Overgang naar ISO 27701:2025: termijnen en wijzigingen

Heb je een certificaat op ISO 27701:2019, dan moet je overgang vóór 15 oktober 2028 klaar zijn. Op die datum loopt de accreditatie voor de versie van 2019 af bij de nationale accreditatie-instantie, de Nederlandse accreditatie-instelling. Is je certificeerder via de Britse UKAS geaccrediteerd, dan geldt 1 november 2028. Op je certificaat staat meestal het logo van de accreditatie-instelling.

De nationale accreditatie-instantie-datum staat als "geldig tot" bij de versie van 2019 in de accreditaties van twee certificeerders. Een apart bericht van de nationale accreditatie-instantie over deze overgang hebben we niet gevonden. Een certificeerder mag een geaccrediteerd certificaat alleen afgeven binnen zijn accreditatie. Reken er dus op dat je certificaat op de versie van 2019 na 15 oktober 2028 niet meer telt, ook als er een latere vervaldatum op staat.

Voor deze norm hebben we geen overgangsdocument van Global Accreditation Cooperation (Global ACI) gevonden. Global ACI is de fusie van IAF en ILAC, de internationale samenwerkingen van accreditatie-instellingen. Bij ISO 9001 legt Global ACI de termijnen vast. Hier doen de accreditatie-instellingen het zelf, en daarom volgen we hun data. De Britse UKAS zegt dat zijn plan aansluit op wat de werkgroep van IAF voor informatiebeveiliging heeft afgesproken. Dit zijn de data die we in de bronnen vonden:

Een certificeerder mag pas op ISO 27701:2025 certificeren als zijn accreditatie-instelling hem daarvoor heeft goedgekeurd. Bij de nationale accreditatie-instantie staat dat in de scope als "ISO/IEC 27701, volgens ISO/IEC 27706". Vraag daarom vóór je een audit plant of je certificeerder die goedkeuring al heeft.

De grootste wijziging is dat ISO 27701 nu een zelfstandige norm is. Het voorwoord noemt dat als de belangrijkste wijziging. In de versie van 2019 stonden alleen aanvullingen op de eisen van ISO 27001. Nu heeft de norm zijn eigen hoofdstukken 4 tot en met 10. Bijlage F van de norm zet de oude en de nieuwe nummering naast elkaar. Hieronder staan de wijzigingen die UKAS noemt, met per wijziging wat je doet.

Eigen managementsysteem (hoofdstuk 4 tot en met 10). De norm volgt nu de vaste opbouw van alle ISO-managementnormen. Heb je ISO 27001, dan kun je je privacysysteem daarin laten opgaan. Je kunt het ook los zetten. Kies dat eerst. De rest van je overgang hangt ervan af.

Eigen privacybeleid en privacydoelen (5.2 en 6.2). Privacy krijgt een eigen beleid en eigen doelen. In de versie van 2019 hingen die aan je beleid voor informatiebeveiliging. Schrijf een privacybeleid of maak van privacy een eigen deel in je bestaande beleid. Stel doelen voor privacy die je kunt meten.

Privacyrisico's in het systeem (6.1.2, 6.1.3, 8.2 en 8.3). De beoordeling en behandeling van privacyrisico's zijn nu eigen eisen. Ze staan niet meer als aanvulling bij de risicoanalyse van ISO 27001. Kijk of je methode de risico's voor de mensen achter de gegevens meeneemt. Leg vast hoe je die risico's beoordeelt en behandelt.

De volledige eisen staan bij de eisen van ISO 27701.

Je gaat over in een overgangsaudit (transitieaudit). Hoe die gaat, legt je certificeerder vast in zijn eigen overgangsplan. UKAS toetst die plannen bij zijn certificeerders. Vraag of de overgang kan meelopen met je controle-audit of met je hercertificering. Dan betaal je meestal geen extra bezoek. Valt je hercertificering na oktober 2028, laat de overgang dan meelopen met een controle-audit vóór die datum. Levert de overgangsaudit afwijkingen op, dan moet je die nog oplossen. Je nieuwe certificaat moet ook vóór de einddatum zijn afgegeven. Plan de overgangsaudit daarom zo dat er na de audit nog tijd is voor beide.

Bespreek vóór de audit ook of ISO 27701 samen met ISO 27001 blijft. Vraag dan hoe je certificaat er na de overgang uitziet: één certificaat voor beide normen, of twee aparte.

De overgang kost je vooral eigen tijd. Je moet je beleid, je risicoanalyse en de nummering van je maatregelen aanpassen. Een vast aantal uren daarvoor hebben we niet. Soms kost hij ook extra audittijd. Een auditdag kost €1.000 tot €1.800 exclusief btw. De certificeerder moet volgens ISO/IEC 17021-1 vastleggen hoeveel tijd hij rekent en waarom. Vraag dus in je offerte hoeveel extra tijd hij voor de overgang rekent, en waarom. Na de overgang rekent hij met de regels van ISO/IEC 27706:2025. Die norm heeft een eigen bijlage voor de audittijd. Je aantal dagen kan daardoor veranderen. Wat een ISO 27701-certificaat over drie jaar kost, staat bij kosten van ISO 27701.

Drie situaties lopen anders dan een gewone overgang.

Bij ISO 27701 is de vraag wie de nieuwe versie al mag doen. Op 24 september 2026 hadden 8 certificeerders in Nederland ISO 27701 in hun accreditatie. Daarvan mochten er 2 de versie van 2025 doen. Je hebt voor de overgang toch een audit nodig. Dat is een logisch moment om te kijken of je certificeerder nog past. Hoe je overstap en overgang in één traject doet, staat bij overstap en overgang combineren. Bij CertificeerWijzer vraag je met één aanvraag offertes op bij certificeerders die ISO 27701 geaccrediteerd mogen doen. Vraag elk van hen of hij de versie van 2025 al mag doen en hoeveel tijd hij voor de overgang rekent.