做数据业务、SaaS、出海电商或涉及个人信息处理的团队，这两年越来越常被客户问到同一个词——隐私信息管理体系认证（PIMS），依据是 ISO/IEC 27701。不少企业的第一反应是"我们已有 ISO 27001，是不是再买一份扩展就行"。2025 年 10 月，ISO 正式发布了 ISO/IEC 27701:2025，这件事的性质变了：隐私管理体系从 27001 的"附属扩展"升级为可以独立实施、独立认证的管理体系标准。这篇把新版的核心变化、谁能认证、怎么准备一次讲清。
一、先分清：27701 是什么、不是什么
ISO/IEC 27701 的全名是《信息安全、网络安全和隐私保护——隐私信息管理体系——要求和指南》，作用是帮企业系统化地管理个人可识别信息（PII）的处理活动：收集、存储、使用、委托、跨境、删除全生命周期。它分为两类角色：PII 控制者（决定为什么收、怎么用的，比如 APP 运营方）和PII 处理者（受托代处理的，比如云服务商、外包客服）。一家企业可能两个角色都有，申请时要按处理活动逐项声明。
二、2025 版改了什么：从"附属"到"独立"
2019 版的定位是 ISO/IEC 27001 和 27002 的扩展标准：想认证 27701，必须先持有 27001 证书，认证范围也不能超出信息安全体系的范围。2025 版把这套逻辑推翻了，主要变化有五点：
| 变化点 | 2019 版 | 2025 版 |
|---|---|---|
| 标准定位 | 27001/27002 的扩展，非独立体系 | 独立管理体系标准，可单独认证 |
| 导入前提 | 必须先取得 ISO 27001 认证 | 无前提，尚无 ISMS 的企业可直接启动 |
| 结构框架 | 沿用 27001:2013 结构，仅第 5 章为强制 | 第 4～10 章高阶结构（HLS），全部强制 |
| 控制措施 | 附录 A 控制者 / 附录 B 处理者分列 | 附录 A 整合为控制者、处理者、共用三组，附录 B 给实施指南 |
| 风险管理 | 依附 ISMS 风险方法 | 专设隐私风险评估，AI、云、跨境、自动化决策纳入范围 |
结构上采用与 ISO 9001、27001、42001 一致的高阶结构，意味着企业可以把隐私体系与现有质量、信息安全体系一体化运行、联合审核，不用重复建文件、重复迎审。新版还新增附录 F（2019 版条款对照表），持有旧证书的企业转版时可以逐条定位差异。
三、谁适合做：三类典型场景
- 受托处理个人信息的服务商：云服务、SaaS、呼叫中心、数据标注、IDP 外包——甲方招标越来越常把 27701 写进评分项（投标资质逻辑见投标资质加分怎么算）；
- 自己做个人信息处理的业务方：APP、小程序、电商、会员体系——个保法要求处理者承担告知、最小必要、安全保护等义务，体系认证是落实留痕的框架；
- 出海企业：新版标准与 GDPR、PIPL 等主流隐私法规做了映射，欧盟、东南亚客户尽调时认这张证书的频率明显上升。
四、认证条件与流程
依据 2025 版申请，不再需要先拿 27001 证书，但体系本身的建立流程没有变：
- 体系文件建立后需有效运行至少三个月，并完成一轮内部审核和管理评审；
- 申请材料：认证申请书、营业执照、适用法律法规清单、隐私管理体系文件（手册/程序文件）、控制者/处理者角色声明、多场所清单（如适用）；
- 审核流程与三体系一致：一阶段文审 → 二阶段现场审核 → 不符合项整改 → 出证，获证后每年监督审核、三年换证。
另有一个容易被忽略的点：认证机构本身的审核规范也换版了——ISO/IEC 27706:2025 替代了原来的 TS 27006-2，对审核员能力和审核时间按角色做了专门规定。选择认证机构时确认其已具备新版审核资质即可。
五、旧证书怎么办：转版窗口到 2028 年
依据 2019 版拿到的证书在过渡期内仍然有效，但需要按认证机构安排完成转版——国际认可论坛口径的转版截止时间是 2028 年 10 月 31 日。最省事的做法是把转版评审并入最近一次的监督审核或再认证审核，不用单独排期。转版前先用附录 F 对照表盘一遍差异，重点补三块：独立的管理职责条款、隐私风险评估程序、以及 AI 与自动化决策场景的处理记录。
六、与 27001 的关系：替谁做、怎么排期
实操里最常见的疑问是"只做 27701 行不行"。分两种情况：
- 业务以个人信息处理为核心（如数据服务、营销科技）：可以先独立建 PIMS，信息安全控制按附录 A 的共用部分覆盖，后续再补 27001 也顺路；
- 已有 27001 且数据业务持续加码：建议两个体系整合运行，联合审核能摊薄审核人天成本。三体系怎么组合排期，可以参考 三体系认证一起办还是分开办 与ISO9001 认证办理指南 的思路。
此外，2025 版把 AI 相关的隐私风险明确纳入管理范围，与人工智能标识等数据合规要求（见AI 生成内容怎么打标）正好形成"制度 + 体系"的互补：一个管对外披露，一个管内部治理。
准备启动 2025 版认证的企业，建议先用一版差距分析定位现状：没有 ISMS 底子的，直接按新版独立框架搭；已有证书的，按附录 F 做转版规划。ISO 体系认证的具体安排，可浏览 ISO 管理体系认证产品页与资质认证帮助中心，或通过 估价估算器获取参考报价。
