ISO 27701:2025: cosa cambia e cosa fare adesso
ISO/IEC 27701:2025, pubblicata il 14 ottobre 2025, trasforma la norma sulla privacy in un sistema di gestione autonomo: non serve più un SGSI ISO/IEC 27001 per applicarla o certificarla. Segue la struttura armonizzata dei capitoli da 4 a 10 e ha un Allegato A con 78 controlli di riferimento in tre tabelle: A.1 per i titolari del trattamento, A.2 per i responsabili del trattamento e A.3 per la sicurezza dei dati personali. Le organizzazioni certificate secondo l’edizione 2019 devono effettuare la transizione entro il periodo fissato dagli enti di accreditamento (ad esempio entro il 31 ottobre 2028 secondo le regole dello SCC canadese).
2019 e 2025 a confronto
| Tema | ISO/IEC 27701:2019 | ISO/IEC 27701:2025 |
|---|---|---|
| Tipo di norma | Estensione di ISO/IEC 27001 e 27002 | Norma autonoma di sistema di gestione |
| Prerequisito | Un SGSI ISO/IEC 27001 | Nessuno (resta possibile integrarla con un SGSI) |
| Struttura | Capitoli ricalcati su ISO/IEC 27001 | Struttura armonizzata, capitoli da 4 a 10 |
| Controlli | Allegato A (titolari) e Allegato B (responsabili), più indicazioni estese di ISO/IEC 27002 | Allegato A con tre tabelle: A.1 titolari, A.2 responsabili, A.3 sicurezza dei dati personali (78 controlli) |
| Linee guida | Distribuite nei capitoli da 6 a 8 | Allegato B, con la stessa numerazione dell’Allegato A |
| Corrispondenze | ISO/IEC 29100, GDPR, altre norme | Allegati informativi con corrispondenze, tra cui il GDPR e una tabella 2019-2025 |
Cosa significa per te
- **Non sei certificato ISO/IEC 27001?** Ora puoi applicare e certificare un sistema di gestione delle informazioni sulla privacy (PIMS) da solo. È utile per fornitori SaaS, servizi HR e paghe, servizi sanitari ed educativi e per chiunque abbia clienti che chiedono garanzie sulla privacy.
- **Hai già un SGSI?** Riutilizza controllo dei documenti, audit interno, riesame della direzione, gestione dei fornitori e competenze. I controlli di sicurezza necessari per i dati personali ora sono nella tabella A.3.
- **Certificato secondo l’edizione 2019?** Pianifica un audit di transizione. Verifica la scadenza con il tuo organismo di certificazione: le date le fissano gli enti di accreditamento (SCC canadese: clienti entro il 31 ottobre 2028).
- **Usi ISO 27701 per il GDPR?** Continua ad aiutarti a organizzare e dimostrare la conformità, ma la certificazione da sola non prova la conformità al GDPR.
Kit ISO 27701: la documentazione del tuo sistema di gestione della privacy
34 documenti Word · 14 strumenti Excel · 78 controlli dell'Appendice A
Vedi il kit ISO 27701:2025 con allegato GDPRLe tabelle dell’Allegato A nel 2025
| Tabella | Per | Temi principali |
|---|---|---|
| A.1 | Titolari del trattamento | Condizioni per raccolta e trattamento (base giuridica, consenso, DPIA, registri), obblighi verso gli interessati (informative, diritti, decisioni automatizzate), privacy fin dalla progettazione e per impostazione predefinita, condivisione, trasferimenti e comunicazioni |
| A.2 | Responsabili del trattamento | Contratti e istruzioni, obblighi verso i clienti, privacy fin dalla progettazione nel trattamento, trasferimenti, sub-responsabili e comunicazioni |
| A.3 | Entrambi i ruoli | Sicurezza dei dati personali: politiche, ruoli, accessi, crittografia, registrazione degli eventi, incidenti e violazioni, backup, fornitori, sviluppo sicuro e altro |
La maggior parte delle organizzazioni è sia titolare sia responsabile (ad esempio per il proprio personale e per i dati dei clienti), quindi applica A.1, A.2 e A.3 e giustifica ogni inclusione o esclusione nella Dichiarazione di applicabilità.
Passi di transizione per le organizzazioni certificate 2019
- 1. Leggere l’edizione 2025 e il suo allegato di corrispondenza 2019-2025.
- 2. Decidere se il PIMS resta integrato con il SGSI o diventa autonomo, e aggiornare il campo di applicazione.
- 3. Ricostruire la Dichiarazione di applicabilità con le tabelle A.1, A.2 e A.3.
- 4. Aggiornare la valutazione dei rischi privacy, le politiche e le procedure che citano i vecchi numeri dei capitoli.
- 5. Svolgere un audit interno e un riesame della direzione sui nuovi requisiti.
- 6. Prenotare l’audit di transizione con l’organismo di certificazione prima della scadenza.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit ISO 27701: la documentazione del tuo sistema di gestione della privacy
34 documenti Word · 14 strumenti Excel · 78 controlli dell'Appendice A
Vedi il kit ISO 27701:2025 con allegato GDPR
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
Quando è stata pubblicata ISO/IEC 27701:2025?
Il 14 ottobre 2025. Sostituisce l’edizione 2019.
Serve ISO 27001 per certificarsi ISO 27701?
Non con l’edizione 2025. È una norma autonoma di sistema di gestione, anche se si integra facilmente con ISO/IEC 27001.
Quanti controlli ha ISO 27701:2025?
L’Allegato A elenca 78 controlli di riferimento in tre tabelle: A.1 per i titolari, A.2 per i responsabili e A.3 per la sicurezza dei dati personali. Quelli applicabili si giustificano nella Dichiarazione di applicabilità.
Qual è la scadenza per la transizione?
La fissano gli enti di accreditamento. Ad esempio, lo SCC canadese chiede ai clienti certificati di completare la transizione entro il 31 ottobre 2028. Chiedi la tua al tuo organismo di certificazione.
La certificazione ISO 27701 prova la conformità al GDPR?
No. È una prova solida di un programma privacy gestito, ma la conformità al GDPR dipende dal rispetto di ogni obbligo di legge.
Guide correlate
Cos'è un SGSI e come si implementa con la ISO 27001?
Cos'è un sistema di gestione della sicurezza delle informazioni (SGSI), cosa richiede la ISO/IEC 27001:2022, quali documenti servono e come funziona la certificazione.
Leggi la guida →Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
Cosa deve contenere la Dichiarazione di Applicabilità ISO/IEC 27001:2022 per i 93 controlli dell'Allegato A, come giustificare le esclusioni e gli errori più rilevati dagli auditor. Con modello Excel.
Leggi la guida →Documenti obbligatori ISO 27001:2022: elenco per punto della norma
Le informazioni documentate richieste dalla ISO/IEC 27001:2022, punto per punto (campo di applicazione, politica, rischi, Dichiarazione di Applicabilità, obiettivi, audit, riesame di direzione), e i documenti attesi per l'Allegato A.
Leggi la guida →Aggiornato: 2026-10-24