Overgangsaudit for ISO 27001:2022 Sætningen vækker frygt hos mange nystartede teknologivirksomheder, der allerede har været flittige nok til at opnå deres ISO 27001:2013-certificering.
Men frygt ikke. Hvis du allerede er certificeret med ISO 27001:2013, er den certificering stadig gyldig indtil slutningen af din certificeringscyklus, hvis den cyklus slutter før 1. november 2025. Mere om det senere.
Hvorfor opdateringen fra ISO 27001:2013 til ISO 27001:2022?
Da informationssikkerhed er så højt prioriteret, som det er, skal sikkerhedsstandarder naturligvis revideres og forbedres regelmæssigt. Så det siger sig selv, at nye og forbedrede versioner af ISO 27001 skal implementeres i fremtiden.
Det er næsten 10 år siden, at 2013-versionen udkom, og når alle er gået over til 2022-versionen, vil der være gået 12 år, så det er bestemt tid til en revideret certificering.
Hvad er ændret fra ISO 27001:2013 til ISO 27001:2022?
Lad os først se på forskellen mellem ISO 27001:2013 og ISO 27001:2022. Du kan læse en kort gennemgang i Compleyes LinkedIn-opslag fra 21. marts.
Ændringerne er mest tydelige i bilag A og omhandler cybersikkerhed og privatlivets fred. Der er 11 nye kontroller, 58 opdaterede kontroller og 24 sammenlagte kontroller.
De nye sikkerhedskontroller omfatter:
- Trusselintelligens
- Informationssikkerhed ved brug af cloud-tjenester
- IKT-parathed til forretningskontinuitet
- Fysisk sikkerhedsovervågning
- Konfigurationsstyring
- Sletning af oplysninger
- Maskering af data
- Forebyggelse af datalækage
- Overvågningsaktiviteter
- Webfiltrering
- Sikker kodning
Hvad er tidslinjen for overgangen til ISO 27001:2022?
Som nævnt er din ISO 27001:2013-certificering gyldig indtil udgangen af den nuværende cyklus, så længe denne cyklus slutter før 31. oktober 2025, som er den endelige deadline for implementeringen af ISO 27001:2022.
Så hvis du i øjeblikket er certificeret ved hjælp af 2013-versionen, er din certificering stadig gyldig, men kun indtil 31. oktober 2025.
Hvad er ISO 27001:2022-overgangsaudit?
Overgangsaudit er den inspektion, som auditor vil udføre for at auditere de nye krav i ISO 27001:2022. Auditøren vil kontrollere, hvordan din organisation har implementeret de nye kontroller.
Hvornår kan overgangsaudit udføres?
Du kan udføre overgangsaudit under enhver planlagt audit. Dette vil betyde, at der tilføjes ekstra tid til den eksisterende audit.
Men du kan også få udført en særlig overgangsaudit separat, så du ikke behøver at vente til din næste planlagte audit og ikke behøver at være klar tidligere, end du ønsker eller har mulighed for at være.
Hvis min organisation aldrig er blevet certificeret, skal jeg så certificere med ISO 27001:2013 eller ISO 27001:2022?
Selvom du i teorien kan blive certificeret med ISO 27001:2013, hvis du planlægger at blive certificeret inden oktober 2023, anbefaler vi, at virksomheder, der ikke har en eksisterende certificering, bør – hvis det er muligt – bide i det sure æble og gå direkte efter ISO 27001:2022.
Hvis du beslutter dig for at gå efter ISO 27001:2013, vil auditøren forvente, at du laver en gap-analyse for at vise, at du forstår, hvad du skal gøre for ISO 27001:2022, og hvilke yderligere ressourcer der kræves. Dette gælder også for virksomheder, der allerede er certificerede, og som vælger at forny certificeringen med 2013-versionen af ISO 27001.
Dette er vigtigt, for hvis du forsøger dig med ISO 27001:2022 og ikke er klar til det, vil du sandsynligvis støde på mange afvigelser. Det kan være bedst at implementere ISO 27001:2013 og gennemføre en gap-analyse, der viser, at du forstår, hvad der kræves, og at du vil kunne implementere ISO 27001:2022 inden 31. oktober 2025.
Hvad er det seneste tidspunkt, hvor jeg kan udføre overgangsaudit?
Alle overgangsrevisioner skal udføres inden 21. juli 2025.
Selvfølgelig behøver du ikke en overgangsaudit, hvis du går direkte til ISO 27001:2022.
Kontakt Compleye for at få yderligere rådgivning om det bedste valg, du kan træffe i tiden op til overgangen!
