RGPD (Anexo D)
A tabela indica que controlos ajudam a cumprir cada artigo do Regulamento: registo das atividades do artigo 30.º, avaliação de impacto do 35.º, contrato de subcontratação do 28.º, notificação de violações do 33.º. Serve para organizar a evidência, mas o certificado não equivale ao cumprimento do RGPD nem o substitui.
ISO/IEC 27001
Sendo autónoma, a norma já não exige um SGSI certificado. Partilha a estrutura com a ISO/IEC 27001, pelo que o contexto, as auditorias, a revisão pela gestão e as não conformidades podem ser comuns aos dois sistemas, deixando à parte o que é específico da privacidade.
A partir da edição de 2019 (Anexo F)
O Anexo F faz a ponte entre a numeração antiga e a nova. Quem tinha certificado pela versão de 2019 pode usá-lo para rever a sua declaração de aplicabilidade; os prazos de transição são fixados pelo organismo de certificação.
O que o auditor costuma pedir
- Matriz que relaciona cada controlo com o artigo do RGPD que apoia
- Processos partilhados com a ISO 27001 identificados
- Declaração de aplicabilidade revista com a numeração de 2025
- Plano de transição acordado com o organismo de certificação
Como tratar as correspondências no Kimobox
- 1Etiquete cada controlo com o artigo do RGPD e o controlo da ISO 27001 relacionados.
- 2Partilhe auditorias, não conformidades e revisão pela gestão entre os dois sistemas.
- 3Mantenha versões da declaração de aplicabilidade para conservar a de 2019 e a de 2025.
Um único sistema integrado serve a ISO 27001 e a ISO 27701 sem duplicar auditorias.