Na de recente publicatie van de herziene Engelse versies van de normen voor managementsysteem voor informatiebeveiliging (ISO/IEC 27001) en beheersmaatregelen voor informatiebeveiliging (ISO/IEC 27002), zijn nu ook de Nederlandse versies van deze normen beschikbaar.

De Engelse versie van ISO/IEC 27001 is op 28 oktober 2022 gepubliceerd. ISO/IEC 27002 was al vertaald en gepubliceerd, maar de terminologie is gecorrigeerd met de nieuwe editie. De norm is inmiddels ook Europees aanvaard, vandaar het voorvoegsel ‘EN’ in de officiële benaming. De correcties versie in de vertaling van ISO/IEC 27002 hangen voor een deel samen met de nieuwe vertaling van de Harmonized Structure (HS)-tekst voor managementsystemen. Ook is een aantal termen aangepast naar de in het vakgebied meer gangbare woorden. Twee voorbeelden hiervan zijn: ‘Risicobeheer’ is gewijzigd in ‘risicomanagement’;
‘Het beheer van informatiebeveiligingsrisico’s’ is gewijzigd in ‘het beheersen van informatiebeveiligingsrisico’s’.

Overgang naar nieuwe versie ISO 27001:2022
Voor de ISO 27001 geldt een transitieperiode van drie jaar. Gecertificeerde organisaties moeten dus op 1 november 2025 zijn overgestapt op ISO 27001:2022. Om deze overgang zo geleidelijk en soepel mogelijk te laten verlopen, bereidt Kiwa momenteel de accreditatie-uitbreiding voor ISO 27001:2022 voor. De Raad voor Accreditatie (RvA) moet deze uitbreiding goedkeuren, omdat het een nieuwe versie van de standaard betreft. Deze goedkeuring wordt op zijn vroegst op 1 februari, maar uiterlijk 1 juni 2023 verwacht.

Transitieperiode
Als de RvA Kiwa op 1 februari 2023 accrediteert voor de ISO 27001:2022, kan certificering tegen de nieuwe norm worden uitgevoerd vanaf 1 maart. Verkrijgt Kiwa deze uitbreiding per 1 juni, dan kan vanaf 1 juli worden gecertificeerd tegen ISO 27001:2022. De transitieperiode voor de ISO 27001:2022 eindigt op 1 november 2025, dus vóór die tijd moeten alle ISO 27001-gecertificeerde organisaties de transitie naar de 2022-versie hebben gemaakt.
Ook de standaard NEN 7510 voor informatiebeveiliging in de zorgsector staat aan de vooravond van een herziening. Tot die herziening gepubliceerd wordt, bestaat er dus een soort parallelle situatie. Tijdens audits waarbij een organisatie de transitie maakt (of heeft gemaakt) zullen de ISO 27001:2022 en NEN 7510-1_2017+A1_2020 beide getoetst worden.
Als een organisatie de transitie naar de ISO 27001:2022 maakt bij een hercertificeringsaudit zijn hier géén aanvullende audittijd en -kosten mee gemoeid. Is de eerstvolgende audit een opvolgingsaudit en de organisatie maakt de transitie naar de ISO 27001:2022, dan is een halve dag extra audittijd benodigd. Kiwa stemt dit voorafgaand aan de audit met de organisatie af.