Hva er en ISO 27701:2025 gapanalyse?
En gap-analyse sammenligner din nåværende personvernpraksis med kravene i ISO 27701:2025 for å identifisere hvor du allerede overholder kravene og hvor det er behov for arbeid. Det er det viktigste første trinnet i ethvert implementeringsprosjekt, og gir grunnlaget for å planlegge, ressurssette og prioritere veien mot sertifisering.
Uten en gap-analyse risikerer organisasjoner to kostbare feil: å undervurdere arbeidet som er involvert (som fører til manglende tidsfrister og budsjettoverskridelser) eller å overvurdere områder der de allerede er i samsvar (og dermed kaste bort tid og ressurser).
Analysen dekker både kravene til styringssystemer i klausul 4 til 10 og de gjeldende personvernkontrollene i vedlegg A. Siden ISO 27701:2025 nå er en frittstående sertifiserbar standard , må gapanalysen din vurdere hele omfanget av krav uavhengig, ikke bare de personvernspesifikke tilleggene.
Hvordan gjennomfører du en gapanalyse trinn for trinn?
En grundig gapanalyse følger en strukturert prosess. Å forhaste seg gjennom den eller stole på antagelser undergraver verdien av hele øvelsen.
Trinn 1: Definer omfanget ditt
Før du vurderer noe som helst, bør du etablere grensene for PIMS-systemet ditt. Bestem hvilke deler av organisasjonen, prosessene, systemene og dataene som er omfattet. Vurder:
- Hvilke forretningsfunksjoner behandler PII?
- Hvilke typer PII behandler dere (kundedata, ansattdata, leverandørdata)?
- Fungerer du som en PII-kontrollør, databehandler eller begge deler?
- Hvilke steder, systemer og tredjeparter er involvert?
Trinn 2: Vurder kravene til styringssystemet (punkt 4 til 10)
Arbeid deg gjennom hver klausul i styringssystemet og vurder din nåværende posisjon opp mot alle krav. For hvert krav, registrer:
- Nåværende situasjon – Det du har på plass i dag
- Gap identifisert – Hva mangler eller er utilstrekkelig
- Modenhetsnivå — Ikke startet, delvis implementert, fullt implementert
- Tilgjengelig bevis – Hvilken dokumentasjon eller hvilke registre finnes
Trinn 3: Vurder kontrollene i vedlegg A
Evaluer hver kontroll i vedlegg A mot din nåværende praksis. Kontrollene er organisert i tre tabeller: kontroller for PII-behandlingsansvarlig, kontroller for PII-behandler og delte sikkerhetskontroller. Vurder kun kontrollene som er relevante for din rolle (behandlingsansvarlig, databehandler eller begge deler).
Trinn 4: Poengsett og kategoriser hull
Tildel en modenhetspoengsum til hvert krav og kontroll. Et enkelt trafikklyssystem fungerer bra:
| Resultat | Betydning | Typisk handling |
|---|---|---|
| Grønn | Fullt implementert og dokumentert | Vedlikehold og overvåking |
| Rav | Delvis implementert eller mangler bevis | Tett gapet – det kan være behov for dokumentasjon, formalisering eller ytterligere bevis |
| Rød | Ikke startet eller fundamentalt mangler | Planlegg og implementer fra bunnen av |
Trinn 5: Prioriter og planlegg
Ikke alle hull har like stor vekt. Prioriter basert på:
- Sertifiseringsrisiko — Manglende hull i obligatoriske krav (klausuler om styringssystemer) er mer kritiske enn hull i kontroller du kan utelate fra Anvendelseserklæring
- Forretningsrisiko — Mangler som eksponerer organisasjonen for regulatoriske påvirkninger straffer eller datainnbrudd bør håndteres raskt
- Innsats og avhengigheter — Noen hull krever kulturendring eller samarbeid med tredjeparter, noe som tar lengre tid
Resultatet av gapanalysen din bør være en prioritert implementeringsplan med tidslinjer, ressurskrav og tydelig eierskap for hvert handlingspunkt.
Start din gratis prøveperiode
Vil du utforske?
Registrer deg for din gratis prøveversjon i dag og få hands on med alle samsvarsfunksjonene som ISMS.online har å tilby
Hva bør du vurdere i hvert klausulområde?
Tabellen nedenfor gir en praktisk sjekkliste over hva du bør se etter når du vurderer hver klausul i styringssystemet under gapanalysen.
| Klausul | Nøkkelspørsmål å stille |
|---|---|
| Klausul 4: Kontekst | Har du identifisert alle interesserte parter? Er omfanget av PIMS-systemet ditt klart definert og dokumentert? Forstår du konteksten for behandling av PII? |
| Klausul 5: Ledelse | Finnes det en personvernerklæring godkjent av toppledelsen? Er roller og ansvar for personvern tydelig fordelt? Finnes det bevis på ledelsens engasjement? |
| Punkt 6: Planlegging | Har dere en metode for risikovurdering av personvern? Finnes det et risikoregister med gjeldende oppføringer? Finnes det en erklæring om anvendelighet? Er personvernmål definerte og målbare? |
| Klausul 7: Støtte | Er de ansatte kompetente i sine personvernroller? Finnes det et opplærings- og bevisstgjøringsprogram? Blir dokumentert informasjon kontrollert (versjonskontroll, godkjenning, distribusjon)? |
| Klausul 8: Drift | Planlegges og kontrolleres driftsprosesser? Utføres risikovurderinger med planlagte intervaller? Implementeres risikohåndtering som planlagt? |
| Klausul 9: Ytelse | Overvåker og måler dere effektiviteten til PIMS-systemet deres? Har det blitt gjennomført interne revisjoner? Har det blitt gjennomført en ledelsesgjennomgang? |
| Klausul 10: Forbedring | Finnes det en prosess for håndtering av avvik? Spores korrigerende tiltak til de er fullført? Finnes det bevis på kontinuerlig forbedring? |
Hva er vanlige hull etter organisasjonstype?
Ulike organisasjoner har en tendens til å støte på ulike gapprofiler. Å forstå dine sannsynlige svake områder før du starter hjelper deg med å fokusere vurderingen.
Organisasjoner som er nye innen styringssystemer
Hvis organisasjonen din aldri har implementert et ISO-styringssystem, kan du forvente betydelige hull i:
- Metodikk for risikovurdering og risikoregister
- Internrevisjonsprogram
- Ledelsens gjennomgangsprosess
- Dokumentert informasjonskontroll
- Korrigerende tiltak og kontinuerlige forbedringsprosesser
Dette er strukturelle krav som ligger til grunn for hele PIMS-systemet. De krever nye prosesser, ikke bare dokumentasjon av eksisterende praksis.
Organisasjoner som allerede har ISO 27001 på plass
Hvis du allerede har ISO 27001, er rammeverket for styringssystemet ditt i stor grad etablert. Typiske mangler fokuserer på personvernspesifikke områder:
- Dokumentasjon av kontekst for behandling av personopplysninger og formålsbegrensning
- Prosedyrer for håndtering av rettigheter for den registrerte
- Personvernspesifikke risikovurderingskriterier
- Definisjoner av roller for behandlingsansvarlig og databehandler
- Vurderinger av personvernkonsekvenser
Organisasjoner som går over fra ISO 27701:2019
Hvis du går over fra 2019-utgaven, bør gapanalysen din fokusere på de strukturelle endringene i 2025-utgaven. Se overgangsveiledningen vår for en fullstendig oversikt over endringene. Vanlige gap inkluderer:
- Oppdatert kontrollstruktur i vedlegg A (2025-utgaven omorganiserer kontrollene betydelig)
- Nye frittstående krav til styringssystemer som tidligere ble arvet fra ISO 27001
- Oppdatert risikovurderingstilnærming som gjenspeiler standardens frittstående natur
Organisasjoner med sterk GDPR-samsvar
GDPR -modne organisasjoner har ofte solide personvernpraksiser, men mangler kanskje den formelle styringssystemstrukturen som ISO 27701:2025 krever. GDPR-kartleggingen i tillegg D bidrar til å identifisere hvor eksisterende GDPR-arbeid oppfyller ISO 27701-kravene. Typiske hull inkluderer:
- Formalisert risikovurderingsmetodikk (i stedet for ad hoc DPIA-er)
- Internrevisjonsprogram som dekker hele PIMS-systemet
- Strukturert ledelsesgjennomgangsprosess med registrerte beslutninger
- Erklæring om anvendelighet for kontrollene i vedlegg A
Kom enkelt i gang med en personlig produktdemo
En av våre onboarding-spesialister vil veilede deg gjennom plattformen vår for å hjelpe deg med å komme i gang med selvtillit.
Hvordan akselererer ISMS.online gapanalysen din?
ISMS.online forvandler gapanalysen fra en manuell, regnearkbasert øvelse til en veiledet, strukturert vurdering som sparer tid og gir mer handlingsrettede resultater.
- Forhåndsbygd vurderingsrammeverk — Hver klausul og kontroll i tillegg A er allerede kartlagt i plattformen, slik at du kan vurdere mot hele standarden uten å lage din egen sjekkliste.
- Modenhetspoeng — Vurder hvert krav ved hjelp av en konsistent modenhetsmodell, der plattformen automatisk fremhever dine høyest prioriterte hull
- Sporing av gap-to-action — Konverter gapfunn direkte til handlingspunkter med eiere, forfallsdatoer og statussporing
- Beviskobling — Legg ved eksisterende dokumentasjon til kravene under vurderingen, slik at du vet nøyaktig hva du har og hva du fortsatt trenger
- Fremdriftsdashbord — Visualiser samsvarsstatusen din med et raskt blikk og spor forbedringer over tid
- Implementeringsmaler – For hvert gap du identifiserer, ISMS.online tilbyr maler for retningslinjer, prosedyrer og dokumentasjon for å avslutte saken raskere
For de neste trinnene etter gapanalysen, se vår veiledning for å komme i gang med ISO 27701:2025-implementeringen , som dekker hele reisen fra vurdering til sertifisering.
Hvorfor velge ISMS.online for din gapanalyse?
- Omfattende standarddekning — Vurder mot hver klausul og kontroll i tillegg A uten å bygge ditt eget vurderingsrammeverk fra bunnen av
- Veiledet vurderingsprosess — Trinnvis veiledning sikrer at ingenting blir oversett, selv om du gjennomfører din første gapanalyse i styringssystemet
- Øyeblikkelig prioritering — Automatisert poengsum fremhever de viktigste manglene dine, slik at du vet hvor du skal fokusere ressursene først
- Sømløs overgang til implementering — Funn av mangler konverteres direkte til implementeringsoppgaver innenfor samme plattform, noe som unngår datatap mellom vurdering og handling
- Støtte for flere rammeverk — Hvis du planlegger å implementere ISO 27701 sammen med ISO 27001 eller andre standarder, ISMS.online kartlegger overlappende krav slik at du kan vurdere én gang og oppfylle flere rammeverk
- Innebygd samarbeid — Tildel vurderingsdeler til forskjellige teammedlemmer og følg fremdriften sentralt
- Anbefalt av tusenvis av organisasjoner - ISMS.online har hjulpet selskaper i alle størrelser med å gjennomføre gapanalyser og oppnå ISO-sertifisering
Spørsmål og svar
Hvor lang tid tar en ISO 27701:2025 gapanalyse?
En typisk gapanalyse tar to til fire uker, avhengig av størrelsen og kompleksiteten til organisasjonen din. Mindre organisasjoner med et fokusert omfang kan fullføre den på én til to uker. Større organisasjoner med flere forretningsenheter, omfattende databehandling og eksisterende styringssystemer kan trenge fire uker eller mer.
Bør vi gjennomføre gapanalysen internt eller ansette en konsulent?
Begge tilnærmingene fungerer. Interne vurderinger er kostnadseffektive og bygger opp organisasjonskunnskap, men kan overse hull hvis teammedlemmene mangler erfaring med ISO-styringssystemer. En konsulent bidrar med ekspertise og objektivitet, men til en høyere kostnad. Mange organisasjoner bruker en hybrid tilnærming: gjennomfører den første vurderingen internt ved hjelp av en plattform som ISMS.online og engasjerer deretter en konsulent for å validere funnene.
Kan vi bruke vår ISO 27001 gap-analyse som et utgangspunkt?
Ja. Hvis du allerede har ISO 27001, er klausulene i styringssystemet i stor grad på plass, og gapanalysen din kan fokusere på de personvernspesifikke kravene og kontrollene i vedlegg A. Du bør imidlertid fortsatt gjennomgå klausulene i styringssystemet, ettersom ISO 27701:2025 inkluderer personvernspesifikke nyanser som ISO 27001 ikke dekker.
Hvilken leveranse skal gapanalysen produsere?
Det primære resultatet er en prioritert liste over mangler med modenhetspoeng, kartlagt til standardens krav og kontroller. Dette bør mates direkte inn i en implementeringsplan med tidslinjer, ressursestimater og eierskap. I ISMS.online genereres dette resultatet automatisk når du fullfører vurderingen.
Hvor ofte bør vi gjenta gapanalysen?
En fullstendig gapanalyse gjøres vanligvis én gang under den første implementeringen og igjen ved overgang mellom utgaver (f.eks. fra 2019 til 2025). Etter sertifisering tjener regelmessige interne revisjoner et lignende formål. Det er imidlertid god praksis å gjenta en fokusert gapanalyse årlig eller etter betydelige organisatoriske endringer for å sikre at PIMS-systemet ditt forblir oppdatert.
