Hvordan er vedlegg A strukturert i ISO 27701:2025?
Vedlegg A er normativt, som betyr at kontrollene er krav (ikke valgfri veiledning). Det er organisert i tre tabeller basert på organisasjonens rolle i behandling av personlig identifiserbar informasjon (PII):
| Bord | Gjelder | Kontroller | Fokusområder |
|---|---|---|---|
| Tabell A.1 | PII-kontrollere | 31 | Rettslig grunnlag, samtykke, hovedrettigheter knyttet til personopplysninger, personvern gjennom innebygd personvern, dataoverføringer |
| Tabell A.2 | PII-prosessorer | 18 | Kundeavtaler, behandlingsformål, håndtering av underleverandører, opplysninger |
| Tabell A.3 | Både kontrollører og prosessorer | 29 | Informasjonssikkerhetspolicyer, tilgangskontroll, hendelseshåndtering, kryptografi, utviklingssikkerhet |
Hver kontroll i vedlegg A har tilsvarende implementeringsveiledning i vedlegg B (f.eks. veiledning for kontroll A.1.2.2 Identifiser og dokumenter formål finnes i B.1.2.2). Organisasjoner må inkludere alle gjeldende kontroller i sin erklæring om anvendelighet, med begrunnelse for eventuelle unntak [punkt 6.1.3 e)].
Hva dekker tabell A.1? (PII-kontrollerkontroller)
Tabell A.1 inneholder 31 kontroller gruppert i fire mål. Disse gjelder for enhver organisasjon som bestemmer formålene og midlene for behandling av personopplysninger.
Vilkår for innsamling og behandling (A.1.2)
Mål: Å vise at behandlingen er lovlig, med et rettslig grunnlag i henhold til gjeldende jurisdiksjoner, og med klart definerte og legitime formål.
| Kontroll: | Tittel |
|---|---|
| A.1.2.2 Identifisere og dokumentere formål | Identifiser og dokumenter formål |
| A.1.2.3 Identifiser rettslig grunnlag | Identifiser det juridiske grunnlaget |
| A.1.2.4 Fastslå samtykke | Bestem når og hvordan samtykke skal innhentes |
| A.1.2.5 Innhente og registrere samtykke | Innhent og registrer samtykke |
| A.1.2.6 Vurdering av personvernkonsekvenser | Vurdering av personvernkonsekvenser |
| A.1.2.7 Avtaler med PII-behandlere | Kontrakter med PII-behandlere |
| A.1.2.8 Felles PII-kontrollør | Felles PII-kontrollør |
| A.1.2.9 Registrering av behandling av personopplysninger | Registreringer knyttet til behandling av personlig identifiserende informasjon |
Forpliktelser overfor PII-oppdragsgivere (A.1.3)
Mål: Å sikre at PII-oppdragsgivere får tilstrekkelig informasjon om behandlingen av sine PII og å oppfylle eventuelle andre gjeldende forpliktelser.
| Kontroll: | Tittel |
|---|---|
| A.1.3.2 Forpliktelser overfor PII-oppdragsgivere | Fastsettelse og oppfyllelse av forpliktelser overfor PII-oppdragsgivere |
| A.1.3.3 Informasjon for PII-prinsipper | Bestemme informasjon for PII-prinsipper |
| A.1.3.4 Tilveiebringelse av informasjon | Gi informasjon til PII-oppdragsgivere |
| A.1.3.5 Endre eller trekke tilbake samtykke | Tilby mekanisme for å endre eller trekke tilbake samtykke |
| A.1.3.6 Innsigelse mot behandling av personopplysninger | Tilbyr mekanisme for å protestere mot behandling av personopplysninger |
| A.1.3.7 Tilgang, retting eller sletting | Tilgang, retting eller sletting |
| A.1.3.8 Informere tredjeparter | PII-kontrollørers plikter til å informere tredjeparter |
| A.1.3.9 Levering av kopi av personlig identifiserende informasjon | Leverer kopi av behandlet personlig identifiserende informasjon |
| A.1.3.10 Håndtering av forespørsler | Håndtering av forespørsler |
| A.1.3.11 Automatisert beslutningstaking | Automatisert beslutningstaking |
Personvern gjennom innebygd personvern og personvern som standard (A.1.4)
Mål: Å sikre at prosesser og systemer er utformet slik at innsamling og behandling av personlig identifiserende informasjon er begrenset til det som er nødvendig for det identifiserte formålet.
| Kontroll: | Tittel |
|---|---|
| A.1.4.2 Grenseinnsamling | Begrens innsamling |
| A.1.4.3 Begrens behandling | Begrens behandling |
| A.1.4.4 Nøyaktighet og kvalitet | Nøyaktighet og kvalitet |
| A.1.4.5 Minimering av personlig identifiserende informasjon | Mål for minimering av personlig identifiserende informasjon |
| A.1.4.6 Avidentifisering og sletting | Avidentifisering og sletting av PII ved behandlingsslutt |
| A.1.4.7 Midlertidige filer | Midlertidige filer |
| A.1.4.8 Oppbevaring | Oppbevaring |
| A.1.4.9 Avhending | Avhending |
| A.1.4.10 PII-overføringskontroller | PII-overføringskontroller |
Deling, overføring og offentliggjøring av personlig identifiserende informasjon (A.1.5)
Mål: Å avgjøre om, og dokumentere når, personlig identifiserende informasjon deles, overføres eller utleveres i samsvar med gjeldende forpliktelser.
| Kontroll: | Tittel |
|---|---|
| A.1.5.2 Grunnlag for overføring av personlig identifiserende informasjon | Identifiser grunnlaget for overføring av personlig identifiserende informasjon mellom jurisdiksjoner |
| A.1.5.3 Land for overføring av personlig identifiserende informasjon | Land og internasjonale organisasjoner som personlig identifiserende informasjon kan overføres til |
| A.1.5.4 Registreringer av overføring av personopplysninger | Overføring av personopplysninger |
| A.1.5.5 Registrering av PII-avsløringer | Registrering av PII-avsløringer til tredjeparter |
Kom enkelt i gang med en personlig produktdemo
En av våre onboarding-spesialister vil veilede deg gjennom plattformen vår for å hjelpe deg med å komme i gang med selvtillit.
Hva dekker tabell A.2? (PII-prosessorkontroller)
Tabell A.2 inneholder 18 kontroller gruppert i fire mål. Disse gjelder for enhver organisasjon som behandler personopplysninger på vegne av en behandlingsansvarlig for personopplysninger.
Vilkår for innsamling og behandling (A.2.2)
| Kontroll: | Tittel |
|---|---|
| A.2.2.2 Kundeavtale | Kundeavtale |
| A.2.2.3 Organisasjonens formål | Organisasjonens formål |
| A.2.2.4 Markedsføring og reklame | Markedsføring og reklamebruk |
| A.2.2.5 Krenkende instruksjon | Krenkende instruksjon |
| A.2.2.6 Kundens forpliktelser | Kundens forpliktelser |
| A.2.2.7 Registrering av behandling av personopplysninger | Registreringer knyttet til behandling av personlig identifiserende informasjon |
Forpliktelser overfor PII-oppdragsgivere (A.2.3)
| Kontroll: | Tittel |
|---|---|
| A.2.3.2 Forpliktelser overfor PII-oppdragsgivere | Overhold forpliktelser overfor PII-oppdragsgivere |
Personvern gjennom innebygd personvern og personvern som standard (A.2.4)
| Kontroll: | Tittel |
|---|---|
| A.2.4.2 Midlertidige filer | Midlertidige filer |
| A.2.4.3 Retur, overføring eller avhending | Retur, overføring eller avhending av personlig identifiserende informasjon |
| A.2.4.4 PII-overføringskontroller | PII-overføringskontroller |
Deling, overføring og offentliggjøring av personlig identifiserende informasjon (A.2.5)
| Kontroll: | Tittel |
|---|---|
| A.2.5.2 Grunnlag for overføring av personlig identifiserende informasjon | Grunnlag for overføring av personlig identifiserende informasjon mellom jurisdiksjoner |
| A.2.5.3 Land for overføring av personlig identifiserende informasjon | Land og internasjonale organisasjoner som personlig identifiserende informasjon kan overføres til |
| A.2.5.4 Registrering av PII-avsløringer | Registrering av PII-avsløringer til tredjeparter |
| A.2.5.5 Forespørsler om utlevering av personopplysninger | Varsling om forespørsler om utlevering av personopplysninger |
| A.2.5.6 Juridisk bindende opplysninger | Juridisk bindende avsløringer av personlig identifiserende informasjon |
| A.2.5.7 Opplysninger om underleverandører | Opplysning om underleverandører som brukes til å behandle personlig identifiserende informasjon |
| A.2.5.8 Engasjering av underleverandører | Engasjering av en underleverandør for å behandle personlig identifiserende informasjon |
| A.2.5.9 Endring av underleverandør | Endring av underleverandør for behandling av personlig identifiserende informasjon |
Hva dekker tabell A.3? (Felles sikkerhetskontroller)
Tabell A.3 inneholder 29 kontroller som gjelder både for PII-kontrollører og PII-behandlere. Dette er informasjonssikkerhetskontroller med spesifikke krav til PII-behandling.
| Kontroll: | Tittel |
|---|---|
| A.3.3 Retningslinjer for informasjonssikkerhet | Retningslinjer for informasjonssikkerhet |
| A.3.4 Sikkerhetsroller | Informasjonssikkerhetsroller og ansvar |
| A.3.5 Klassifisering av informasjon | Klassifisering av informasjon |
| A.3.6 Merking av informasjon | Merking av informasjon |
| A.3.7 Informasjonsoverføring | Informasjonsoverføring |
| A.3.8 Identitetshåndtering | Identitetsadministrasjon |
| A.3.9 Tilgangsrettigheter | Tilgangsrettigheter |
| A.3.10 Leverandøravtaler | Ta opp informasjonssikkerhet innenfor leverandøravtaler |
| A.3.11 Hendelseshåndtering | Informasjonssikkerhet hendelseshåndtering planlegging og forberedelse |
| A.3.12 Respons på sikkerhetshendelser | Respons på informasjonssikkerhetshendelser |
| A.3.13 Juridiske og regulatoriske krav | Juridiske, lovpålagte, regulatoriske og kontraktsmessige krav |
| A.3.14 Beskyttelse av poster | Beskyttelse av poster |
| A.3.15 Uavhengig gjennomgang | Uavhengig gjennomgang av informasjonssikkerhet |
| A.3.16 Overholdelse av retningslinjer | Overholdelse av retningslinjer, regler og standarder for informasjonssikkerhet |
| A.3.17 Sikkerhetsbevissthet og -opplæring | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| A.3.18 Taushetserklæringer | Avtaler om konfidensialitet eller taushetsplikt |
| A.3.19 Klart skrivebord og klar skjerm | Oversiktlig skrivebord og oversiktlig skjerm |
| A.3.20 Lagringsmedier | Lagringsmedier |
| A.3.21 Sikker avhending av utstyr | Sikker avhending eller gjenbruk av utstyr |
| A.3.22 Brukerens endepunktenheter | Brukerendepunktsenheter |
| A.3.23 Sikker autentisering | Sikker autentisering |
| A.3.24 Informasjonssikkerhetskopiering | Sikkerhetskopiering av informasjon |
| A.3.25 Logging | Logging |
| A.3.26 Bruk av kryptografi | Bruk av kryptografi |
| A.3.27 Sikker utviklingslivssyklus | Sikker utviklingslivssyklus |
| A.3.28 Applikasjonssikkerhet | Krav til applikasjonssikkerhet |
| A.3.29 Sikker systemarkitektur | Sikker systemarkitektur og tekniske prinsipper |
| A.3.30 Utkontraktert utvikling | Utkontraktert utvikling |
| A.3.31 Testinformasjon | Testinformasjon |
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Hvordan fungerer vedlegg A og vedlegg B sammen?
Vedlegg A definerer kontrollmålene og kontrollerklæringene («hva»). Vedlegg B gir implementeringsveiledning («hvordan»). Hver kontroll i vedlegg A har en samsvarende vedlegg B-klausul med samme nummerering:
- Kontroll: A.1.2.2 Identifisere og dokumentere formål (Identifiser og dokumenter formål) → Veiledning på F.1.2.2
- Kontroll: A.2.2.2 Kundeavtale (Kundeavtale) → Veiledning på F.2.2.2
- Kontroll: A.3.3 Retningslinjer for informasjonssikkerhet (Retningslinjer for informasjonssikkerhet) → Veiledning på F.3.3
Når du implementerer en kontroll, les både kravet i vedlegg A og veiledningen i vedlegg B sammen. Vedlegg B er klassifisert som normativt, selv om det bruker ordlyden «bør» i stedet for «skal», men revisorer vil forvente at implementeringen din er i samsvar med intensjonen.
Hvordan forholder vedlegg A seg til andre vedlegg?
Standarden inkluderer fire tillegg for kartlegging som kobler kontroller i tillegg A til eksterne rammeverk:
- Vedlegg C — Tilordner kontroller til de 11 personvernprinsippene i ISO/IEC 29100
- Vedlegg D - Tilordner kontroller til GDPR-artikler (Artikkel 5–35 og 44–49)
- Vedlegg E — Tilordner kontroller til ISO/IEC 27018 (skyprosessorer) og ISO/IEC 29151 (PII-beskyttelse)
- Vedlegg F - Tilordner 2025-kontroller til ISO 27701:2019-ekvivalenter
Disse kartleggingene er informative (ikke normative), men de er uvurderlige for organisasjoner som trenger å demonstrere samsvar med flere rammeverk samtidig.
Hvorfor velge ISMS.online for ISO 27701:2025 tillegg A?
ISMS.online gir deg en strukturert, reviderbar måte å implementere alle kontroller i tillegg A:
Sammenlign hvordan ledende plattformer støtter implementering av Annex A i vår sammenligning av samsvarsprogramvare.
- Forhåndsbygde kontrollsett — Alle 78 kontrollene er kartlagt og klare for din erklæring om anvendelighet
- Beviskobling — Legg ved retningslinjer, risikovurderinger, revisjonsresultater og registre direkte til hver kontroll
- Rollebaserte visninger — Filtrer kontroller etter din rolle (behandlingsansvarlig, databehandler eller begge deler), slik at du bare ser det som gjelder
- Gap-sporing — Merk hver kontroll som implementert, delvis implementert eller ikke relevant med begrunnelse
- Kartlegging på tvers av rammeverk — Se hvordan hver kontroll tilordnes til GDPR, ISO 27001 og andre rammeverk du bruker
- Revisjonsklare eksporter — Generer din erklæring om anvendelighet og dokumentasjonspakker for eksterne revisorer
Spørsmål og svar
Må jeg implementere alle 78 kontrollene i vedlegg A?
Ikke nødvendigvis. Du må inkludere alle kontroller som er relevante for din rolle (behandlingsansvarlig, databehandler eller begge) i din erklæring om anvendelighet. Eventuelle unntak må begrunnes. Kontroller kan utelates der de ikke anses nødvendige i henhold til risikovurderingen din, eller der de ikke er påkrevd av gjeldende juridiske krav.
Hva er forskjellen mellom vedlegg A og vedlegg B?
Vedlegg A inneholder kontrollmålene og kontrollerklæringene (kravene). Vedlegg B gir implementeringsveiledning for hver kontroll. Vedlegg A er normativt (obligatorisk); veiledningen i vedlegg B er normativ og bruker «bør»-formulering for å gi implementeringsanbefalinger som revisorer forventer å se adressert.
Hvordan vet jeg hvilken tabell som gjelder for min organisasjon?
Hvis du bestemmer formålene og midlene for behandling av personlig identifiserende opplysninger, gjelder tabell A.1 (kontroller for behandlingsansvarlig). Hvis du behandler personlig identifiserende opplysninger på vegne av en annen organisasjon, gjelder tabell A.2 (kontroller for databehandler). Tabell A.3 (delte kontroller) gjelder for begge rollene. Mange organisasjoner fungerer som både behandlingsansvarlige og databehandlere for ulike behandlingsaktiviteter.
Hvordan samsvarer kontrollene fra 2025 med 2019-utgaven?
Vedlegg F inneholder en fullstendig korrespondansetabell i begge retninger. Tabell F.1 viser 2025-kontroller i forhold til deres tilsvarende verdier i 2019. Tabell F.2 viser 2019-kontroller i forhold til deres tilsvarende verdier i 2025. Se vår korrespondanseveiledning i vedlegg F for fullstendig korrespondanse.
Lær hvordan du dokumenterer kontrollvalgene dine i veiledningen vår for erklæring om anvendelighet.
Hver kontroll krever støttende bevis – se vår veiledning om krav til revisjonsbevis for hva revisorer forventer.
