Hva er kravene til ISO 27701:2025-styringssystemet?
ISO 27701:2025 bruker den harmoniserte strukturen (HS) , det felles rammeverket som deles av alle moderne ISO-styringssystemstandarder. Klausul 4 til 10 definerer kjernekravene som alle organisasjoner må oppfylle for å etablere, implementere, vedlikeholde og kontinuerlig forbedre et personverninformasjonsstyringssystem (PIMS).
En stor endring i 2025-utgaven er at ISO 27701 nå er en frittstående standard for styringssystemer . Den krever ikke lenger ISO 27001 som en forutsetning, noe som betyr at organisasjoner kan implementere og sertifisere mot ISO 27701:2025 uavhengig. Lær mer om dette i vår frittstående sertifiseringsveiledning.
Hvordan er klausulene strukturert?
De syv klausulene i styringssystemet følger en logisk rekkefølge fra forståelse av konteksten din til kontinuerlig forbedring. Sammen danner de Planlegg, Gjør, Sjekk, Handle (PDCA)-syklusen som driver effektiv personvernhåndtering.
| Klausul | Tittel | PDCA-fase | Sammendrag |
|---|---|---|---|
| Klausul 4 | Organisasjonens kontekst | Plan | Forstå organisasjonen din, interessenter, omfang og PIMS-grenser |
| Klausul 5 | Ledelse | Plan | Forpliktelse fra toppledelsen, personvernregler og organisatoriske roller |
| Klausul 6 | Planlegging | Plan | Vurdering av personvernrisiko, risikohåndtering, mål og endringsplanlegging |
| Klausul 7 | Kundestøtte | Do | Ressurser, kompetanse, bevissthet, kommunikasjon og dokumentert informasjon |
| Klausul 8 | Operasjon | Do | Driftsplanlegging, vurdering av personvernrisiko og gjennomføring av risikohåndtering |
| Klausul 9 | Evaluering av opptreden | Trykk her | Overvåking, internrevisjon og ledelsesgjennomgang |
| Klausul 10 | Forbedring | Handling | Kontinuerlig forbedring og korrigerende tiltak |
Hvordan er disse klausulene knyttet til kontrollene i vedlegg A?
Klausulene i styringssystemet (4 til 10) definerer hvordan du kjører PIMS-systemet ditt, mens kontrollene i tillegg A definerer hvilke personvernkontroller du implementerer. Klausul 6.1.3 (håndtering av personvernrisiko) er der de to kobles sammen: risikobehandlingsprosessen din bestemmer hvilke kontroller i tillegg A som er gjeldende, og disse er dokumentert i erklæringen om anvendelighet (SoA).
Kontrollene i vedlegg A er organisert i tre tabeller:
- Tabell A.1 — PII-kontrollerkontroller
- Tabell A.2 — PII-prosessorkontroller
- Tabell A.3 — Delte sikkerhetskontroller som gjelder for begge rollene
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hva er annerledes enn 2019-utgaven?
Kravene til styringssystemer i ISO 27701:2025 inkluderer flere viktige endringer sammenlignet med 2019-utgaven:
- Frittstående standard — Klausulene danner nå et komplett, selvstendig styringssystem. ISO 27001 er ikke lenger en forutsetning.
- Fokus på personvernrisiko - Klausul 6 refererer nå eksplisitt til vurdering og behandling av personvernrisiko, i stedet for å stole på prosessene for informasjonssikkerhetsrisiko fra ISO 27001
- Klima forandringer — Punkt 4.1 og 4.2 inkluderer nye krav om å vurdere klimaendringer som et relevant problem når man skal fastslå kontekst og interesserte parters forventninger
- Harmonisert strukturjustering — Klausulene er i samsvar med de nyeste HS-kravene, inkludert oppdatert terminologi og struktur
- Planlegging av endringer — Punkt 6.3 legger til et eksplisitt krav om å planlegge endringer i PIMS på en strukturert måte
For en detaljert sammenligning, se vår korrespondanseveiledning i tillegg F og hva som er nytt i ISO 27701:2025.
Hvem gjelder disse kravene for?
Klausulene i styringssystemet (4 til 10) gjelder for alle organisasjoner som implementerer ISO 27701:2025, uavhengig av om de fungerer som PII-kontrollører, PII-behandlere eller begge deler. Skillet mellom kontrollør- og databehandlerrollene er adressert gjennom kontrollene i vedlegg A, ikke klausulene i styringssystemet.
Dette gjør kravene gjeldende for organisasjoner av alle størrelser eller sektorer som behandler personopplysninger og ønsker å demonstrere effektiv personvernhåndtering gjennom sertifisering eller egenerklæring.
Start din gratis prøveperiode
Vil du utforske?
Registrer deg for din gratis prøveversjon i dag og få hands on med alle samsvarsfunksjonene som ISMS.online har å tilby
Hvorfor velge ISMS.online for samsvar med ISO 27701:2025?
ISMS.online tilbyr en integrert plattform for implementering av alle klausuler i ISO 27701:2025:
- Forhåndsbygd PIMS-rammeverk — Klausul-for-klausul-struktur med maler, retningslinjer og prosedyrer klare til tilpasning
- Risikostyring for personvern — Innebygd risikoregister med vurderings- og behandlingsarbeidsflyter i samsvar med klausul 6 og 8
- Policy- og dokumentkontroll — Versjonskontrollert dokumentasjon med godkjenningsarbeidsflyter for krav i punkt 7.5
- Revisjonsledelse — Planlegge, utføre og spore interne revisjoner med bevisinnsamling for punkt 9.2
- Gjennomgang av ledelsen — Strukturerte gjennomgangsmaler med sporing av innspill og handlingshåndtering for punkt 9.3
Spørsmål og svar
Kan ISO 27701:2025 implementeres uten ISO 27001?
Ja. 2025-utgaven er en frittstående standard for styringssystemer med sitt eget komplette sett med krav i klausul 4 til 10. Du trenger ikke lenger ISO 27001-sertifisering som en forutsetning. Organisasjoner som allerede har ISO 27001, kan imidlertid integrere begge systemene for en kombinert tilnærming til informasjonssikkerhet og personvernhåndtering.
Hva er forholdet mellom klausulene og kontrollene i vedlegg A?
Klausulene definerer hvordan du skal kjøre PIMS-systemet ditt (styring, risikostyring, dokumentasjon, revisjon), mens vedlegg A inneholder de spesifikke personvernkontrollene som skal implementeres. Klausul 6.1.3 kobler de to sammen gjennom risikobehandlingsprosessen, hvor du bestemmer hvilke kontroller i vedlegg A som gjelder basert på din personvernrisikovurdering.
Må alle sju klausulene implementeres fullt ut for sertifisering?
Ja. Klausul 4 til 10 inneholder obligatoriske krav (angitt med ordet «skal»). Alle krav må oppfylles for sertifisering. I motsetning til kontroller i vedlegg A, som kan utelukkes gjennom erklæringen om anvendelighet der det er berettiget, kan ikke klausulene om styringssystemer utelukkes.
Begynn med en strukturert gapanalyse for å sammenligne ditt nåværende PIMS mot disse kravene.
For en realistisk tidslinje, les den raskeste veien til ISO 27701:2025-sertifisering.
Din erklæring om anvendelighet dokumenterer hvilke kontroller som gjelder og hvorfor – en kritisk revisjonsleveranse.
Gå gjennom de vanligste implementeringsfeilene før du begynner.
