Безплатна консултация
ISO/IEC 27701 — Система за управление на информацията за личните данни
Сигурност и устойчивост

ISO/IEC 27701:2025 Система за управление на информацията за личните данни

Доказвате с международен сертификат, че обработвате личните данни отговорно — като администратор, като обработващ или и двете.

Безплатна консултация Сигурност и устойчивост
ново издание
2025
самостоятелна система
PIMS
доказателства за съответствие
GDPR
валидност на сертификата
3 г.
Ново издание

ISO/IEC 27701:2025 вече е самостоятелен стандарт

Второто издание е публикувано през октомври 2025 г. Най-голямата промяна: 27701 вече не е разширение на ISO/IEC 27001 и може да се сертифицира самостоятелно.

Сертификатите по изданието от 2019 г. трябва да преминат към новото в преходен период, който сертифициращите органи обявяват до 2028 г. Изданието поставя по-силен акцент върху лидерството, управлението на поверителността и личните данни в AI и цифровите екосистеми.

01 · Какво е

Какво е ISO/IEC 27701

ISO/IEC 27701 определя изискванията към система за управление на информацията за личните данни (PIMS). Тя превръща принципите за защита на личните данни в работещи процеси — роли, отговорности, контроли и доказателства.

Стандартът разграничава задълженията на администратора и на обработващия лични данни и е съобразен с регламенти като GDPR.

От 2025 г. може да се внедрява самостоятелно или заедно с ISO/IEC 27001 — съчетанието е най-силното доказателство за сигурност и поверителност.

За кого е

Администратор, обработващ — или и двете?

ISO/IEC 27701:2025 разделя контролите според ролята ви. Изберете своята и вижте колко от 78-те контрола се отнасят до вас.

Как работите с личните данни?
60 / 78 приложими контрола
  • Общи контроли за сигурност 29
  • Контроли за администратора 31
  • Контроли за обработващия 18
Типични организации
  • Онлайн магазин
  • Клиника и лаборатория
  • Банка и застраховател
  • Училище и университет
  • Хостинг и облак
  • SaaS платформа
  • ТРЗ аутсорсинг
  • Колцентър
  • Счетоводна кантора
  • Маркетинг агенция
  • ИТ поддръжка
Пример от практиката

Пътят на един запис — от регистрацията до изтриването

Мария прави поръчка в онлайн магазин. Ето как PIMS защитава данните ѝ на всяка стъпка — и как се доказва това.

GDPR чл. 6, 13

Събиране

Мария се регистрира и поръчва.

  • Правно основание
  • Уведомление за поверителност
  • Отделно съгласие за маркетинг
Какво изисква

GDPR казва какво. ISO 27701 показва как.

Регламентът поставя задълженията. Стандартът ги превръща в процеси, отговорности и доказателства, които издържат проверка от КЗЛД.

GDPRЗадължениеКак го покрива ISO 27701
чл. 5 Принципи Политика за поверителност, минимизиране и срокове за съхранение
чл. 6–9 Правно основание Определено основание за всяка цел, управление на съгласията
чл. 12–22 Права на субектите Процедура, срокове и шаблони за достъп, коригиране, изтриване
чл. 24–25 Отчетност и защита на данните на етапа на проектиране Оценка на риска, лидерство и защита „по подразбиране“
чл. 28 Обработващи Договори, оценка и контрол на подизпълнителите
чл. 30 Регистър на дейностите Поддържан регистър като част от системата
чл. 32 Сигурност Общите контроли за сигурност, съвместими с ISO 27001
чл. 33–34 Нарушения на сигурността Процедура за инциденти — уведомяване до 72 часа
чл. 35 ОВЗД Оценка на въздействието за рисковите обработвания
чл. 44–49 Предаване извън ЕС Контрол на предаванията и подходящи гаранции
Какво получавате

Готова система, а не папка с документи

Всичко, което одиторът и КЗЛД могат да поискат — и което екипът наистина използва.

Безплатна консултация
PIMS · GDPR 8/8
  • Определени роли — администратор и/или обработващ
  • Регистър на дейностите по обработване
  • Политика за поверителност и уведомления
  • Оценка на риска за личните данни и ОВЗД
  • Процедура за правата на субектите с шаблони
  • Договори с обработващи и подизпълнители
  • Процедура за нарушения — 72 часа
  • Обучение на екипа и вътрешен одит
Свързани стандарти

Сигурност и поверителност — в една система

ISO 27701 вече се сертифицира самостоятелно, но работи най-силно в комбинация.

Най-честа комбинация ISO/IEC 27001 Сигурност на информацията — общите контроли на 27701 идват оттук. Закон NIS2 Киберсигурност по закон — инцидентите често засягат и лични данни. Устойчивост ISO 22301 Непрекъснатост — наличност и възстановяване на данните. ИТ услуги ISO/IEC 20000-1 Управление на ИТ услуги — за обработващите, които предоставят ИТ.
02 · Структура

Структурата на стандарта

Изданието от 2025 г. следва общата структура на системите за управление — клаузи 4–10 плюс контроли, разделени според ролята.

PDCA · Планирай

Клауза 4 — Контекст на организацията

Ролята ви — администратор, обработващ или и двете — заинтересовани страни, приложими закони, обхват.

PDCA · Планирай

Клауза 5 — Лидерство

Ангажираност на ръководството, политика за поверителност, роли и отговорности.

PDCA · Планирай

Клауза 6 — Планиране

Оценка и третиране на рисковете за личните данни и за субектите на данни, цели.

PDCA · Изпълни

Клауза 7 — Поддръжка

Ресурси, компетентност, осведоменост, комуникация, документирана информация.

PDCA · Изпълни

Клауза 8 — Дейност

Прилагане на контролите за поверителност и за правата на субектите на данни.

PDCA · Провери

Клауза 9 — Оценяване на изпълнението

Наблюдение и измерване, вътрешен одит, преглед от ръководството.

PDCA · Действай

Клауза 10 — Подобряване

Инциденти с личните данни, коригиращи действия, непрекъснато подобрение.

03 · Контроли

Какво покриват контролите

Контролите са разделени според ролята — администратор или обработващ — и превръщат изискванията на GDPR в ежедневна практика.

  1. 01

    Правно основание и цели

    Защо и на какво основание се обработва всяка категория данни.

  2. 02

    Права на субектите

    Достъп, коригиране, изтриване, преносимост — с процедури и срокове.

  3. 03

    Минимизиране и съхранение

    Само необходимите данни, само за необходимото време.

  4. 04

    Обработващи и предаване

    Договори, подизпълнители и предаване извън ЕС.

  5. 05

    Оценка на въздействието

    Оценка на въздействието (DPIA) при високорискови обработвания.

  6. 06

    Нарушения на сигурността

    Откриване, документиране и уведомяване в законовия срок.

04 · Ползи

Какво печелите

Доказателства за GDPR

Структурирани доказателства пред клиенти и надзорни органи.

Доверие на клиентите

Особено при обработване на данни от името на клиенти.

Предимство в търгове

Международно признат сертификат за поверителност.

Ред в данните

Знаете какви данни имате, къде са и кой има достъп.

Готовност при нарушение

Отработена процедура за реакция и уведомяване.

Синергия с ISO 27001

Общи процеси за риск, одит и подобрение.

05 · Процес

Пътят до сертификата

Шест етапа с ясен резултат на всеки от тях.

  1. 01

    Картиране на данните

    Регистър на дейностите по обработване и потоците от данни.

    1–2 седм.
  2. 02

    Роли и правни основания

    Администратор или обработващ, основания, цели.

    1–2 седм.
  3. 03

    Риск и DPIA

    Оценка на рисковете за субектите на данни.

    2–3 седм.
  4. 04

    Политики и процедури

    Права на субектите, съхранение, нарушения, обработващи.

    2–4 седм.
  5. 05

    Вътрешен одит

    Проверка и преглед от ръководството.

    1–2 седм.
  6. 06

    Сертификационен одит

    Етап 1 и Етап 2 от акредитиран орган.

    Етап 1 + 2
06 · Срок и цена

Срок и цена — от какво зависят

Цената зависи основно от обема и чувствителността на данните. Ето факторите — и калкулатор на срока.

01

Служители и локации

Определят обема на работа и одиторските дни.

02

Обем и чувствителност

Специалните категории данни изискват повече мерки.

03

Роля

Администратор, обработващ или и двете.

04

Наличие на ISO 27001

Съкращава значително времето за внедряване.

05

Предаване извън ЕС

Облачни услуги и доставчици в трети страни.

06

Такса за сертификация

Плаща се отделно на сертифициращия орган.

Ориентировъчен срок
Текущо ниво по GDPR
Локации
4–5 месеца до готовност за сертификационния одит

Ориентировъчно. Точен план и оферта — след безплатния анализ.

Безплатна консултация
01 Трябва ли ми ISO 27001, за да получа ISO 27701?

От изданието 2025 — не. ISO/IEC 27701 вече е самостоятелен стандарт. Двата обаче се допълват и често се внедряват заедно.

02 Сертификатът по 27701 означава ли съответствие с GDPR?

Не автоматично — съответствието с GDPR се оценява от надзорните органи. Сертификатът е силно доказателство, че имате работеща система за защита на данните.

03 Какво става със сертификатите по 2019?

Трябва да преминат към изданието от 2025 в преходния период, обявен от сертифициращите органи (до 2028 г.).

04 Подходящ ли е за малки фирми?

Да, особено ако обработвате данни от името на клиенти — например ИТ, счетоводни, маркетингови или HR услуги.

05 Колко време отнема?

Обикновено 2 до 5 месеца; по-малко, ако вече имате ISO 27001.

Още по темата
УслугиКонсултиране, одит и обучения Сигурност и устойчивост Стандарти ISO 22000:2018Система за управление на безопасността на храните

Първата консултация е безплатна

Разкажете ни за фирмата и целта си. Ще получите ясен план и оферта до 1 работен ден.

Заявете консултация