GDPR (Appendice D)
La tabella indica quali controlli aiutano a rispettare ciascun articolo del Regolamento: registro delle attività dell’articolo 30, valutazione d’impatto del 35, contratto con il responsabile del 28, notifica delle violazioni del 33. Serve a ordinare le evidenze, ma il certificato non equivale alla conformità al GDPR né la sostituisce.
ISO/IEC 27001
Essendo autonoma, la norma non richiede più un SGSI certificato. Condivide la struttura della ISO/IEC 27001, per cui contesto, audit, riesame della direzione e non conformità possono essere comuni ai due sistemi, lasciando a parte ciò che è specifico della privacy.
Dall’edizione 2019 (Appendice F)
L’Appendice F riporta la vecchia numerazione sulla nuova. Chi era certificato secondo l’edizione 2019 può usarla per rivedere la propria dichiarazione di applicabilità; i tempi di transizione li stabilisce l’organismo di certificazione.
Cosa chiede di solito l’auditor
- Matrice che collega ogni controllo all’articolo del GDPR che supporta
- Processi condivisi con la ISO 27001 individuati
- Dichiarazione di applicabilità rivista con la numerazione 2025
- Piano di transizione concordato con l’organismo di certificazione
Come coprire le corrispondenze in Kimobox
- 1Etichetta ogni controllo con l’articolo del GDPR e il controllo della ISO 27001 correlati.
- 2Condividi audit, non conformità e riesame della direzione tra i due sistemi.
- 3Gestisci le versioni della dichiarazione di applicabilità per conservare quella del 2019 e quella del 2025.
Un unico sistema integrato serve la ISO 27001 e la ISO 27701 senza duplicare gli audit.