Eén norm, meerdere publicaties
De internationale norm ISO/IEC 27001 is in oktober 2022 in een nieuwe versie verschenen. Die versie heet officieel ISO/IEC 27001:2022. Europa heeft deze norm daarna ongewijzigd overgenomen als EN ISO/IEC 27001:2023. NEN heeft die Europese versie in Nederland gepubliceerd als NEN-EN-ISO/IEC 27001:2023.
Het jaartal verschilt dus omdat de Europese en Nederlandse publicatie later zijn verschenen dan de internationale versie. De eisen voor het managementsysteem en de lijst met beheersmaatregelen zijn inhoudelijk gelijk.
Wat staat er op uw certificaat?
Certificatie-instellingen vermelden de norm waartegen zij auditen. Bij Nederlandse organisaties ziet u vaak NEN-EN-ISO/IEC 27001:2023, bij internationale klanten vaker ISO/IEC 27001:2022. Beide verwijzen naar dezelfde inhoud. Vraagt een opdrachtgever om certificering volgens de 2022-versie, dan voldoet een certificaat volgens de 2023-publicatie daar inhoudelijk aan.
Twijfelt een klant of inkoper, leg dan uit dat de Europese publicatie de internationale norm zonder inhoudelijke wijziging overneemt. Uw certificatie-instelling kan dit desgewenst schriftelijk bevestigen.
Het amendement uit 2024
In 2024 is een kleine aanvulling op de norm gepubliceerd. Die vraagt organisaties te bepalen of klimaatverandering een relevant onderwerp is voor hun context en of belanghebbenden eisen hebben die daarmee samenhangen. Het amendement voegt geen nieuwe beheersmaatregelen toe. Uw certificatie-instelling neemt het mee in de reguliere audits.
ISO 27002 hoort erbij
ISO/IEC 27001 bevat de eisen. ISO/IEC 27002:2022 geeft per beheersmaatregel uit Annex A een toelichting en implementatierichtlijnen. U wordt niet gecertificeerd tegen ISO 27002, maar de norm helpt wel bij het bepalen hoe u een maatregel invult. Ook ISO 27002 heeft een Nederlandse publicatie met een later jaartal.
Welke versie gebruikt u in uw documentatie?
Kies één aanduiding en gebruik die consequent in beleid, Verklaring van Toepasselijkheid en auditrapportages. Verwijs bij beheersmaatregelen naar de nummering uit de huidige versie, zoals 5.23 voor clouddiensten of 8.12 voor het voorkomen van datalekken. Staat er in uw documenten nog nummering uit de versie van 2013, zoals A.12.4.1, dan is dat een teken dat de documentatie niet volledig is bijgewerkt.