Değerli Müşterilerimiz ve İş Ortaklarımız;
ISO/IEC 27701:2025 (Bilgi güvenliği, siber güvenlik ve gizlilik korunması – Gizlilik bilgileri yönetim sistemleri – Şartlar ve kılavuzlar) ve ISO/IEC 27706:2025 (Bilgi güvenliği, siber güvenlik ve gizlilik korunması – Gizlilik bilgileri yönetim sistemlerinin tetkik ve belgelendirmesini yapan kuruluşlar için şartlar) standartları 14 Ekim 2025 tarihi itibarıyla yürürlüğe girmiştir.
Bu doğrultuda geçiş sürecine ilişkin detaylar aşağıda bilgilerinize sunulmuştur.
- Geçiş Süresi: Mevcut belgeli kuruluşlarımız için yeni versiyona uyum süreci 3 yıl olarak belirlenmiştir. Belgeli firmalarımızın Ekim 2028 tarihinden önce geçiş süreçlerini tamamlaması gerekmektedir. Geçiş tetkiklerinin, bu 3 yıllık dönem içerisindeki planlı tetkikler (gözetim veya belge yenileme) sırasında gerçekleştirilmesi öngörülmektedir.
- Başvuru ve Akreditasyon Süreci: AND Belgelendirme olarak, yeni versiyona yönelik geçiş tetkiklerine ve yeni başvuruları kabul etmeye başlayacağımız tarih, akreditasyon denetimimizin tamamlanmasını müteakip siz değerli müşterilerimize ayrıca duyurulacaktır.
Standartlardaki Temel Değişiklikler ve Yenilikler
- ISO/IEC 27701:2025 Kapsamında:
- Bağımsız Yönetim Sistemi: Standart, diğer yönetim sistemlerinden bağımsız bir yapıya kavuşturulmuştur.
- İklim Değişikliği Entegrasyonu: İklim değişikliğine bağlı riskler ve hususlar standardın ilgili maddelerine dahil edilmiştir.
- Gizlilik Risk Yönetimi: Gizlilik risklerinin yönetimi, yönetim sistemine resmi bir süreç olarak entegre edilmiştir.
- Rollerin Netleştirilmesi: Veri Sorumlusu ve Veri İşleyen kontrolleri yeniden yapılandırılarak daha şeffaf ve net hale getirilmiştir.
- ISO/IEC 27706:2025 Kapsamında:
- Özel Denetim Kriterleri: Veri Sorumlusu ve Veri İşleyen rollerine göre denetim sürelerinin ve kapsamlarının belirlenmesine yönelik özel kriterler getirilmiştir.
- Güncellenmiş Yetkinlik Şartları: Denetçiler, teknik uzmanlar ve belgelendirme süreçlerinde görev alan karar vericiler için yetkinlik gereksinimleri yeniden tanımlanmıştır.
Geçiş Süreci için Müşterilermizin Yol Haritası
Mevcut belgenizin yeni versiyona uyumlaştırılması için aşağıdaki adımların izlenmesi önem arz etmektedir.
- Geçiş Kapsamının Belirlenmesi: Mevcut ISO/IEC 27701:2019 belgenizin kapsamını, KVYS sınırlarınızı, veri işleme faaliyetlerinizi, lokasyonlarınızı, sistemlerinizi ve kişisel veri işleme rollerinizi gözden geçirin.
- Boşluk Analizinin (GAP) Yapılması: ISO/IEC 27701:2019 ile ISO/IEC 27701:2025 standartları arasındaki farkları ve kurumunuza etkilerini değerlendirin.
- Geçiş Aksiyon Planının Oluşturulması: Tespit edilen her bir fark için sorumlu, hedef tarih, gerekli dokümantasyon, uygulama kanıtı ve tamamlanma durumunu içeren bir plan hazırlayın.
- KVYS Dokümantasyonunun Güncellenmesi: KVYS kapsamı, gizlilik politikası, rol ve sorumluluklar, ilgili taraflar, risk metodolojisi, risk değerlendirmesi, risk işleme planı, Uygulanabilirlik Bildirgesi (SoA) ve kontrol kanıtlarını yeni standarda göre revize edin.
- Ek A Kontrollerinin Yeniden Eşleştirilmesi: Kuruluşunuzun kişisel veri işlemedeki rollerini dikkate alarak hangi kontrollerin uygulanacağını belirleyin; hariç tutulan kontroller için gerekçelerinizi oluşturun.
- Uygulama Kanıtlarının Hazırlanması: Veri işleme faaliyetleri envanteri, açık rıza/kayıt mekanizmaları, veri sahibi talep süreçleri, saklama-imha kayıtları, tedarikçi/alt işleyen sözleşmeleri, veri transfer kayıtları, loglar ve eğitim kayıtları gibi kanıtları güncelleyin.
- İç Tetkik ve Yönetimin Gözden Geçirmesi: Yeni standardın gerekliliklerine uygun olarak KVYS iç tetkikini gerçekleştirin, bulguları giderin ve geçiş kararlarını Yönetimin Gözden Geçirmesi (YGG) toplantısı gündemine taşıyın.
Belgeli kuruluşlarımızın, yukarıda belirtilen hazırlıkları tamamlayarak geçiş sürecini gerçekleştirdikten sonra AND Belgelendirme Müdürlüğü’ne başvuru yapmaları gerekmektedir.
Sürece ilişkin her türlü sorunuz için bizimle iletişime geçebilirsiniz.
Saygılarımızla.
AND Belgelendirme Müdürlüğü
