ISO/IEC 27701 var indtil i år et tillæg: et dokument, der fortalte en organisation med et ISO 27001-system, hvilke ekstra krav og foranstaltninger der også gjorde det til et ledelsessystem for privatlivsinformation. Anden udgave, ISO/IEC 27701:2025, udgivet i oktober 2025, ophæver og erstatter 2019-udgaven og er omskrevet som en selvstændig ledelsessystemstandard: egne kapitler 4 til 10, eget bilag A, eget certifikat efter ISO/IEC 27706:2025. Denne artikel læser den nye udgave række for række for en softwarevirksomhed, med det katalog, StandardOS fører over den, som data: 103 krav, hvert med det ISO 27001-kapitel eller den foranstaltning, det svarer til, det hul, 27701 kræver derudover, og de GDPR-artikler, dets registrering dokumenterer.

Hvad der ændrede sig: én standard, ét bilag A, to roller

2019-udgaven udvidede ISO 27001 ved henvisning, så et PIMS kunne ikke findes uden et ISMS. 2025-udgaven anvender den harmoniserede struktur, ISO bruger til alle sine ledelsessystemstandarder: kapitel 4 kontekst, 5 lederskab, 6 planlægning, 7 støtte, 8 drift, 9 præstationsevaluering, 10 forbedring, samme nummerering som ISO 27001:2022, med en privatlivspolitik, privatlivsmål og en privatlivsrisikovurdering, der læser risici for de mennesker, hvis oplysninger behandles, ikke kun risici for organisationen. Kapitel 6.1.3 udvælger foranstaltningerne fra bilag A gennem risikobehandlingen og skriver en erklæring om anvendelighed, præcis som 27001 gør med sit eget bilag A.

Bilag A er nu ét bilag i tre tabeller. Tabel A.1 bærer 31 foranstaltninger for PII-dataansvarlige i fire grupper: betingelser for indsamling og behandling, forpligtelser over for de registrerede, privatliv gennem design og som standard, og deling, overførsel og videregivelse af PII. Tabel A.2 bærer 18 foranstaltninger for PII-databehandlere i de samme fire grupper. Tabel A.3 bærer 29 informationssikkerhedsforanstaltninger, som begge roller gennemfører, hver en 27001-foranstaltning læst for personoplysninger. Bilag B giver implementeringsvejledning under samme nummerering, og bilag F kortlægger hver foranstaltning fra 2025 til dens modstykke fra 2019 og tilbage. For en softwarevirksomhed er begge roller til stede: den er dataansvarlig for egne kunde- og medarbejderoplysninger og databehandler for de oplysninger, kunderne lægger i produktet, så A.1, A.2 og A.3 gælder alle, og GDPR-bestemmelsen siger, hvilke forpligtelser der gælder for hver.

De 70 rækker, et 27001-system allerede halvt dækker

Halvfjerds af de 103 krav svarer til noget, et kørende ISO 27001-system allerede har, og ingen af dem dækkes fuldt ud af det. De 25 kapitler svarer til deres 27001-tvillinger: samme kontekst, lederskab, planlægning, støtte, drift, evaluering og forbedring, med et hul pr. kapitel. Privatlivspolitikken i 5.2 står ved siden af informationssikkerhedspolitikken og forpligter sig over for de berørte mennesker; risikovurderingen i 6.1.2 vurderer risici for de registrerede, hvilket er den ræsonnering, en konsekvensanalyse vedrørende databeskyttelse har brug for; den dokumenterede information i 7.5 føjer fortegnelsen over behandlingsaktiviteter, samtykkerne, analyserne og anmodningerne til det, 27001 styrer; ledelsens evaluering i 9.3 tager feedback fra de registrerede og myndigheder som input.

De 29 sikkerhedsforanstaltninger i tabel A.3 svarer én til én til foranstaltninger i bilag A til 27001:2022, og hullet er hver gang af samme art: 27001-foranstaltningen er ikke skrevet til personoplysninger, og 27701 kræver, at den er. Klassifikationen (A.3.5) nævner PII og dens særlige kategorier, hvor 27001 klassificerer efter fortrolighed; logningen (A.3.25) registrerer, hvem der tilgik hvilke personoplysninger hvornår, så et brud kan rekonstrueres og en anmodning besvares; backup (A.3.24) er underlagt opbevaring og sletning, så en genopretning ikke genindsætter slettede oplysninger; hændelsesstyringen (A.3.11 og A.3.12) planlægger og udfører brudanmeldelserne med deres lovbestemte frister; den sikre udviklingslivscyklus (A.3.27) omfatter privatliv gennem design og som standard; testinformation (A.3.31) udelukker personoplysninger som testdata, medmindre de er de-identificerede. De resterende 16 overensstemmelser ligger i tabel A.1 og A.2, hvor en privatlivsforanstaltning udvider en sikkerhedsforanstaltning: kontrakterne med databehandlere og kundeaftalen udvider leverandøraftalerne i A.5.20, fortegnelserne over behandling udvider beskyttelsen af registreringer i A.5.33, opbevaring, bortskaffelse og midlertidige filer udvider sletning af information i A.8.10, foranstaltningerne om underdatabehandlere udvider leverandørsikkerheden i A.5.19.

De 33 rækker, som ingen sikkerhedsforanstaltning frembringer

Treogtredive foranstaltninger har slet intet 27001-modstykke, 24 for dataansvarlige og 9 for databehandlere, og de er privatlivets substans: identificere og dokumentere formålet (A.1.2.2) og retsgrundlaget (A.1.2.3); fastlægge, indhente og registrere samtykke (A.1.2.4 og A.1.2.5); privatlivskonsekvensanalysen (A.1.2.6); aftalen mellem fælles dataansvarlige (A.1.2.8); de ti foranstaltninger i A.1.3 om forpligtelserne over for de registrerede, fra den information, der skal gives, til indsigt, berigtigelse, sletning, dataportabilitet, indsigelse og automatiske afgørelser; begrænsning af indsamling og behandling, rigtighed, minimering og de-identifikation (A.1.4.2 til A.1.4.6); grundlaget og landene for overførsler og registreringerne af overførsler (A.1.5.2 til A.1.5.4). På databehandlersiden: behandling kun til kundens formål og aldrig til markedsføring (A.2.2.3 og A.2.2.4), at gøre opmærksom på en ulovlig instruks (A.2.2.5), kundens forpligtelser og de registreredes (A.2.2.6 og A.2.3.2), grundlag og lande for overførsel (A.2.5.2 og A.2.5.3), og håndteringen af anmodninger om videregivelse (A.2.5.5 og A.2.5.6). En virksomhed, der tager udgangspunkt i sit ISO 27001-system, bygger disse fra bunden, og fortegnelsen over behandlingsaktiviteter er den første af dem: enhver anden privatlivsforanstaltning henviser tilbage til den.

De GDPR-artikler, foranstaltningerne dokumenterer

ISO/IEC 27701 kortlægger sig selv til GDPR i sit eget bilag, og kataloget læser kortlægningen fra den anden side: for hver foranstaltning, hvilken artikel i forordning (EU) 2016/679 dens registrering dokumenterer. Toogtredive artikler forekommer. Fjorten rækker dokumenterer fortegnelsen over behandlingsaktiviteter i artikel 30; atten dokumenterer databehandlerforpligtelserne i artikel 28, fra kundeaftalen til skift af underdatabehandler; treogtyve dokumenterer behandlingssikkerheden i artikel 32; seks dokumenterer brudanmeldelsen i artikel 33; fire dokumenterer konsekvensanalysen i artikel 35. Intet af det er en formodning om overensstemmelse: forordningen nævner ingen standard, et certifikat beviser, at processen findes, og tilsynsmyndigheden læser processen op mod teksten. Det, kortlægningen giver en softwarevirksomhed, er revisionssporet den anden vej: når en kundes spørgeskema eller en myndighed spørger, hvordan artikel 30 eller artikel 33 opfyldes, er svaret en foranstaltning med en registrering bag.

Hvad man skal gøre med det

Den rækkefølge, der virker, er katalogets egen. Først de 70 rækker, der udvider 27001-systemet, fordi dokumentationen allerede findes, og hullet er ét afsnit pr. række: nævn personoplysninger i klassifikationen, føj opbevaringsreglen til backup-politikken, føj anmeldelsestrinnene til hændelsesproceduren. Derefter de 33 rene privatlivsrækker, begyndende med fortegnelsen over behandlingsaktiviteter, retsgrundlaget pr. formål og konsekvensanalysen for de funktioner, der har brug for en; databehandlervilkårene og brudfristen er de to, kunderne spørger om først. Et certifikat efter 2025-udgaven er så tredjepartskontrollen af et system, der allerede besvarer forordningen, og det er også den rækkefølge, en køber under DORA, NIS2 eller GDPR læser det i.