Per anni, ISO 27701 è sembrato un'estensione goffa incollata sopra ISO 27001. Utile? Sì. Coerente? Non proprio.
I responsabili della privacy hanno faticato con perimetri poco chiari, controlli obsoleti e la domanda costante: “Is this an add-on, or is this a real privacy management system?”
ISO 27701:2025 ha appena chiuso il dibattito.
Non si tratta di una revisione. È una riprogettazione.
L'edizione 2025 trasforma ISO 27701 in un sistema di gestione a tutti gli effetti, con le proprie clausole, i propri controlli e il proprio percorso di certificazione.
È moderno, allineato alle realtà attuali della privacy e della sicurezza, e finalmente strutturato come ogni altro standard ISO per i sistemi di gestione.
Se si gestisce un PIMS oggi, questo aggiornamento riguarda:
- il modello di governance
- i ruoli
- la SoA
- i controlli
- i contratti
- la gestione dei terzi
- gli audit
- la roadmap per i prossimi 12-18 mesi
Analizziamo i cambiamenti in modo chiaro, pratico e senza il gergo degli organismi di normazione.
1. ISO 27701 è ora un sistema di gestione autonomo
Questo è il cambiamento principale, dichiarato esplicitamente nella Prefazione:
“The document has been redrafted as a standard autonomo per i sistemi di gestione.”
Nessuna dipendenza da ISO 27001. Nessun modello di estensione. No more “you need 27001 certification first.”
Cosa significa in pratica
- È possibile certificarsi rispetto a ISO 27701 direttamente.
- La governance della privacy diventa indipendente dalla funzione di sicurezza delle informazioni.
- Le organizzazioni possono costruire un PIMS anche senza un ISMS completo.
- Gli auditor tratteranno la 27701 con lo stesso rigore della 9001 o della 27001.
La privacy è ora una disciplina di primo livello; non più un'appendice della sicurezza.
2. Clausole completamente ridisegnate (4-10)
L'intera struttura rispecchia ora l'Harmonized Management System Framework di ISO:
- Contesto
- Leadership
- Pianificazione
- Supporto
- Attività operative
- Valutazione delle prestazioni
- Miglioramento
Questo non era presente nella 27701:2019; la vecchia versione riutilizzava la struttura della 27001.
Un'aggiunta inaspettata
L'organizzazione deve determinare se il cambiamento climatico costituisce un tema rilevante per il PIMS.
“The organization shall determine whether cambiamento climatico is a relevant issue.”
Questo può influenzare la scelta dei data center, la pianificazione della resilienza e la continuità transfrontaliera per il trattamento dei dati personali.
3. I ruoli sono ora molto più chiari (titolare vs responsabile del trattamento)
L'edizione 2025 precisa la definizione dei ruoli e introduce una separazione obbligatoria:
Quando un'organizzazione agisce contemporaneamente come titolare e come responsabile del trattamento, devono essere determinati ruoli distinti, ciascuno con i propri controlli.
Impatto
- Non è possibile unificare le responsabilità.
- La SoA deve distinguere entrambi i ruoli.
- Contratti, DPIA e valutazioni dei fornitori devono riflettere i ruoli di trattamento effettivi.
Questo rispecchia la realtà del GDPR in modo molto più accurato.
4. L'Allegato A è stato completamente ricostruito
L'Allegato A dell'edizione 2025 è un catalogo di controlli moderno e ampliato; non il mapping riciclato dell'era 27001:2013 del 2019.
L'Allegato F elenca tutte le modifiche, compresi i controlli di nuova introduzione. Ecco alcuni dei punti salienti:
Nuovi controlli introdotti in ISO 27701:2025
(tutti referenziati dall'Allegato F)
Ciclo di vita del dato:
- Cancellazione delle informazioni
- Mascheramento dei dati
- Prevenzione della perdita di dati
Ingegneria e operazioni:
- Codifica sicura
- Gestione della configurazione
- Attività di monitoraggio
Cloud e supply chain:
- Sicurezza delle informazioni per i servizi cloud
Resilienza:
- Preparazione ICT per la continuità operativa
Threat intelligence:
- Threat intelligence (nuovo controllo)
Questo avvicina la gestione della privacy al panorama delle minacce moderno: ambienti cloud-native, pratiche di ingegneria, ciclo di vita del dato e monitoraggio continuo.
5. Allegati di mapping aggiornati (GDPR, 29100, 27018, 29151)
L'edizione 2025 include crosswalk aggiornati:
- Allegato C → ISO/IEC 29100 Privacy Framework
- Allegato D → GDPR
- Allegato E → ISO 27018 e 29151
Questo è rilevante perché la certificazione PIMS spesso serve come evidenza verso clienti, autorità di regolazione e autorità di controllo.
I mapping sono ora più chiari, più rigorosi e meglio allineati alle aspettative degli organi di enforcement.
6. Un percorso di transizione chiaro dal 2019 al 2025
L'Allegato F fornisce una tabella di mapping completa di:
- controlli rimossi,
- controlli rinominati,
- controlli consolidati,
- nuovi controlli,
- e modifiche ai requisiti.
Questa è la roadmap di migrazione.
Se si è certificati alla 27701:2019, sarà necessario:
- una nuova SoA,
- una valutazione del rischio aggiornata,
- DPIA aggiornate,
- registri dei trattamenti aggiornati,
- contratti aggiornati,
- nuove clausole di governance,
- e probabilmente strumenti aggiornati.
Prevedere un piano di transizione della durata di un anno.
7. Perché ISO 27701:2025 è più importante che mai
La privacy non è più un esercizio documentale; è operativa, tecnica e strategica.
La revisione 2025 riconosce finalmente:
- gli ecosistemi cloud moderni
- le pipeline di sviluppo
- le complessità del ciclo di vita del dato
- la threat intelligence
- la resilienza tecnica
- lo sviluppo sicuro
- il rischio legato ai fornitori
- il monitoraggio e il rilevamento
- la frammentazione normativa nei mercati globali
In altre parole:la privacy è entrata nell'era GRC moderna.
Considerazione finale
ISO 27701:2025 non è un semplice aggiornamento; è un azzeramento.
Il modello a estensione è superato. La governance della privacy è ora una disciplina autonoma con un peso operativo reale. Le organizzazioni dovranno trattare questo standard con la stessa serietà riservata a ISO 27001.
Se la 27701:2019 riguardava la documentazione della privacy, la 27701:2025 riguarda il governo operativo della privacy.
Se si desidera un piano di migrazione chiaro e pratico, che comprenda una nuova SoA, un'analisi del gap completa dal 2019 al 2025 e una roadmap di transizione passo per passo, è esattamente ciò che insegniamo nella Cyber Academy ISO27701:2025 Lead Implementer Masterclass. Unisciti alla prossima sessione e aggiorna il tuo PIMS senza il caos.