През 2025 г. Международната организация по стандартизация (ISO) и Международната електротехническа комисия (IEC) публикуваха новото издание на стандарта ISO/IEC 27701:2025 Сигурност на информацията, киберсигурност и защита на неприкосновеността. Система за управление на неприкосновеността на информацията. Изисквания и указания (Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance).
То заменя версията от 2019 г., която беше техническо разширение на ISO/IEC 27001 и ISO/IEC 27002.
Новото издание е изцяло преработено и вече представлява самостоятелен управленски стандарт, приложим както самостоятелно, така и в интеграция с други системи за управление.
 
Какво е ISO/IEC 27701:2025?
ISO/IEC 27701:2025 определя изисквания и насоки за създаване, внедряване, поддържане и непрекъснато подобряване на система за управление на неприкосновеността на информацията (Privacy Information Management System, PIMS).
Целта на PIMS е да подпомогне организациите при управление на рисковете, свързани с поверителността на личните данни (Personally Identifiable Information – PII), и да осигури съответствие с приложимите нормативни и договорни изисквания.
Стандартът може да се прилага от:

• PII контролери (администратори на лични данни) – организации, които определят целите и средствата за обработване на лични данни;
• PII процесори (обработващи лични данни) – организации, които обработват данни от името на други;
• както и организации, които изпълняват и двете роли едновременно.

 
Стандартът осигурява практическа структура, чрез която организациите могат:

• Да демонстрират съответствие с приложимите нормативни изисквания (като GDPR);
• Да идентифицират и управляват рискове, свързани с обработването на лични данни;
• Да прилагат политики, процедури и контроли за защита на поверителността.

 
Основна цел и обхват
Основната цел на ISO/IEC 27701:2025 е да предостави на организациите модел за систематично и прозрачно управление на личните данни.
Стандартът се прилага за:

• Всички видове организации – частни, обществени и неправителствени;
• Всички роли в обработването на данни – както администратори, така и обработващи;
• Всички етапи от жизнения цикъл на личните данни – събиране, съхранение, използване, споделяне и унищожаване.

Той поставя изисквания, свързани с разработването и поддържането на политика за поверителност, извършването на оценка и управление на рисковете и въздействието върху поверителността (Privacy Impact Assessment), както и с управлението на инциденти и непрекъснатото подобряване на системата за управление на поверителността на информацията.
 
Основни промени спрямо предходната версия (ISO/IEC 27701:2019)
Новото издание от 2025 г. е технически ревизиран и значително разширен стандарт. Основните промени включват:

1. Преработване като самостоятелен стандарт – предишната версия беше разширение на ISO/IEC 27001, докато новата версия може да се прилага независимо.
2. Обновена структура по модела “Annex SL” – по-голяма съвместимост с други ISO стандарти (напр. ISO 9001, ISO/IEC 27001 и други).
3. Разширен обхват на контроли – добавени са нови контроли и насоки, включително свързани с:
   • управление на риска от климатични промени,
   • облачни услуги и подизпълнители,
   • обработване на чувствителни категории данни.
4. Подобрено съответствие с GDPR и ISO/IEC 29100 – включени са нови приложения (Annex D и Annex E) с актуализирани съответствия към европейското законодателство и други стандарти за защита на личните данни.
5. Ясно разграничение между ролите на администратор и обработващ лични данни, с отделни таблици за контроли (Annex A.1 и A.2).

 
Структура на стандарта
ISO/IEC 27701:2025 следва логическа структура, базирана на цикъла PDCA (Plan–Do–Check–Act), и включва следните основни клаузи:

1. Обхват – определя предназначението и приложимостта на стандарта;
2. Нормативни препратки – ISO/IEC 29100 като базов терминологичен стандарт;
3. Термини и определения – дефинира ключови понятия като организация, риск, съответствие и т.н.;
4. Контекст на организацията – разбиране на вътрешни и външни фактори, заинтересовани страни и обхват на PIMS;
5. Лидерство – изисквания за ангажираност на ръководството и дефиниране на политика за поверителност;
6. Планиране – идентифициране на рискове и възможности, определяне на цели и планове за тяхното постигане;
7. Поддържане – ресурси, компетентност, осведоменост и комуникация;
8. Дейности – внедряване и управление на процесите, свързани с обработване на лични данни;
9. Оценяване на резултатността – вътрешен одит, преглед от ръководството, мониторинг и измерване;
10. Подобряване – корективни действия и постоянно усъвършенстване.

 
Приложенията (Annexes A–F) съдържат:

• A: Контроли за администратори и обработващи лични данни;
• B: Подробни насоки за внедряване;
• C: Съпоставка с ISO/IEC 29100 (Privacy Framework);
• D: Съпоставка с GDPR;
• E: Връзка с ISO/IEC 27018 и 29151;
• F: Съпоставка с предишната версия ISO/IEC 27701:2019.

 
Значение и ползи
Внедряването на ISO/IEC 27701:2025 носи редица стратегически и оперативни предимства за организацията:

• Съответствие с международни регулации – подпомага постигането на доказуема съвместимост с GDPR и други национални закони за защита на данните;
• Повишено доверие – демонстрира пред клиенти и партньори ангажираност към поверителността и етичната обработка на информация;
• Намаляване на рисковете – чрез систематично управление на заплахите за поверителността и сигурността на информацията;
• Интеграция с други системи за управление – позволява комбиниране с ISO/IEC 27001, ISO 9001, ISO 22301 и др.;
• Конкурентно предимство – сертифицираните организации печелят по-голямо доверие при международни търговски взаимоотношения.

 
ISO/IEC 27701:2025 е стратегически инструмент за всяка организация, която цели да изгради ефективна, прозрачна и устойчива култура на защита на личните данни. Той надгражда основите на информационната сигурност и ги обогатява с модерен подход към управлението на поверителността в съответствие със съвременните правни и етични изисквания.
Прилагането му не само осигурява съответствие, но и засилва корпоративната репутация и доверието на заинтересованите страни.