ISO/IEC 27701:2025 – Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance

На 14 октомври 2025 г. Международната организация по стандартизация (ISO) и Международната електротехническа комисия (IEC) публикуваха дългоочакваното ново издание на стандарта ISO/IEC 27701:2025 – глобалната рамка за системи за управление на поверителността (Privacy Information Management Systems, PIMS).
Новата версия бележи най-значителната трансформация от създаването на стандарта през 2019 г., превръщайки го от допълнение към ISO/IEC 27001 в напълно самостоятелен стандарт за управление.
 
Защо беше необходима ревизия?
✅ Промени в ISO/IEC 27001 и ISO/IEC 27002
След ревизиите на ISO/IEC 27001 и ISO/IEC 27002 през 2022 г., които обновиха структурата и контролните мерки за сигурността на информацията, беше ясно, че и стандартът за управление на личните данни трябва да се адаптира. Но настоящото издание на ISO/IEC 27701 отива много по-далеч от обикновена актуализация. То превръща PIMS в самостоятелна управленска рамка, която може да бъде внедрена и сертифицирана независимо от ISO/IEC 27001. Така организацията вече не е задължена първо да изгради система за информационна сигурност, за да управлява поверителността на личните данни.
Новата версия премахва изискването за задължително внедрена ISMS по ISO/IEC 27001, но запазва пълна съвместимост и възможност за интеграция с него.
✅ Повишаване на изискванията за защита на лични данни
През последните години режимите за защита на лични данни — като GDPR в Европейския съюз и други национални и международни закони — стават все по-строги, а технологиите навлизат в сфери, за които стандартите от 2019 г. дори не подозираха. Изкуственият интелект, облачните услуги, автоматизираното вземане на решения и трансграничните потоци от данни създадоха нови етични, правни и оперативни рискове. ISO/IEC 27701:2025 се стреми да даде инструментариум за тяхното овладяване.
✅ По-голяма гъвкавост и ориентация към независим PIMS
В първото издание ISO/IEC 27701 е структуриран като разширение (extension) на ISO/IEC 27001 – т.е. организацията трябва да има ISMS, преди да внедри PIMS. Новата версия премахва това ограничение, позволявайки PIMS да функционира като самостоятелна система за управление на лични данни.
 
Основни промени в структурата и подхода
Една от най-значимите промени е, че ISO/IEC 27701:2025 вече не се представя като разширение към ISO/IEC 27001 и ISO/IEC 27002, а като самостоятелен стандарт за управление на лични данни с възможност за сертификация. Това означава, че организации без съществуваща ISO 27001 сертификация също могат да внедрят PIMS и да кандидатстват за сертифициране само на ISO/IEC 27701.
Новото издание следва така наречената Harmonized Structure (HS; по-рано High-Level Structure) — унифицираната рамка за всички ISO системи за управление. Тя осигурява последователност в терминологията и документацията и улеснява интеграцията между различните системи като ISO 9001, ISO 14001, ISO/IEC 27001 и ISO/IEC 42001, което позволява на организациите да консолидират процесите си за качество, околна среда, информационна сигурност и поверителност в обща рамка.
Стандартът въвежда и изискване за разглеждане на въздействието на климатичните промени като част от контекста на организацията (клауза 4.1). Това включва оценка как екстремни метеорологични събития, дългосрочни климатични тенденции и свързани регулаторни изисквания могат да повлияят върху поверителността и сигурността на личните данни. Когато климатичните промени са преценени като релевантен фактор, организацията следва да планира съответни действия и да ги включи в процеса на оценка на рисковете (клауза 6.1).
Друга съществена промяна е преструктурирането на приложенията и контролите. Ако през 2019 г. те бяха разделени на отделни анекси за PII контролери и PII процесори, то в ISO/IEC 27701:2025 контролите са консолидирани и ясно разграничени по роли, с добавени общи мерки, приложими и за двата типа участници в обработката на данни. Новото приложение Annex B съдържа практически насоки за внедряване на контролните мерки. Тази по-ясна структура ще улесни както организациите, така и одиторите, които оценяват съответствието на PIMS.
✅ Нова структура на клаузи 4–10
Стандартът е преструктуриран с клауза 4 до клауза 10, следвайки общата рамка на ISO управленски системи – контекст на организацията, ръководство, планиране, подкрепа, работа, оценяване на резултатите, подобрение.
В ISO/IEC 27701:2019 само клаузите до 5 обхващаха PIMS-специфични изисквания, а останалите предоставяха насоки за имплементация. В новата версия всички тези клаузи са част от изискванията, т.е. няма избор за изключение, ако се претендира съответствие.
✅ Обединени приложения за контролите
Новата версия включва разширени и по-ясно структурирани приложения, които предлагат конкретни насоки за внедряване и съпоставяне с други стандарти и нормативни изисквания.

• Annex A — в ISO/IEC 27701:2025 контролите за PII контролери и PII процесори са консолидирани в нов Annex A, като са прегрупирани в три категории: за PII контролери (A.1), за PII процесори (A.2) и за двете роли (A.3). Контролите покриват теми като правно основание за обработване, прозрачност, права на субектите, сигурност на системите и управление на трети страни. Всяка организация трябва да оцени приложимостта им и да включи оправдания за всяко изключение в Декларацията за приложимост (Statement of Applicability), което вече е задължително изискване.
• Annex B — новото приложение Annex B предоставя подробни насоки за внедряване (implementation guidance) на контролите от Annex A. Той съдържа практически обяснения как да се идентифицират цели, законови основания, процеси за съгласие, оценка на въздействие върху поверителността (PIA) и управление на искания от субекти на данни. Приложението е особено полезно за интеграция на PIMS с ISO/IEC 27001 или ISO/IEC 27002, както и за разработване на вътрешни политики и процедури.
• Annex C представя таблица за съответствие между ISO/IEC 27701 и принципите от ISO/IEC 29100, които дефинират глобалната рамка за поверителност. Това позволява на организациите да демонстрират, че техните практики за защита на личните данни са в съответствие с признатите международни принципи – като законност, ограничение на целите, минимизация на данните, отчетност и прозрачност.
• Annex D е ключов за организации, работещи в или с Европейския съюз, тъй като показва съпоставяне между контролните изисквания на ISO/IEC 27701 и членовете на Общия регламент за защита на данните (GDPR). Това улеснява демонстрирането на съответствие и доказване на „доказуема отчетност“ пред надзорни органи и клиенти. Приложението е практическа основа за GDPR-ориентирани PIMS програми.
• Annex E осигурява съпоставка между ISO/IEC 27701 и стандартите за защита на лични данни в облачна среда (ISO/IEC 27018) и за защита на идентифицираща информация (ISO/IEC 29151). Тази интеграция е особено важна и полезна за доставчици на облачни услуги, SaaS платформи и международни компании, които обработват големи обеми от лични данни в мултирегулаторна среда.
• Annex F показва пряко съпоставяне между контролните изисквания на изданието 2025 и предходната версия 2019, което помага на вече сертифицираните организации да извършат ефективен GAP-анализ и да планират прехода. Той демонстрира кои контроли са запазени, обединени или премахнати, и предоставя отправна точка за актуализиране на политики, процедури и документация.

✅ Ревизиран контролен каталог
Контролният набор е преструктуриран и консолидиран, като вече включва единен каталог от контроли и контролни мерки за PII контролери (A.1), PII процесори (A.2) и общи мерки (A.3). Част от предишните контроли са премахнати или обединени, а нови са въведени за управление на рискове, изкуствен интелект (AI) и трансфери на данни.
Контролният набор отразява промените в ISO/IEC 27001:2022 и ISO/IEC 27002:2022.
✅ Засилен фокус върху управление, отчетност и висше ръководство
В съответствие с клауза 5 от HS, ISO/IEC 27701:2025 засилва ролята на висшето ръководство. Новата версия изисква още по-ясно ангажиране на висшето ръководство по въпросите на личните данни, интеграция на управлението на поверителността в стратегическата рамка и отчетност на всички нива.
ISO/IEC 27701:2025 изисква ръководството да интегрира управлението на поверителността в стратегическите цели на организацията и да осигури ресурси и отчетност по всички нива (клауза 5.1–5.3)
✅ Разширени изисквания за рискове, трансфери на данни и AI
В новото издание е въведена връзка с разработвания стандарт ISO/IEC 42001 за управление на системи с изкуствен интелект, с цел по-добра координация на рисковете, етиката и прозрачността при автоматизирано обработване на PII.
Контролите за трансгранични трансфери на данни, облачни услуги и връзки с трети страни получават по-строги изисквания и документация.
Стандартът се стреми към по-добра съвместимост с ISO/IEC 42001 (ръководство за управление на AI системи).
Стандартът изисква при оценката на рисковете да се разглеждат и аспекти, свързани с въздействието върху PII субектите, а не само оперативни рискове за организацията.
 
Какво означават промените за организациите?
✅ По-лесен достъп за по-малки организации
С премахването на изискването за внедрена система за сигурност на информацията съгласно ISO/IEC 27001), фирмите без такава система ще могат да внедрят PIMS самостоятелно и да кандидатстват за сертификация. Това намалява разходи и бариери за навлизане.
✅ Плавен преход за вече сертифицираните
Организациите с ISO/IEC 27701:2019 ще трябва да направят GAP-анализ и да приведат своите PIMS системи в съответствие с новите изисквания. Много от елементите ще се припокриват, особено ако имат интеграция с ISMS.
✅ Нови процеси и документация

• Преразглеждане на политиките, ролите и отговорностите;
• Промени в процедури за оценка и управление на рисковете;
• Подготовка на допълнителна документация за трансфери на данни, използване на AI, контрол над трети страни;
• Повишаване на осведомеността и обучение на персонала.

ISO/IEC 27701:2025 включва приложения с картирани връзки към GDPR, ISO/IEC 29100, ISO/IEC 27018 и ISO/IEC 29151 (Annexes C–E), а Annex F показва съответствието с предходната версия 2019.
✅ Сертификация и преходен период
Очаква се детайлите за сертификацията и преходния период към ISO/IEC 27701:2025 да бъдат оповестени от акредитационните органи и сертифициращите институции в следващите месеци.
 
Публикуването на ISO/IEC 27701:2025 бележи важен етап в развитието на стандартите за защита на личните данни. Ключовата трансформация е превръщането на PIMS в самостоятелна, независима и лесно интегрируема система с акцент върху поверителността, отчетността и технологичните предизвикателства като AI и трансгранични трансфери на данни.
За организациите това означава:

• ранно планиране и GAP-анализ
• преразглеждане на политики, процеси и документи
• обучение, промяна в ролите, ангажиране на висшето ръководство
• координация със сертифициращи органи за прехода.

 
ISO/IEC 27701:2025 утвърждава глобалния подход към управлението на поверителността чрез прозрачност, доказуема отчетност и интеграция с други системи за управление  ISO.