ISO 27701:2025: was neu ist und was jetzt zu tun ist
ISO/IEC 27701:2025, veröffentlicht am 14. Oktober 2025, macht die Datenschutznorm zu einem eigenständigen Managementsystem: Für Umsetzung und Zertifizierung ist kein ISMS nach ISO/IEC 27001 mehr nötig. Sie folgt der harmonisierten Struktur mit den Abschnitten 4 bis 10 und enthält einen Anhang A mit 78 Referenzmaßnahmen in drei Tabellen: A.1 für Verantwortliche, A.2 für Auftragsverarbeiter und A.3 für die Sicherheit personenbezogener Daten. Nach der Ausgabe 2019 zertifizierte Organisationen müssen innerhalb der von den Akkreditierungsstellen festgelegten Frist umstellen (zum Beispiel bis 31. Oktober 2028 nach den Regeln des kanadischen SCC).
2019 und 2025 im Überblick
| Thema | ISO/IEC 27701:2019 | ISO/IEC 27701:2025 |
|---|---|---|
| Art der Norm | Erweiterung von ISO/IEC 27001 und 27002 | Eigenständige Managementsystemnorm |
| Voraussetzung | Ein ISMS nach ISO/IEC 27001 | Keine (Integration mit einem ISMS bleibt möglich) |
| Struktur | Abschnitte entlang ISO/IEC 27001 | Harmonisierte Struktur, Abschnitte 4 bis 10 |
| Maßnahmen | Anhang A (Verantwortliche) und Anhang B (Auftragsverarbeiter) plus erweiterte Hinweise zu ISO/IEC 27002 | Anhang A mit drei Tabellen: A.1 Verantwortliche, A.2 Auftragsverarbeiter, A.3 Sicherheit personenbezogener Daten (78 Maßnahmen) |
| Anleitung | Verteilt auf die Abschnitte 6 bis 8 | Anhang B mit derselben Nummerierung wie Anhang A |
| Zuordnungen | ISO/IEC 29100, DSGVO, weitere Normen | Informative Anhänge mit Zuordnungen, u. a. zur DSGVO und eine Gegenüberstellung 2019–2025 |
Was das für Sie bedeutet
- **Nicht nach ISO/IEC 27001 zertifiziert?** Sie können jetzt ein Datenschutz-Managementsystem (PIMS) eigenständig einführen und zertifizieren lassen. Das ist nützlich für SaaS-Anbieter, HR- und Lohnabrechnungsdienstleister, Gesundheits- und Bildungsdienste und alle, deren Kunden Nachweise zum Datenschutz verlangen.
- **Sie haben bereits ein ISMS?** Nutzen Sie Dokumentenlenkung, internes Audit, Managementbewertung, Lieferantenmanagement und Kompetenz weiter. Die Sicherheitsmaßnahmen für personenbezogene Daten stehen jetzt in Tabelle A.3.
- **Nach der Ausgabe 2019 zertifiziert?** Planen Sie ein Umstellungsaudit. Klären Sie die Frist mit Ihrer Zertifizierungsstelle: Die Akkreditierungsstellen legen die Termine fest (kanadischer SCC: Kunden bis 31. Oktober 2028).
- **Nutzen Sie ISO 27701 für die DSGVO?** Die Norm hilft weiterhin, die Einhaltung zu ordnen und nachzuweisen, aber eine Zertifizierung allein belegt keine DSGVO-Konformität.
ISO 27701 Toolkit: Dokumentation für Ihr Datenschutz-Managementsystem
34 Word-Dokumente · 14 Excel-Werkzeuge · 78 Maßnahmen aus Anhang A
Zum ISO 27701:2025 Toolkit mit DSGVO-AnhangDie Tabellen des Anhangs A in der Ausgabe 2025
| Tabelle | Für | Hauptthemen |
|---|---|---|
| A.1 | Verantwortliche | Bedingungen für Erhebung und Verarbeitung (Rechtsgrundlage, Einwilligung, Datenschutz-Folgenabschätzung, Verzeichnisse), Pflichten gegenüber betroffenen Personen (Informationen, Rechte, automatisierte Entscheidungen), Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, Weitergabe, Übermittlungen und Offenlegungen |
| A.2 | Auftragsverarbeiter | Verträge und Weisungen, Pflichten gegenüber Kunden, Datenschutz durch Technikgestaltung bei der Verarbeitung, Übermittlungen, Unterauftragsverarbeiter und Offenlegungen |
| A.3 | Beide Rollen | Sicherheit personenbezogener Daten: Richtlinien, Rollen, Zugriff, Kryptografie, Protokollierung, Vorfälle und Datenpannen, Datensicherung, Lieferanten, sichere Entwicklung und mehr |
Die meisten Organisationen sind zugleich Verantwortliche und Auftragsverarbeiter (zum Beispiel für die eigenen Beschäftigten und für Kundendaten). Sie wenden daher A.1, A.2 und A.3 an und begründen jede Aufnahme oder jeden Ausschluss in der Erklärung zur Anwendbarkeit.
Umstellungsschritte für nach 2019 zertifizierte Organisationen
- 1. Die Ausgabe 2025 und ihren Anhang mit der Gegenüberstellung 2019–2025 lesen.
- 2. Entscheiden, ob das PIMS mit dem ISMS integriert bleibt oder eigenständig wird, und den Geltungsbereich anpassen.
- 3. Die Erklärung zur Anwendbarkeit mit den Tabellen A.1, A.2 und A.3 neu aufbauen.
- 4. Datenschutz-Risikobeurteilung, Richtlinien und Verfahren aktualisieren, die alte Abschnittsnummern zitieren.
- 5. Ein internes Audit und eine Managementbewertung zu den neuen Anforderungen durchführen.
- 6. Das Umstellungsaudit vor Ablauf der Frist mit der Zertifizierungsstelle vereinbaren.
Nächster Schritt
Kostenlos testen oder direkt zur vollständigen Lösung.
ISO 27701 Toolkit: Dokumentation für Ihr Datenschutz-Managementsystem
34 Word-Dokumente · 14 Excel-Werkzeuge · 78 Maßnahmen aus Anhang A
Zum ISO 27701:2025 Toolkit mit DSGVO-Anhang
Kostenloses Muster
Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.
Kostenlose Probe herunterladen (Englisch)Häufige Fragen
Wann wurde ISO/IEC 27701:2025 veröffentlicht?
Am 14. Oktober 2025. Sie ersetzt die Ausgabe 2019.
Brauche ich ISO 27001, um nach ISO 27701 zertifiziert zu werden?
Mit der Ausgabe 2025 nicht mehr. Sie ist eine eigenständige Managementsystemnorm, lässt sich aber leicht mit ISO/IEC 27001 integrieren.
Wie viele Maßnahmen hat ISO 27701:2025?
Anhang A nennt 78 Referenzmaßnahmen in drei Tabellen: A.1 für Verantwortliche, A.2 für Auftragsverarbeiter und A.3 für die Sicherheit personenbezogener Daten. Welche gelten, begründen Sie in der Erklärung zur Anwendbarkeit.
Bis wann muss umgestellt werden?
Das legen die Akkreditierungsstellen fest. Der kanadische SCC verlangt zum Beispiel die Umstellung zertifizierter Kunden bis 31. Oktober 2028. Fragen Sie Ihre Zertifizierungsstelle nach Ihrer Frist.
Belegt eine ISO-27701-Zertifizierung die DSGVO-Konformität?
Nein. Sie ist ein starker Nachweis für ein gesteuertes Datenschutzprogramm, aber die DSGVO-Konformität hängt davon ab, jede gesetzliche Pflicht zu erfüllen.
Verwandte Leitfäden
Erklärung zur Anwendbarkeit (SoA) nach ISO 27001: was sie ist und wie man sie erstellt
Das SoA-Dokument nach ISO/IEC 27001:2022: was die Erklärung zur Anwendbarkeit für die 93 Maßnahmen aus Anhang A enthalten muss, wie man Ausschlüsse begründet und welche Fehler Auditoren am häufigsten finden. Mit Excel-Vorlage.
Leitfaden lesen →ISO 27001 Pflichtdokumente: Liste nach Kapiteln
Welche dokumentierten Informationen ISO/IEC 27001:2022 verlangt – Kapitel für Kapitel (Anwendungsbereich, Leitlinie, Risiken, Erklärung zur Anwendbarkeit, Ziele, Audit, Managementbewertung) – und welche Dokumente für Anhang A üblich sind.
Leitfaden lesen →Was ist ein ISMS und wie setzt man es mit ISO 27001 um?
Was ein Informationssicherheits-Managementsystem (ISMS) ist, was ISO/IEC 27001:2022 verlangt, welche Dokumente nötig sind und wie die Zertifizierung abläuft.
Leitfaden lesen →Aktualisiert: 2026-10-24