ISO 27001 belgesi alan veya belgelendirme sürecine hazırlanan işletmelerin merak ettiği konulardan biri, sertifikanın kaç yıl geçerli olduğu ve belge alındıktan sonra hangi denetimlerin gerçekleştirileceğidir.

Özellikle ilk kez ISO 27001 belgesi alacak firmalar, belgenin üç yıl boyunca herhangi bir işlem yapılmadan kullanılıp kullanılamayacağını ve her yıl yeniden belgelendirme ücreti ödenmesi gerekip gerekmediğini öğrenmek istemektedir.

ISO/IEC 27001 belgesi, akredite yönetim sistemi belgelendirmesinde normal şartlarda üç yıllık belgelendirme döngüsüne sahiptir. Bu süre içerisinde planlanan gözetim denetimlerinin gerçekleştirilmesi ve belgelendirme şartlarının sürdürülmesi gerekir.

Üç yıllık döngünün sonunda ise belgenin devamlılığı için yeniden belgelendirme denetimi yapılır.

ISO 27001 Belgesi Kaç Yıl Geçerlidir?

ISO 27001 belgelendirmesinde genel uygulama üç yıllık belgelendirme döngüsüdür.

İlk belgelendirme denetiminin başarıyla tamamlanmasının ardından belgelendirme kuruluşu gerekli değerlendirmeleri yaparak sertifikasyon kararını verir.

Olumlu karar sonrasında ISO 27001 belgesi düzenlenir.

Belgenin üzerinde düzenlenme tarihi, geçerlilik tarihi, belgelendirme kapsamı ve ilgili kuruluş bilgileri bulunur.

Ancak belgenin üzerinde üç yıllık geçerlilik süresi bulunması, işletmenin bu süre boyunca denetim yapılmadan belgeyi kullanabileceği anlamına gelmez.

Belgelendirme kuruluşu tarafından planlanan gözetim denetimlerinin gerçekleştirilmesi gerekir.

Ayrıca işletmenin bilgi güvenliği yönetim sistemini uygulamaya devam etmesi ve belgelendirme şartlarını karşılaması beklenir.

ISO 27001 Belgesi Her Yıl Yenilenir mi?

ISO 27001 belgesi her yıl yeniden belgelendirme işlemine tabi tutulmaz.

Ancak üç yıllık belgelendirme döngüsü içerisinde düzenli gözetim denetimleri gerçekleştirilir.

Bu denetimler uygulamada ara denetim olarak da adlandırılır.

Gözetim denetimlerinde işletmenin bilgi güvenliği yönetim sistemini sürdürüp sürdürmediği değerlendirilir.

Örneğin işletmenin risk değerlendirme faaliyetleri, bilgi güvenliği hedefleri, iç tetkik sonuçları ve düzeltici faaliyetleri incelenebilir.

Belgelendirme kuruluşu ayrıca önceki denetimlerde tespit edilen uygunsuzlukların durumunu değerlendirebilir.

Bu nedenle ISO 27001 belgesinin devamlılığı yalnızca sertifikanın geçerlilik tarihine bağlı değildir.

Belgelendirme döngüsü boyunca gözetim denetimlerinin gerçekleştirilmesi ve yönetim sisteminin etkin biçimde sürdürülmesi gerekir.

ISO 27001 Ara Denetim Ne Zaman Yapılır?

ISO 27001 belgelendirmesinde ilk gözetim denetiminin, ilk belgelendirme karar tarihinden itibaren 12 ayı geçmeyecek şekilde gerçekleştirilmesi gerekir.

Sonraki gözetim denetimleri ise belgelendirme kuruluşunun ilgili kurallara göre oluşturduğu denetim programı kapsamında planlanır.

Genel uygulamada üç yıllık döngü aşağıdaki şekilde ilerler:

İlk gözetim denetiminin zamanında gerçekleştirilmesi özellikle önemlidir.

Denetimin planlanan süre içerisinde yapılmaması, belgelendirme kuruluşunun uyguladığı kurallara göre sertifikanın askıya alınması gibi sonuçlar doğurabilir.

Bu nedenle işletmelerin denetim tarihlerini önceden takip etmesi gerekir.

ISO 27001 Gözetim Denetiminde Neler Kontrol Edilir?

ISO 27001 gözetim denetimi, işletmenin bilgi güvenliği yönetim sistemini sürdürdüğünü ve belgelendirme gerekliliklerini karşılamaya devam ettiğini değerlendirmek amacıyla gerçekleştirilir.

Gözetim denetimleri, ilk belgelendirme denetiminin bütün kapsamının her yıl aynı ayrıntıda tekrar edilmesi anlamına gelmez.

Ancak belgelendirme kuruluşu, ilgili yönetim sistemi gerekliliklerini ve önceki denetim sonuçlarını dikkate alarak denetim planını oluşturur.

Gözetim denetiminde özellikle iç tetkikler, yönetimin gözden geçirmesi, önceki uygunsuzluklar için gerçekleştirilen faaliyetler ve yönetim sisteminin performansı değerlendirilebilir.

Ayrıca işletmenin bilgi güvenliği risklerinde meydana gelen değişiklikler, güvenlik kontrollerinin uygulanması ve belgelendirme kapsamındaki değişiklikler incelenebilir.

Örneğin yeni bir bulut hizmeti kullanılmaya başlanmışsa bu değişikliğin bilgi güvenliği risk değerlendirmesine yansıtılıp yansıtılmadığı kontrol edilebilir.

Benzer şekilde yeni çalışanların erişim yetkilerinin nasıl yönetildiği veya bilgi güvenliği olaylarının nasıl ele alındığı değerlendirilebilir.

ISO 27001 Ara Denetim Öncesinde Hangi Hazırlıklar Yapılmalı?

ISO 27001 gözetim denetimine hazırlanan işletmelerin öncelikle mevcut bilgi güvenliği yönetim sistemi uygulamalarını gözden geçirmesi gerekir.

Özellikle önceki belgelendirme denetiminde tespit edilen uygunsuzlukların kapatılması ve gerçekleştirilen faaliyetlerin etkinliğinin değerlendirilmesi önemlidir.

Risk değerlendirmesi ve SOA dokümanlarının mevcut faaliyetleri yansıtıp yansıtmadığı kontrol edilmelidir.

İşletmede yeni sistemler, yeni lokasyonlar veya önemli organizasyonel değişiklikler bulunuyorsa bunların bilgi güvenliği yönetim sistemine etkileri değerlendirilmelidir.

Ayrıca iç tetkik ve yönetimin gözden geçirmesi faaliyetlerinin planlanan şekilde gerçekleştirilmiş olması gerekir.

Çalışanların bilgi güvenliği farkındalığı, bilgi güvenliği hedeflerinin takibi ve gerekli kontrol kayıtları da gözden geçirilmelidir.

Burada amaç yalnızca denetim için doküman hazırlamak değildir.

İşletmenin bilgi güvenliği yönetim sisteminin mevcut faaliyetlere uygun biçimde çalıştığını gösterebilmesi gerekir.

ISO 27001 Ara Denetim Yapılmazsa Belge İptal Olur mu?

ISO 27001 gözetim denetimlerinin gerçekleştirilmemesi, sertifikanın geçerliliğini etkileyebilir.

Ancak planlanan bir denetimin gerçekleştirilememesi halinde belgenin her durumda doğrudan iptal edileceği söylenemez.

Belgelendirme kuruluşu, ilgili akreditasyon ve belgelendirme kuralları doğrultusunda durumu değerlendirir.

Gerekli şartların karşılanmaması halinde sertifikanın askıya alınması söz konusu olabilir.

Askıya alma durumunun belirlenen süre içerisinde giderilmemesi ise belgenin geri çekilmesine neden olabilir.

Bu nedenle işletmelerin gözetim denetimlerini son tarihe bırakmadan planlaması önemlidir.

Özellikle kamu kurumlarıyla çalışan veya müşteri sözleşmelerinde geçerli ISO 27001 belgesi sunma yükümlülüğü bulunan işletmelerin sertifika durumunu düzenli olarak takip etmesi gerekir.

ISO 27001 Belgesi Süresi Dolarsa Ne Olur?

ISO 27001 belgesinin geçerlilik süresi dolduğunda, belge artık geçerli bir sertifika olarak kullanılamaz.

Belgelendirme döngüsünün devam etmesi için yeniden belgelendirme faaliyetlerinin zamanında planlanması gerekir.

Yeniden belgelendirme denetimi, bilgi güvenliği yönetim sisteminin genel uygunluğunu ve etkinliğini değerlendirmek amacıyla gerçekleştirilir.

Bu süreçte önceki belgelendirme dönemindeki yönetim sistemi performansı da dikkate alınır.

Belgelendirme süresinin sona ermesinden önce gerekli faaliyetlerin tamamlanamaması halinde belgelendirme kuruluşunun uyguladığı kurallara göre farklı işlemler gerekebilir.

Bu nedenle işletmelerin yeniden belgelendirme sürecine sertifika geçerlilik tarihinden önce başlaması önerilir.

ISO 27001 belgesinin süresi dolduktan sonra yeni sertifika düzenlenene kadar mevcut belgenin geçerli olduğu varsayılmamalıdır.

ISO 27001 Belgesi Nasıl Yenilenir?

ISO 27001 belge yenileme süreci, yeniden belgelendirme denetimiyle gerçekleştirilir.

Bu süreçte işletmenin bilgi güvenliği yönetim sistemini sürdürdüğü ve standardın gerekliliklerini karşılamaya devam ettiği değerlendirilir.

Yeniden belgelendirme öncesinde bilgi güvenliği yönetim sistemi kapsamı, risk değerlendirmesi, SOA ve ilgili yönetim sistemi faaliyetleri gözden geçirilmelidir.

Ayrıca önceki belgelendirme döneminde gerçekleştirilen iç tetkikler, yönetimin gözden geçirmesi faaliyetleri ve düzeltici faaliyet sonuçları değerlendirilir.

Belgelendirme kuruluşu, işletmenin faaliyetlerini ve mevcut durumunu dikkate alarak yeniden belgelendirme denetimini planlar.

Denetim ve belgelendirme kararının olumlu tamamlanması halinde yeni belgelendirme döngüsü başlatılır.

Ancak yeni sertifikanın düzenlenmesi, işletmenin belgelendirme şartlarını karşılamasına bağlıdır.

ISO 27001 Yenileme Denetimi ile Ara Denetim Arasındaki Fark Nedir?

ISO 27001 ara denetimi ve yeniden belgelendirme denetimi farklı amaçlarla gerçekleştirilir.

Ara denetim, mevcut belgelendirme döngüsü içerisinde bilgi güvenliği yönetim sisteminin sürdürüldüğünü değerlendirmeyi amaçlar.

Yeniden belgelendirme denetimi ise yeni belgelendirme döngüsüne geçilmeden önce yönetim sisteminin genel uygunluğunu ve etkinliğini değerlendirir.

Bu nedenle yeniden belgelendirme denetiminin kapsamı ve süresi, gözetim denetiminden farklı olabilir.

Her iki denetimde de işletmenin bilgi güvenliği yönetim sistemi uygulamalarına ilişkin kanıtlar incelenir.

Ancak yeniden belgelendirme sürecinde önceki belgelendirme dönemindeki performans ve yönetim sisteminin devamlılığı daha kapsamlı şekilde ele alınır.

ISO 27001 Belgesi Başka Belgelendirme Kuruluşuna Taşınabilir mi?

ISO 27001 belgesi bulunan işletmeler, uygun koşullarda belgelendirme kuruluşunu değiştirebilir.

Bu işlem belgelendirme transferi olarak adlandırılır.

Transfer sürecinde mevcut sertifikanın durumu, belgelendirme kapsamı, önceki denetim raporları ve varsa açık uygunsuzluklar değerlendirilir.

Ancak bütün sertifikaların koşulsuz olarak transfer edilebileceği söylenemez.

Transfer işlemleri ilgili akreditasyon kurallarına ve yeni belgelendirme kuruluşunun değerlendirmesine bağlıdır.

Örneğin mevcut sertifikanın askıya alınmış olması veya belgelendirme kapsamıyla ilgili önemli sorunlar bulunması transfer sürecini etkileyebilir.

Bu nedenle belgelendirme kuruluşunu değiştirmek isteyen işletmelerin mevcut belge durumlarını ve denetim takvimlerini önceden değerlendirmesi önemlidir.

ISO 27001 Ara Denetim Ücreti Her Yıl Ödenir mi?

ISO 27001 belgelendirmesinde gözetim denetimleri için ücretlendirme yapılması yaygın bir uygulamadır.

Ancak ücretlerin ödeme zamanı ve kapsamı belgelendirme kuruluşunun teklif ve sözleşme şartlarına göre değişebilir.

Bazı belgelendirme tekliflerinde ilk belgelendirme ve gözetim denetimleri ayrı ayrı fiyatlandırılır.

Bazı sözleşmelerde ise belgelendirme döngüsüne ilişkin farklı ödeme planları uygulanabilir.

Bu nedenle ISO 27001 belgesi almak isteyen işletmelerin yalnızca ilk belgelendirme ücretini değil, sonraki gözetim ve yeniden belgelendirme maliyetlerini de değerlendirmesi gerekir.

Özellikle üç yıllık belgelendirme döngüsü boyunca oluşabilecek toplam maliyetin önceden bilinmesi, işletmenin bütçe planlamasını kolaylaştırabilir.

ISO 27001 Belgesi Geçerliliği Nasıl Sorgulanır?

ISO 27001 sertifikasının geçerliliğini değerlendirmek isteyen işletmeler, belgelendirme kuruluşunun doğrulama sistemlerinden yararlanabilir.

Sertifika üzerinde yer alan belge numarası, belgelendirme kuruluşu, kapsam ve geçerlilik tarihleri kontrol edilmelidir.

Ancak yalnızca sertifika üzerinde yazan son geçerlilik tarihinin kontrol edilmesi yeterli olmayabilir.

Belgenin askıya alınmış veya geri çekilmiş olması mümkündür.

Bu nedenle güncel sertifika durumunun ilgili belgelendirme kuruluşundan doğrulanması önemlidir.

Akredite belgelerde ayrıca ilgili akreditasyon kuruluşunun kapsam ve geçerlilik bilgileri değerlendirilebilir.

Özellikle ihale veya müşteri sözleşmeleri kapsamında belge doğrulaması yapılırken sertifikanın güncel durumunun kontrol edilmesi önerilir.

ISO 27001 Belge Geçerliliği Hakkında Sık Sorulan Sorular

ISO 27001 belgesi kaç yıl geçerlidir?

ISO 27001 belgesi, akredite yönetim sistemi belgelendirmesinde normal şartlarda üç yıllık belgelendirme döngüsüne sahiptir. Bu süre içerisinde gözetim denetimlerinin gerçekleştirilmesi gerekir.

ISO 27001 ara denetim her yıl yapılır mı?

Genel uygulamada üç yıllık belgelendirme döngüsü içerisinde yıllık gözetim denetimleri gerçekleştirilir. İlk gözetim denetimi, ilk belgelendirme karar tarihinden itibaren 12 ayı geçmemelidir.

ISO 27001 belgesi her yıl yenilenir mi?

Hayır. Her yıl yeniden belgelendirme yapılmaz. Ancak belgenin devamlılığı için planlanan gözetim denetimlerinin gerçekleştirilmesi gerekir.

ISO 27001 ara denetim yapılmazsa ne olur?

Gözetim denetiminin gerçekleştirilmemesi sertifikanın askıya alınmasına neden olabilir. Durumun devam etmesi halinde belgenin geri çekilmesi söz konusu olabilir.

ISO 27001 belgesi süresi dolunca otomatik yenilenir mi?

Hayır. Belgenin yenilenmesi için yeniden belgelendirme sürecinin gerçekleştirilmesi ve olumlu belgelendirme kararı verilmesi gerekir.

ISO 27001 belge yenileme ne kadar sürer?

Yenileme süresi işletmenin büyüklüğüne, faaliyetlerine, mevcut yönetim sistemi durumuna ve belgelendirme kuruluşunun planlamasına göre değişir.

ISO 27001 belgesi başka firmaya transfer edilebilir mi?

Uygun koşullarda belgelendirme kuruluşu değiştirilebilir. Ancak transfer işlemi ilgili akreditasyon kurallarına ve yeni belgelendirme kuruluşunun değerlendirmesine bağlıdır.

ISO 27001 belgesinin geçerli olduğu nasıl anlaşılır?

Sertifika numarası ve belgelendirme kuruluşu bilgileri üzerinden güncel belge durumu doğrulanmalıdır. Yalnızca sertifika üzerinde yazan geçerlilik tarihinin kontrol edilmesi yeterli olmayabilir.

ISO 27001 Ara Denetim ve Belge Yenileme Hizmetleri – YYS Danışmanlık

ISO 27001 belgesinin devamlılığı için gözetim ve yeniden belgelendirme süreçlerinin zamanında planlanması önemlidir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında gözetim denetimine hazırlık, mevcut durum değerlendirmesi, risk analizi ve SOA güncelleme, iç tetkik, yönetimin gözden geçirmesi ve yeniden belgelendirme sürecinin koordinasyonu konularında hizmet sunuyoruz.

Mevcut ISO 27001 belgesini yenilemek veya belgelendirme kuruluşunu değiştirmek isteyen işletmelerin süreçlerinin değerlendirilmesine de destek sağlıyoruz.

ISO 27001 ara denetim, belge yenileme veya belgelendirme transferi hakkında bilgi almak için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 belgesi, normal şartlarda üç yıllık belgelendirme döngüsüne sahiptir.

Ancak bu süre içerisinde işletmenin bilgi güvenliği yönetim sistemini sürdürmesi ve planlanan gözetim denetimlerini gerçekleştirmesi gerekir.

Üç yıllık döngünün sonunda ise yeniden belgelendirme denetimi yapılır.

ISO 27001 belgesinin geçerliliğini korumak için yalnızca sertifika tarihini takip etmek yeterli değildir. Gözetim denetimlerinin zamanında gerçekleştirilmesi ve bilgi güvenliği yönetim sisteminin etkin biçimde uygulanmaya devam etmesi gerekir.