De overgangsperiode is voorbij
Na de publicatie van ISO/IEC 27001:2022 kregen gecertificeerde organisaties drie jaar om over te stappen. Die periode eindigde op 31 oktober 2025. Certificaten op basis van de versie uit 2013 zijn sindsdien niet meer geldig. Nieuwe certificeringen en hercertificeringen vonden al vanaf 2024 uitsluitend tegen de nieuwe versie plaats.
Heeft uw organisatie de overstap niet gemaakt, dan is er geen sprake meer van een transitie. U doorloopt dan opnieuw een certificeringstraject met een fase 1- en fase 2-audit tegen de huidige norm.
Wat veranderde in Annex A
De grootste wijziging zit in de bijlage met beheersmaatregelen. De 114 maatregelen in 14 domeinen zijn teruggebracht tot 93 maatregelen in vier thema’s: organisatorisch, mensgericht, fysiek en technologisch. Veel maatregelen zijn samengevoegd of anders geformuleerd. Elf maatregelen zijn nieuw, waaronder threat intelligence, informatiebeveiliging bij clouddiensten, configuratiebeheer en het voorkomen van datalekken.
Wat veranderde in de hoofdstukken
De eisen aan het managementsysteem zijn op een aantal punten aangescherpt. Er is een eis bijgekomen om wijzigingen in het ISMS gepland door te voeren. U bepaalt welke eisen van belanghebbenden u via het ISMS adresseert. Informatiebeveiligingsdoelstellingen moeten worden gemonitord en vastgelegd. Voor processen legt u criteria vast en u beheerst ook processen, producten en diensten die u extern betrekt.
Wat een transitie in de praktijk vroeg
Organisaties die de overstap goed hebben gemaakt, deden meer dan het hernummeren van hun maatregelen. Zij voerden een gap-analyse uit tegen de nieuwe eisen en werkten de risicoanalyse en de Verklaring van Toepasselijkheid bij.
- De risicobehandeling opnieuw koppelen aan de 93 maatregelen.
- Beoordelen of de elf nieuwe maatregelen nodig zijn en hoe ze zijn ingericht.
- Beleid, procedures en bewijs bijwerken naar de nieuwe nummering en inhoud.
- Een interne audit en directiebeoordeling uitvoeren voordat de certificatie-instelling kwam.
Controleer of uw transitie volledig was
Ook na een geslaagde transitie-audit blijven er soms resten van de oude norm achter. Denk aan procedures met oude verwijzingen, een Verklaring van Toepasselijkheid die is omgezet zonder de motivering te herzien, of nieuwe maatregelen die op papier bestaan maar niet aantoonbaar werken. Een interne audit gericht op de nieuwe maatregelen geeft hierin snel duidelijkheid.