ISO 27001 belgesi almak isteyen işletmelerin sıkça sorduğu sorulardan biri, öncelikle ISO 9001 Kalite Yönetim Sistemi belgesine sahip olmalarının gerekip gerekmediğidir.

Özellikle yazılım geliştirme, bilişim hizmetleri, çağrı merkezi ve teknoloji sektörlerinde faaliyet gösteren firmalar, müşteri talepleri veya ihale şartları nedeniyle ISO 27001 belgesi almak istediklerinde ISO 9001 belgesinin de zorunlu olup olmadığını öğrenmek istemektedir.

ISO 27001 belgesi almak için önceden ISO 9001 belgesine sahip olmak zorunlu değildir. İşletmeler, ISO 9001 belgesi bulunmasa da ISO/IEC 27001 standardının gerekliliklerini karşılayarak doğrudan bilgi güvenliği yönetim sistemi belgelendirmesine başvurabilir.

Bununla birlikte iki standart arasında ortak yönetim sistemi gereklilikleri bulunduğundan, ISO 9001 uygulayan işletmelerin ISO 27001 hazırlıklarında yararlanabilecekleri mevcut süreçleri olabilir.

ISO 9001 Olmadan ISO 27001 Belgesi Alınabilir mi?

Evet. ISO/IEC 27001 ve ISO 9001 birbirinden bağımsız belgelendirme standartlarıdır.

ISO 9001, kuruluşların kalite yönetim sistemlerine ilişkin gereklilikleri belirlerken ISO/IEC 27001 bilgi güvenliği yönetim sistemine yönelik şartları düzenler.

Bir işletmenin ISO 27001 belgesi alabilmesi için bilgi güvenliği yönetim sistemi kapsamını belirlemesi, bilgi güvenliği risklerini değerlendirmesi, gerekli kontrolleri uygulaması ve standardın diğer gerekliliklerini karşılaması gerekir.

Bu süreçte işletmenin ISO 9001 belgesinin bulunması genel bir ön şart değildir.

Örneğin yalnızca yazılım geliştirme hizmeti sunan küçük bir işletme, müşteri bilgilerinin korunması ve bilgi güvenliği gerekliliklerini karşılamak amacıyla doğrudan ISO 27001 belgelendirme sürecine başlayabilir.

Ancak belirli bir müşteri sözleşmesinde veya ihalede her iki belgenin birlikte talep edilmesi mümkündür.

Bu durumda ISO 9001 gerekliliği, ISO 27001 standardından değil, ilgili sözleşme veya ihale şartlarından kaynaklanır.

ISO 9001 ile ISO 27001 Arasındaki Fark Nedir?

ISO 9001 ve ISO 27001 farklı yönetim alanlarına odaklanır.

ISO 9001, kuruluşların müşteri şartlarını karşılayan ürün ve hizmetler sunmasını, süreçlerini yönetmesini ve müşteri memnuniyetini artırmaya yönelik çalışmalar gerçekleştirmesini esas alır.

ISO 27001 ise kuruluşların bilgi güvenliği risklerini yönetmesini ve bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumasını amaçlar.

İki standart arasındaki temel farklar aşağıdaki şekilde özetlenebilir.

Örneğin bir yazılım firmasında ISO 9001 kapsamında müşteri taleplerinin alınması, yazılım geliştirme süreçlerinin planlanması ve müşteri memnuniyetinin değerlendirilmesi ele alınabilir.

ISO 27001 kapsamında ise aynı firmanın kaynak kodlarını nasıl koruduğu, müşteri verilerine erişimi nasıl yönettiği ve bilgi güvenliği olaylarını nasıl ele aldığı değerlendirilir.

Bu nedenle iki standart birbirinin yerine geçmez.

ISO 9001 Belgesi Olan Firmalar ISO 27001'i Daha Kolay Alabilir mi?

ISO 9001 belgesi bulunan işletmelerde bazı yönetim sistemi uygulamaları önceden oluşturulmuş olabilir.

Örneğin doküman kontrolü, iç tetkik, yönetimin gözden geçirmesi, uygunsuzluk yönetimi ve düzeltici faaliyet süreçleri ISO 9001 kapsamında uygulanıyor olabilir.

Bu süreçlerden ISO 27001 yönetim sistemi kurulurken yararlanılması mümkündür.

Ancak mevcut dokümanların doğrudan ISO 27001 gerekliliklerini karşıladığı varsayılmamalıdır.

Örneğin ISO 9001 kapsamında hazırlanmış bir iç tetkik prosedürü, ISO 27001 için de kullanılabilecek ortak bir yapıya sahip olabilir.

Bununla birlikte ISO 27001 iç tetkikinde bilgi güvenliği risklerinin, SOA'nın ve ilgili güvenlik kontrollerinin değerlendirilmesi gerekir.

Benzer şekilde ISO 9001 yönetimin gözden geçirmesi toplantısında kalite hedefleri ve müşteri memnuniyeti değerlendirilirken ISO 27001 kapsamında bilgi güvenliği performansı ve risk işleme sonuçlarının da ele alınması gerekir.

ISO 9001 belgesi, ISO 27001 hazırlıklarını kolaylaştırabilir ancak bilgi güvenliği yönetim sistemi gerekliliklerinin yerine geçmez.

ISO 9001 ve ISO 27001 Birlikte Alınabilir mi?

Evet. İşletmeler ISO 9001 ve ISO 27001 standartlarını aynı dönemde uygulamaya alabilir ve her iki standart için belgelendirme başvurusu gerçekleştirebilir.

Bu yaklaşım özellikle kalite ve bilgi güvenliği gerekliliklerini birlikte yönetmek isteyen işletmeler açısından değerlendirilebilir.

Örneğin yazılım geliştirme hizmeti sunan bir işletme, ISO 9001 kapsamında yazılım geliştirme süreçlerinin kalitesini yönetirken ISO 27001 kapsamında bilgi güvenliği risklerini kontrol altına alabilir.

İki standart için ortak yönetim sistemi süreçleri oluşturulabilir.

Ancak her standardın kendine özgü gerekliliklerinin ayrıca karşılanması gerekir.

Birlikte belgelendirme çalışmalarında denetimlerin entegre biçimde planlanması da mümkün olabilir.

Bu durumda belgelendirme kuruluşu, ilgili standartların kapsamını, kuruluşun yönetim sistemi yapısını ve denetim gerekliliklerini değerlendirerek planlama yapar.

ISO 9001 ve ISO 27001 İçin Tek Dokümantasyon Hazırlanabilir mi?

ISO 9001 ve ISO 27001 standartlarının ortak yönetim sistemi gereklilikleri bulunduğundan bazı dokümanlar birlikte hazırlanabilir.

Örneğin dokümante edilmiş bilgilerin kontrolü, iç tetkik, yönetimin gözden geçirmesi ve düzeltici faaliyet süreçleri entegre biçimde yönetilebilir.

Ancak bu durum bütün dokümanların ortak olacağı anlamına gelmez.

ISO 27001 kapsamında bilgi güvenliği risk değerlendirme yöntemi, risk işleme planı ve Uygulanabilirlik Bildirgesi gibi özel gereklilikler bulunmaktadır.

Benzer şekilde ISO 9001 kapsamında müşteri şartlarının değerlendirilmesi, ürün ve hizmetlerin sunulması, müşteri memnuniyetinin izlenmesi gibi kalite yönetimi gereklilikleri ele alınmalıdır.

Bu nedenle entegre dokümantasyon hazırlanırken her iki standardın şartları ayrı ayrı kontrol edilmelidir.

Örneğin tek bir yönetimin gözden geçirmesi toplantısı gerçekleştirilebilir.

Ancak toplantı gündeminin hem ISO 9001 hem de ISO 27001 kapsamında değerlendirilmesi gereken konuları içermesi gerekir.

Entegre yönetim sisteminin amacı dokümanları gereksiz yere çoğaltmadan, her iki standardın gerekliliklerini karşılayan uygulanabilir bir yapı oluşturmaktır.

ISO 9001 ve ISO 27001 İç Tetkiki Birlikte Yapılabilir mi?

ISO 9001 ve ISO 27001 iç tetkik faaliyetleri entegre bir iç tetkik programı kapsamında planlanabilir.

Örneğin işletmenin doküman kontrolü, yönetim sorumlulukları ve düzeltici faaliyet süreçleri her iki standart açısından birlikte değerlendirilebilir.

Ancak ISO 27001 kapsamında bilgi güvenliği riskleri ve güvenlik kontrolleri de incelenmelidir.

ISO 9001 kapsamında ise kalite yönetimiyle ilgili süreçlerin uygunluğu ve etkinliği değerlendirilmelidir.

İç tetkikçilerin denetledikleri standartlar ve süreçler konusunda gerekli yeterliliğe sahip olması önemlidir.

Ayrıca iç tetkikin objektifliği ve tarafsızlığı korunmalıdır.

Bu nedenle her iki standardın iç tetkikinin birlikte gerçekleştirilmesi mümkündür ancak denetim kapsamının eksiksiz belirlenmesi gerekir.

ISO 9001 ve ISO 27001 İçin Tek YGG Toplantısı Yapılabilir mi?

Evet. ISO 9001 ve ISO 27001 yönetim sistemlerini birlikte uygulayan işletmeler, yönetimin gözden geçirmesi faaliyetlerini entegre biçimde gerçekleştirebilir.

Ancak toplantıda her iki standardın gerektirdiği girdilerin değerlendirilmesi gerekir.

Örneğin ISO 9001 kapsamında müşteri memnuniyeti, kalite hedefleri, süreç performansı ve ürün veya hizmetlerin uygunluğu ele alınabilir.

ISO 27001 kapsamında ise bilgi güvenliği hedefleri, risk değerlendirme sonuçları, risk işleme faaliyetleri, bilgi güvenliği performansı ve ilgili güvenlik konuları değerlendirilmelidir.

Toplantı sonucunda alınan kararların kayıt altına alınması ve gerekli faaliyetlerin takip edilmesi önemlidir.

Tek bir YGG toplantısı gerçekleştirilmesi, standartlardan herhangi birinin gerekliliklerinin değerlendirme dışında bırakılmasına neden olmamalıdır.

Yazılım Firmaları İçin ISO 9001 mi ISO 27001 mi Daha Önemli?

Yazılım firmaları açısından hangi standardın öncelikli olduğu, işletmenin faaliyetlerine ve müşteri gerekliliklerine göre değişir.

Örneğin müşteri verilerinin işlendiği, bulut hizmetlerinin sunulduğu veya bilgi güvenliği şartlarının sözleşmelerde açıkça belirtildiği faaliyetlerde ISO 27001 önemli olabilir.

Buna karşılık yazılım geliştirme süreçlerinin kalitesinin yönetilmesi, müşteri taleplerinin karşılanması ve hizmet süreçlerinin iyileştirilmesi açısından ISO 9001 değerlendirilebilir.

Bazı işletmelerde her iki standardın birlikte uygulanması daha uygun olabilir.

Ancak bir standardın diğerinden her durumda daha önemli olduğu söylenemez.

İşletmenin müşteri beklentileri, faaliyetleri ve belgelendirme ihtiyaçları değerlendirilerek öncelik belirlenmelidir.

Kamu Bilişim Projelerinde ISO 9001 ve ISO 27001 Birlikte İstenir mi?

Kamu kurumları ve özel sektör müşterileri, yazılım veya bilişim hizmetleri için belirli yönetim sistemi belgelerini talep edebilir.

Ancak bütün kamu bilişim projelerinde ISO 9001 ve ISO 27001 belgelerinin birlikte zorunlu olduğu söylenemez.

Belge gereklilikleri ilgili ihale dokümanına, sözleşmeye, yetkilendirme şartlarına veya uygulanabilir düzenlemelere göre değişebilir.

Örneğin bir kamu ihalesinde ISO 9001 Kalite Yönetim Sistemi belgesi talep edilirken farklı bir projede ISO 27001 Bilgi Güvenliği Yönetim Sistemi belgesi istenebilir.

Bazı durumlarda her iki belge birlikte talep edilebilir.

Bu nedenle işletmelerin belgelendirme çalışmalarına başlamadan önce ilgili ihale veya müşteri şartlarını incelemesi önemlidir.

Ayrıca talep edilen belgelerin akreditasyon ve kapsam şartları da değerlendirilmelidir.

ISO 9001 ve ISO 27001 Belgelendirme Ücretleri Birlikte Daha Uygun Olur mu?

İki standardın birlikte belgelendirilmesi, bazı durumlarda denetim planlaması ve yönetim sistemi çalışmalarında verimlilik sağlayabilir.

Ancak bu durum, belgelendirme ücretlerinin her zaman belirli oranda düşeceği anlamına gelmez.

Belgelendirme kuruluşu; çalışan sayısını, faaliyetleri, lokasyonları, yönetim sistemi kapsamını ve denetim gerekliliklerini değerlendirerek teklif oluşturur.

Entegre denetim yapılabilmesi için kuruluşun yönetim sistemlerinin entegrasyon düzeyi de dikkate alınabilir.

Danışmanlık çalışmalarında ise ortak dokümantasyon, eğitim ve yönetim sistemi faaliyetlerinin birlikte planlanması mümkün olabilir.

Bu nedenle iki standart için teklif alınırken yalnızca toplam ücret değil, danışmanlık kapsamı, denetim süreleri ve akreditasyon şartları da değerlendirilmelidir.

ISO 9001 ve ISO 27001 Belgeleri Aynı Anda Yenilenebilir mi?

ISO 9001 ve ISO 27001 belgelerinin belgelendirme döngüleri uygun şekilde planlanarak denetimlerinin aynı dönemde gerçekleştirilmesi mümkün olabilir.

Ancak belgelerin ilk düzenlenme tarihleri, mevcut belgelendirme döngüleri ve ilgili kuruluşların denetim planlamaları dikkate alınmalıdır.

Örneğin her iki belge aynı belgelendirme kuruluşundan alınmışsa gözetim denetimlerinin entegre biçimde planlanması değerlendirilebilir.

Farklı belgelendirme kuruluşlarından alınmış belgelerde ise denetim takvimlerinin koordinasyonu ayrıca gerekebilir.

Önemli olan her standardın belgelendirme ve gözetim gerekliliklerinin karşılanmasıdır.

ISO 9001 ve ISO 27001 Hakkında Sık Sorulan Sorular

ISO 27001 almak için ISO 9001 zorunlu mu?

Hayır. ISO 27001 belgesi almak için önceden ISO 9001 belgesine sahip olmak zorunlu değildir. İşletmeler doğrudan ISO 27001 belgelendirmesine başvurabilir.

ISO 9001 belgesi olan firma ISO 27001'i daha kolay alır mı?

ISO 9001 kapsamında oluşturulmuş doküman kontrolü, iç tetkik ve yönetimin gözden geçirmesi gibi süreçler ISO 27001 hazırlıklarında kullanılabilir. Ancak bilgi güvenliğine özgü gerekliliklerin ayrıca karşılanması gerekir.

ISO 9001 ve ISO 27001 aynı anda alınabilir mi?

Evet. İşletmeler her iki standardı birlikte uygulamaya alabilir ve uygun koşullarda entegre belgelendirme denetimi planlayabilir.

ISO 9001 ve ISO 27001 aynı belge mi?

Hayır. ISO 9001 kalite yönetim sistemi, ISO 27001 ise bilgi güvenliği yönetim sistemi standardıdır. Farklı gereklilikleri ve belgelendirme kapsamları bulunmaktadır.

ISO 27001 belgesi ISO 9001 yerine geçer mi?

Hayır. ISO 27001 belgesi, ISO 9001 Kalite Yönetim Sistemi belgesinin yerine geçmez. Her iki belge farklı yönetim sistemi gerekliliklerini karşılar.

ISO 9001 ve ISO 27001 için ayrı iç tetkik yapılmalı mı?

İç tetkikler entegre biçimde gerçekleştirilebilir. Ancak her iki standardın gereklilikleri değerlendirilmelidir.

ISO 9001 ve ISO 27001 için tek YGG toplantısı yeterli mi?

Her iki standardın yönetimin gözden geçirmesi gereklilikleri karşılanıyorsa entegre YGG toplantısı yapılabilir. Toplantı sonuçlarının uygun şekilde kayıt altına alınması gerekir.

ISO 9001 ve ISO 27001 belgeleri aynı belgelendirme kuruluşundan alınabilir mi?

Evet. Belgelendirme kuruluşunun ilgili standartlar için gerekli yetkinliğe ve talep edilen akreditasyon kapsamına sahip olması halinde her iki standart için belgelendirme hizmeti alınabilir.

ISO 9001 ve ISO 27001 Danışmanlık ve Belgelendirme Hizmetleri

ISO 9001 ve ISO 27001 belgelerini birlikte almak isteyen işletmelerin öncelikle mevcut yönetim sistemi uygulamalarının ve belgelendirme ihtiyaçlarının değerlendirilmesi önemlidir.

Özellikle yazılım geliştirme, bilişim hizmetleri, çağrı merkezi ve teknoloji sektörlerinde faaliyet gösteren işletmelerde kalite ve bilgi güvenliği yönetim sistemlerinin birlikte planlanması, ortak süreçlerin daha etkin yönetilmesine yardımcı olabilir.

YYS Danışmanlık olarak ISO 9001 ve ISO/IEC 27001:2022 kapsamında mevcut durum analizi, yönetim sistemi kurulumu, dokümantasyon, eğitim, iç tetkik, yönetimin gözden geçirmesi ve belgelendirme sürecinin koordinasyonu konularında hizmet sunuyoruz.

İlk kez belge alacak veya mevcut ISO 9001 yönetim sistemine ISO 27001 gerekliliklerini dahil etmek isteyen işletmelerin çalışmalarının planlanmasına destek sağlıyoruz.

ISO 9001 ve ISO 27001 danışmanlık hizmetleri, entegre yönetim sistemi kurulumu veya TÜRKAK akreditasyonlu belgelendirme seçenekleri hakkında bilgi almak için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 belgesi almak için ISO 9001 belgesine sahip olmak zorunlu değildir.

İşletmeler bilgi güvenliği yönetim sistemi gerekliliklerini karşılayarak doğrudan ISO 27001 belgelendirmesine başvurabilir.

Bununla birlikte ISO 9001 kapsamında oluşturulmuş yönetim sistemi süreçleri, ISO 27001 hazırlıklarında kullanılabilecek ortak bir altyapı sağlayabilir.

ISO 9001 ve ISO 27001 belgelerini birlikte almak isteyen işletmeler için doğru yaklaşım, iki standardın ortak gerekliliklerini entegre biçimde yönetirken kalite ve bilgi güvenliğine özgü şartları ayrı ayrı karşılamaktır.