildningsmaterial, närvaroregister, testresultat, uppdatering av supportprocedur och intern eskaleringsväg.

Det avgörande är inte att supporten fick ett presentationsmaterial. Det avgörande är att rollspecifik kompetens tilldelades, testades, belades med underlag och kopplades till PIMS-skyldigheter.

Värde för efterlevnad av flera regelverk: GDPR, NIS2, DORA, NIST och COBIT

Rollbaserad dataskyddsutbildning är inte bara en fråga för ISO/IEC 27701:2025. Det är en kontroll för efterlevnad av flera regelverk.

GDPR ger dataskyddsinnehållet. Article 5(2) kräver ansvarsskyldighet. Article 32 kräver lämpliga tekniska och organisatoriska åtgärder för säkerhet i behandlingen. Article 39(1)(b) gör också medvetandehöjande insatser och utbildning av personal till en del av DPO:s övervakningsroll där ett DPO har utsetts.

Den koncernövergripande Informationssäkerhetsmedvetenhets- och utbildningspolicyn erkänner detta i klausul 11.4.1:

”Article 32 – Säkerhet i behandlingen: Kräver att personal som hanterar personuppgifter utbildas i att känna igen, förebygga och rapportera risker för personuppgifter. Denna policy säkerställer att personer som hanterar data och alla relevanta roller utbildas därefter.”

NIS2 tillför cyberresiliens. Article 20 kräver att ledamöter i ledningsorganet för väsentliga och viktiga entiteter genomgår cybersäkerhetsutbildning och uppmuntrar regelbunden utbildning för anställda. Article 21(2)(i) inkluderar grundläggande cyberhygien och cybersäkerhetsutbildning bland riskhanteringsåtgärder.

DORA tillför finanssektorspecifik precision. Article 13 kräver att finansiella entiteter upprätthåller utbildningsprogram för digital operativ motståndskraft som en del av HR-policyn. Article 5 placerar även styrningsansvar för IKT-risker på ledningsorganet. För finansiella entiteter gäller DORA direkt från den 17 januari 2025 och fungerar som den sektorspecifika unionsrättsakten där den överlappar NIS2:s skyldigheter avseende IKT-risker och incidentrapportering.

NIST CSF 2.0 ger ett organiserande lager. Funktionen GOVERN förväntar sig att rättsliga, regulatoriska, avtalsmässiga, dataskyddsrelaterade och medborgerliga fri- och rättighetsrelaterade skyldigheter förstås och hanteras. Funktionen PROTECT omfattar medvetenhet och utbildning genom PR.AT-01 för personalmedvetenhet och PR.AT-02 för specialiserad rollutbildning.

COBIT 2019 fokuserar på styrning och förmåga. APO07 stödjer hantering av personalresurser, BAI05.07 stödjer kompetensutveckling, APO13.01 stödjer säkerhetshantering och DSS06.08 stödjer hantering av dataskydd. Ur ett COBIT-perspektiv måste dataskyddsutbildning kopplas till personalens förmåga, styrningsmål, ledningens genomgång och korrigerande åtgärder.

Zenith Controls binder samman dessa trådar. Det mappar kontroll 6.3 mot förväntningar på utbildning och medvetenhet enligt GDPR, NIS2 Article 21(2)(i), DORA Article 13, NIST SP 800-53-kontroller för medvetenhet och utbildning samt COBIT-mål för kompetens och personalpolicy. Det mappar kontroll 5.2 mot ansvarsskyldighet enligt GDPR och DPO-uppgifter, organisatoriska åtgärder enligt NIS2, styrningsansvar enligt DORA, rolltilldelning enligt NIST och styrningsstrukturer enligt COBIT. Det mappar kontroll 5.34 mot säkerhet och inbyggt dataskydd enligt GDPR, säkerhetspolicyer enligt NIS2, datakonfidentialitet enligt DORA, dataskyddskontroller enligt NIST och dataskyddshantering enligt COBIT.

Verksamhetsnyttan är effektivitet. Ett styrt utbildningssystem kan producera underlag för flera ramverk i stället för att tvinga team att underhålla frikopplade efterlevnadsprogram.

Stödjande ISO-vägledning som stärker programmet

Rollbaserad PIMS-utbildning blir starkare när den kopplas till relaterad ISO-vägledning.

ISO/IEC 27005:2024 behandlar risker kopplade till mänskliga faktorer, inklusive phishing, social manipulation och oaktsamt beteende, som riskkällor som kräver behandling. Utbildning är därför en riskbehandling, inte en administrativ övning.

ISO/IEC 27035-1:2023 betonar medvetenhet för incidenthantering. Personal måste känna igen och rapportera incidenter, inklusive misstänkt missbruk av PII eller oavsiktligt röjande. För dataskydd är detta kritiskt eftersom tidsfrister för bedömning av personuppgiftsincidenter ofta börjar löpa när organisationen får kännedom om ett problem.

ISO/IEC 27017 stödjer rolltydlighet i molnmiljö. Molnteam behöver utbildning om delat ansvar, konfiguration, åtkomsthantering, ansvar för säkerhetskopiering, loggning, övervakning och eskalering.

ISO/IEC 27018 stödjer skydd av PII i publika molnmiljöer. Molnleverantörer och kunder bör utbilda personal om kundinstruktioner, otillåten användning, återlämning och radering av PII samt stöd vid personuppgiftsincidenter.

ISO/IEC 29100 tillhandahåller dataskyddsprinciper såsom samtycke, begränsning, transparens, minimering och ansvarsskyldighet. Dessa principer hjälper till att omsätta juridiskt språk i praktiskt beteende.

ISO/IEC 27014 stödjer styrningsdelegering och beslutsfattande, vilket är relevant när ledande befattningshavare, dataskyddsansvariga, riskägare och systemägare behöver olika utbildningsdjup.

ISO/IEC 27036-2 stödjer ansvar i leverantörsrelationer. Upphandling och leverantörsansvariga behöver dataskyddsutbildning eftersom biträdesavtal, kedjor av underbiträden, revisionsrätt och incidentklausuler påverkar faktisk risk.

Vad revisorer faktiskt testar

Ett dataskyddsutbildningsprogram är försvarbart endast om det klarar testning.

En ISO-orienterad revisor börjar med omfattning, roller, kompetens, medvetenhet och dokumenterad information. Revisorn kan göra urval bland nyanställda, utvecklare, privilegierade användare, HR-personal, supportmedarbetare, upphandlingsansvariga, uppdragstagare och incidenthanterare.

En PIMS-revisor testar dataskyddsinnehållet. Revisorn kan fråga om personalen förstår PII, igenkänning av DSAR, skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden, behandlingsinstruktioner, eskalering vid personuppgiftsincidenter och förbjudna rutiner.

En NIST-orienterad bedömare letar efter generell medvetenhet, specialiserad rollutbildning, utbildningsposter och uppföljda luckor. Bedömaren kan jämföra Current Profile och Target Profile samt granska åtgärdsplaner.

En COBIT-revisor utvärderar om utbildningen stödjer styrningsmål och personalens förmåga. Revisorn kan fråga om ledningen granskar slutförandegrader, försenad utbildning, trender från phishing-simuleringar, beteende vid incidentrapportering och korrigerande åtgärder.

En ISACA ITAF-orienterad revisor kan fokusera på prestationsunderlag: slutförandegrader, testresultat, intervjuer, simuleringsresultat, incidenttrender och ledningsåtgärder.

Zenith Controls fångar detta revisionsperspektiv för kontroll 6.3. Revisorer kan granska kursplaner, scheman, material, närvaroregister, slutförandeintyg, intervjuer med anställda, resultat från phishing-simuleringar och mätetal såsom slutförandegrad och testresultat. Ett praktiskt intervjutest är ofta avgörande: kan anställda förklara vad de skulle göra om de får ett misstänkt meddelande, misstänker obehörig PII-åtkomst eller tar emot en dataskyddsbegäran?

Underlag är inte bara ett kalkylblad. Det handlar om huruvida människor vet vad de ska göra.

Vanliga PIMS-avvikelser i utbildning

Clarysecs införanden visar återkommande luckor i dataskyddsutbildning:

• Utbildning finns, men den är generisk och inte rollbaserad.
• Personer som hanterar PII är inte tydligt identifierade.
• Uppdragstagare och tredje parter med PII- eller systemåtkomst utelämnas.
• Utvecklare får utbildning i säker kodning men inte i inbyggt dataskydd eller begränsningar för testdata.
• Supportteam utbildas i servicekvalitet men inte i igenkänning av DSAR eller oavsiktligt röjande.
• HR hanterar känsliga uppgifter om anställda utan underlag för rollspecifik dataskyddsutbildning.
• Upphandling förhandlar leverantörsavtal utan utbildning om personuppgiftsbiträden eller underbiträden.
• Incidenthanterare känner till cybereskalering men inte triage av personuppgiftsincidenter.
• Nyanställda slutför säkerhetsutbildning, men dataskyddsutbildning försenas.
• Rolländringar och nya system utlöser inte riktad utbildning.
• Slutförande följs upp, men underlag för förseningar, bekräftelser och repetitionsutbildning saknas.
• Ledningen får kontrollpaneler men agerar inte på luckor.

Policy för dataskydd och integritet tydliggör den förväntade ledningsdisciplinen. Klausul 4.7.3 kräver att organisationer ska:

”Upprätthålla sekretessavtal för personal och utbildning i dataskyddsmedvetenhet.”

För små och medelstora företag är Policy för dataskydd och integritet – SME mer direkt. Klausul 4.5.2 anger:

”Ska slutföra dataskyddsutbildning”

Klausul 7.2.2 kopplar utbildning till riskbehandling:

”Utbildning och medvetenhet ska användas som kontroller för att minska mänskliga fel vid datahantering”

Det är kärnan i frågan. Dataskyddsutbildning är en kontroll utformad för att reducera risk.

En praktisk checklista för införande

Ett försvarbart dataskyddsutbildningsprogram behöver inte bli byråkratiskt. Det behöver en tydlig operativ modell, bra underlag och regelbunden ledningsuppmärksamhet.

Använd denna checklista för att bygga eller förbättra programmet:

Zenith Blueprint stödjer denna livscykel genom ledarskap, omfattning, rolltilldelning, kompetens, kommunikation och genomförande av kontroller. I fasen Controls in Action, steg 15, ”People Controls I”, rekommenderas årlig utbildning, rollspecifika moduler, introduktion av nyanställda, simulerad phishing, bulletiner, teamgenomgångar, underlag för deltagande och att utbildningen utökas till uppdragstagare eller tredje parter med system- eller dataåtkomst.

Policypaketet ger styrningsbaslinjen. Den dataskyddsspecifika utbildningspolicyn ger REG11-arbetsflödet för underlag. Dataskyddspolicyerna definierar ansvar och förväntningar på medvetenhet. Zenith Controls tillhandahåller lagret för revision och mappning mellan efterlevnadskrav.

Tillsammans hjälper dessa verktyg en informationssäkerhetschef, dataskyddsansvarig, DPO, chef för regelefterlevnad eller HR-ägare att förklara varför ett utbildningsprogram stödjer förväntningar enligt ISO/IEC 27701:2025, GDPR, NIS2, DORA, NIST och COBIT.

Omsätt ansvarsskyldighet för dataskydd i dagligt beteende

Om ert ISO/IEC 27701:2025- eller GDPR-program bygger på generisk årlig medvetenhet, börja med ett enkelt test. Välj fem roller som berör PII: HR, kundsupport, utvecklare, administratörer och upphandling.

Fråga för varje roll:

• Vilken PII hanterar de?
• Vilka dataskyddsbeslut fattar de?
• Vilka misstag kan skapa GDPR- eller PIMS-risk?
• Vilken utbildning har de slutfört?
• Var finns underlaget?
• Skulle de veta hur de ska eskalera en misstänkt PII-incident i dag?
• Har utbildningen uppdaterats efter systemändringar, incidenter eller revisionsiakttagelser?

Om ni inte kan besvara dessa frågor utifrån dokumenterat underlag är utbildningsprogrammet ännu inte försvarbart.

Clarysec hjälper organisationer att gå från slutförandeprocent till mätbar kompetens. Använd Policy för dataskyddsutbildning, medvetenhet och kompetens, Informationssäkerhetsmedvetenhets- och utbildningspolicy, Informationssäkerhetsmedvetenhets- och utbildningspolicy – SME, Policy för dataskydd och integritet, Policy för dataskydd och integritet – SME, Zenith Blueprint och Zenith Controls för att bygga ett revisionsklart PIMS-utbildningsprogram som omsätter ansvarsskyldighet för dataskydd i dagligt beteende.

Ladda ner policypaketet, mappa era roller till REG11 och boka en Clarysec-bedömning för att visa att era medarbetare inte bara är medvetna om dataskydd. De är kompetenta, ansvarsskyldiga och redo för revision.