ISO/IEC 27701:2025 Duyurusu

ISO/IEC 27701:2025 Duyurusu

Değerli Müşterilerimiz,

Gizlilik Bilgileri Yönetim Sistemi standardının yeni versiyonu ISO/IEC 27701:2025, Ekim 2025’te yayımlanarak ISO/IEC 27701:2019 standardının yerini almıştır.

Türk Akreditasyon Kurumu’nun (TÜRKAK) yayımladığı geçiş takvimi doğrultusunda, ISO/IEC 27701:2019 standardına göre belgelendirilmiş kuruluşların en geç 31 Ekim 2028 tarihine kadar yeni versiyona geçişlerini tamamlamaları gerekmektedir. Bu tarihten sonra eski versiyona dayalı belgelendirmeler geçerliliğini sürdüremeyecektir.

Yeni versiyonda öne çıkan değişiklikler

ISO/IEC 27701:2025 ile birlikte standardın yapısı ve şartların sunumu önemli ölçüde yenilenmiştir:

• Bağımsız yönetim sistemi yapısı: Standart, kendi yönetim sistemi şartlarını içeren bağımsız bir yapıya kavuşmuştur. ISO/IEC 27001 ile birlikte uygulanabilmekle birlikte, ISO/IEC 27001 belgelendirmesine bağlılık kaldırılmıştır.
• Yönetim sistemi şartlarının yeniden düzenlenmesi: Kuruluşun bağlamı, liderlik, planlama, destek, operasyon, performans değerlendirme ve iyileştirme şartları doğrudan standart içerisinde tanımlanmıştır.
• Kontrollerin yeniden yapılandırılması: Kişisel bilgi sorumlularına, kişisel bilgi işleyenlere ve her iki role yönelik bilgi güvenliği kontrolleri Ek A içerisinde düzenlenmiş; uygulama kılavuzları Ek B’de bir araya getirilmiştir.
• Bilgi güvenliği programı: Gizlilik risklerinin işlenmesi kapsamında bir bilgi güvenliği programının oluşturulması ve dokümante edilmesi açıkça şart koşulmuştur.
• İklim değişikliğinin değerlendirilmesi: Kuruluşların, iklim değişikliğinin yönetim sistemleri açısından ilgili bir husus olup olmadığını belirlemesi istenmiştir.

Bu değişiklikler doğrultusunda kuruluşların mevcut uygulamalarını yeni standarda göre değerlendirmesi ve gerekli uyarlamaları tamamlaması beklenmektedir.

Geçiş öncesinde yapılması gereken hazırlıklar

Belgeli kuruluşlarımızın aşağıdaki çalışmaları planlamalarını öneriyoruz:

• ISO/IEC 27701:2019 ile ISO/IEC 27701:2025 arasında fark analizi yapılması ve sorumluları ile tamamlanma tarihlerini içeren bir geçiş planı hazırlanması.
• Yönetim sistemi kapsamının ve kuruluşun kişisel bilgi sorumlusu ve/veya kişisel bilgi işleyen rollerinin gözden geçirilmesi.
• Gizlilik risk değerlendirmesinin, risk işleme planının ve bilgi güvenliği programının yeni şartlara göre değerlendirilmesi.
• Uygulanabilirlik Bildirgesi’nin yeni Ek A yapısına göre gözden geçirilmesi; gerekli kontrollerin, uygulanma durumlarının ve dahil etme veya hariç tutma gerekçelerinin güncellenmesi.
• Gerekli süreç ve dokümantasyon değişikliklerinin uygulanması, ilgili personelin bilgilendirilmesi ve uygulama kayıtlarının oluşturulması.
• Yeni versiyonun şartlarını kapsayan iç tetkikin gerçekleştirilmesi ve geçiş çalışmalarının yönetimin gözden geçirmesinde değerlendirilmesi.

Geçiş tetkiklerinin planlanması

Geçiş değerlendirmeleri; ilgili akreditasyon şartları, kuruluşumuzun akreditasyon kapsamı ve müşterilerimizin hazırlık durumları dikkate alınarak planlanacaktır. Uygun olması halinde geçiş tetkiki, gözetim veya yeniden belgelendirme tetkiki ile birlikte; ihtiyaç duyulması halinde ise ayrı bir tetkik olarak gerçekleştirilebilecektir.

Tetkik süresi, gerekli ilave süre ve ticari koşullar, kuruluş özelinde yapılacak değerlendirme sonucunda ayrıca bildirilecektir. Yeni versiyon kapsamında akredite belgelendirme faaliyetlerinin yürütülmesi, ilgili akreditasyon kapsamının onaylanmasına bağlıdır.

Geçişin tamamlanabilmesi için yalnızca tetkikin gerçekleştirilmesi yeterli olmayıp, tespit edilen uygunsuzlukların ilgili kurallara göre ele alınması ve belgelendirme kararının da son tarihten önce tamamlanması gerekmektedir.

Mevcut belgeler, olağan belgelendirme şartlarının sağlanması ve belge üzerinde belirtilen geçerlilik süresi dikkate alınmak kaydıyla geçiş dönemi içerisinde geçerliliğini sürdürebilecektir. Geçiş için belirlenen son tarih, mevcut belgenin geçerlilik süresini kendiliğinden uzatmaz.

Müşterilerimizin geçiş çalışmalarını son tarihe bırakmadan başlatmalarını ve tetkik planlaması için belgelendirme birimimizle iletişime geçmelerini rica ederiz.

ISO/IEC 27706:2025 Duyurusu

Değerli Müşterilerimiz ve İlgili Taraflarımız,

Gizlilik Bilgileri Yönetim Sistemlerinin tetkik ve belgelendirmesini yapan kuruluşlara yönelik şartları içeren ISO/IEC 27706:2025, ISO/IEC TS 27006-2:2021 standardının yerini almıştır.

ISO/IEC 27701:2025 ile birlikte gerçekleşen bu değişiklik, gizlilik bilgileri yönetim sistemi belgelendirme faaliyetlerinin yeni standart yapısına uygun olarak yürütülmesini amaçlamaktadır.

ISO/IEC 27706:2025, belgelendirme hizmeti alan kuruluşların yönetim sistemlerini kurmak için uygulayacakları standart değildir. Müşterilerimizin yönetim sistemi şartları ISO/IEC 27701:2025’te; bu sistemlerin tetkik ve belgelendirmesini gerçekleştiren belgelendirme kuruluşlarına yönelik özel şartlar ise ISO/IEC 27706:2025’te tanımlanmaktadır.

Geçişin belgelendirme faaliyetlerine etkisi

Yeni standart doğrultusunda belgelendirme süreçlerinde özellikle aşağıdaki konuların değerlendirilmesi gerekmektedir:

• Başvuruların ve belgelendirme kapsamlarının, kuruluşların kişisel bilgi sorumlusu ve/veya kişisel bilgi işleyen rollerine göre değerlendirilmesi.
• Tetkik sürelerinin ve tetkik programlarının yeni şartlara göre belirlenmesi.
• Tetkikçiler, teknik uzmanlar ve belgelendirme süreçlerinde görev alan personel için yetkinlik kriterlerinin gözden geçirilmesi.
• Tetkiklerin planlanması, gerçekleştirilmesi, raporlanması ve belgelendirme kararlarının yeni standart yapısıyla uyumlu hale getirilmesi.
• Belgelendirme dokümanlarının ve müşterilere sağlanan bilgilerin güncellenmesi.