ISO IEC 27701-2025 PDF

Полное наименование и описание

Стандарт ISO/IEC 27701:2025 — Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance. Определяет требования и руководство по созданию, внедрению, поддержанию и постоянному улучшению Системы управления информацией о приватности (PIMS) для организаций — как контролёров, так и обработчиков персональных данных.

Аннотация

Редакция 2025 года переводит ISO/IEC 27701 из расширения ISO/IEC 27001 в самостоятельный стандарт управления приватностью с гармонизированной структурой (clauses 4–10), уточнёнными приложениями для ролей «контролёр» и «обработчик», а также расширенным практическим руководством по современным рискам (облачные сервисы, ИИ, IoT и отраслевые данные). Изменения призваны упростить сертификацию PIMS и повысить совместимость с современными требованиями по защите персональных данных.

Общая информация

• Статус: Published (опубликован).
• Дата публикации: 2025-10 (октябрь 2025).
• Организация-издатель: ISO и IEC (ISO/IEC JTC 1/SC 27).
• ICS / категории: 35.030 (информационная безопасность, кибербезопасность и защита приватности).
• Редакция / версия: Edition 2 (2025).
• Количество страниц: 64 страницы (приблизительно, официальное издание).

Информация по статусу и основным метаданным подтверждена публикацией ISO.

Область применения

Стандарт применим к организациям любого размера и сектора, которые собирают, обрабатывают, хранят или контролируют персональные данные (PII). Подходит для организаций, желающих внедрить отдельную систему управления приватностью (PIMS) или интегрировать её с существующими системами безопасности и соответствия; поддерживает соответствие законам о защите данных (например, GDPR, CCPA и т.п.) как управленческая рамка, но не заменяет юридические требования.

Ключевые темы и требования

• Переход к самостоятельному стандарту PIMS (возможность сертификации без предварительного сертификата ISO/IEC 27001).
• Гармонизированная структура менеджмента (clauses 4–10) — требования к контексту организации, руководству, планированию, поддержке, операционной деятельности, оценке эффективности и улучшениям.
• Консолидация и реструктуризация приложений/аннексов для ролей «контролёр» и «обработчик», уточнение обязанностей и разграничения ответственности.
• Усиление обязанностей руководства, отчетности и метрических показателей приватности; встроенный риск‑ориентированный подход к обработке PII.
• Актуализация охвата технологий и сценариев: облачные сервисы, обработка с применением ИИ, IoT, биометрические и медицинские данные.
• Появление сопутствующих требований к органам, проводящим сертификацию PIMS (новый стандарт ISO/IEC 27706:2025 для органов по сертификации).
• Сохранение принципов совместимости с ISO/IEC 27001 и ISO/IEC 27002, при этом упрощение требований для прямой сертификации PIMS.

Применение и пользователи

Основные пользователи — специалисты по информационной безопасности и защите персональных данных, руководители службы по защите данных (DPO), юристы по приватности, команды по соответствию и рискам, внешние аудиторы и органы сертификации, поставщики облачных и SaaS‑услуг, компании здравоохранения, финансов и e‑commerce. Стандарт полезен как организациям, начинающим PIMS «с нуля», так и тем, кто хочет отделить управление приватностью от общей ISMS или интегрировать их.

Связанные стандарты

ISO/IEC 27001:2022 и ISO/IEC 27002:2022 (информационная безопасность — базовая совместимость и сопоставление контролей); ISO/IEC 27706:2025 (требования к органам, осуществляющим аудит и сертификацию PIMS); другие нормативы по приватности и соответствию (GDPR, региональные законы о защите данных).

Ключевые слова

PIMS, приватность, персональные данные, PII, контролёр, обработчик, сертификация, управление рисками, Annex SL, ISO/IEC 27706, GDPR.

FAQ

В: Что это за стандарт?

О: Международный стандарт для системы управления информацией о приватности (PIMS), задающий требования и выдающий рекомендации по управлению персональными данными в организации.

В: Что он регулирует?

О: Регулирует организационные и управленческие требования к PIMS: контекст, руководство, планирование, операционную деятельность, оценку эффективности и постоянное улучшение, а также контролирующие и вспомогательные меры приватности для контролёров и обработчиков PII.

В: Кто обычно использует?

О: Организации, обрабатывающие персональные данные (коммерческие, государственные и некоммерческие), поставщики облачных услуг, поставщики SaaS, компании здравоохранения, финансовые организации, а также органы сертификации и аудиторы.

В: Он актуален или заменён?

О: ISO/IEC 27701:2025 — действующая редакция (опубликована в октябре 2025) и заменяет/обновляет прежнюю версию ISO/IEC 27701:2019, переводя стандарт в самостоятельную редакцию с обновлённой структурой и содержанием.

В: Это часть серии?

О: Да — тесно связан с семейством стандартов по информационной безопасности и приватности (в частности ISO/IEC 27000‑серии) и с новым документом для сертификации органов ISO/IEC 27706:2025; рекомендуется рассматривать его в связке с ISO/IEC 27001 и ISO/IEC 27002.

В: Какие ключевые слова?

О: PIMS, privacy, персональные данные, PII, контролёр, обработчик, сертификация, управление приватностью, риск‑ориентированный подход, Annex SL.