ISO 27701:2019 overstappen naar de 2025-versie

Certificaten op basis van ISO/IEC 27701:2019 blijven geldig tot de overgangsdeadline in oktober 2028, mits je aan de reguliere certificeringseisen blijft voldoen. Daarna moet je zijn overgestapt op de 2025-versie. De 2025-versie verscheen op 14 oktober 2025 en is een grote revisie. Ze is nu een zelfstandige norm, dus je hebt geen ISO 27001-certificaat meer nodig om haar te halen. Het overzicht van de norm staat op wat is ISO 27701, en het verschil met ISO 27001 op ISO 27701 vs. ISO 27001.

Heb je nog geen certificaat? Dan certificeer je direct op de 2025-versie. De overgang geldt alleen voor wie al op de 2019-versie zit.

Wat is er veranderd?

De grootste verandering is de structuur. In de 2019-versie was ISO 27701 een uitbreiding op ISO 27001 en ISO 27002. Je kon het alleen halen met een ISO 27001-certificaat. In 2025 is de norm zelfstandig, met eigen eisen op hoofdstukken 4 tot en met 10. De beheersmaatregelen zijn opnieuw geordend, en de praktische richtlijnen staan in een eigen bijlage.

Daarnaast krijgen gevoelige gegevens meer aandacht, zoals biometrie en gezondheidsdata, en privacyrisico’s van geautomatiseerde besluitvorming en AI. Bronnen noemen ook IoT, maar dat is niet overal bevestigd. Kijk bij een overstap dus of je scope die onderwerpen raakt. Een voorbeeld: een zorg-app met gezondheidsdata en een scoringsmodel valt in 2025 duidelijker onder de aandachtspunten dan in 2019.

Wanneer moet je overstappen?

De deadline is oktober 2028. Bronnen verschillen op de precieze dag: één noemt 1 oktober, een andere 31 oktober 2028 (het UKAS-bulletin noemt 31 oktober 2028 voor certificeerders). Vraag je certificeerder welke datum voor jouw certificaat geldt. Hun eigen planning kan ook eerder zijn, want certificeerders moeten zelf ook overstappen.

Plan terug vanaf de deadline. Een transitie-audit kost tijd, en de meeste certificeerders verwachten dat je het traject ruim vóór de deadline hebt afgerond. Wie pas in het laatste jaar begint, loopt het risico dat de audit er net niet meer in past.

Hoe plan je de overstap?

Veelgemaakte fouten

Denken dat er niets verandert. De nummering en de indeling van de maatregelen zijn veranderd. Wie oude nummers blijft gebruiken, komt in de audit in de problemen.

Wachten tot de deadline nadert. De certificeerders hebben ook drukke periodes. Een transitie-audit vraagt om een plek in hun agenda.

De scope niet opnieuw bekijken. Dekt je scope nu biometrie, gezondheidsdata of AI-toepassingen, dan moet je dat in de overstap meenemen.

Aannemen dat het alleen een papieren klus is. De overstap vraagt om aantoonbare werking van de nieuwe maatregelen, niet alleen om nieuwe tekst in je handboek.

Voorbeeld: een planning terugrekenen vanaf de deadline

Een organisatie met een 2019-certificaat wil op tijd zijn. Ze rekent terug vanaf de deadline in oktober 2028 en gebruikt de volgorde van de stappen als vaste planning.

De belangrijkste regel: plan de transitie-audit niet op de laatste maand. Als een afwijking uit de audit een nieuw traject nodig maakt, is er geen tijd meer. Reken de marge bewust mee, en vraag je certificeerder om de precieze termijnen.

Veelgestelde vragen over de overgang

Moet ik overstappen als mijn 2019-certificaat nog twee jaar geldig is? De deadline in oktober 2028 is de datum waarop de 2019-versie stopt. Zolang je certificaat op de 2019-versie geldig is, hoef je niet direct te veranderen. Plan de overstap wel vooruit, want de transitie-audit kost tijd.

Kan ik de overstap combineren met de hercertificering? Dat hangt af van je certificeerder. Vraag het vooraf schriftelijk en leg de voorwaarden vast. Combineren kan de planning vereenvoudigen, maar alleen als de auditor de nieuwe versie dan ook volledig toetst.

Wat als mijn klant nog op de 2019-versie vraagt? Vraag de klant welke versie in de eis staat. Staat er alleen “ISO 27701” zonder versie, vraag dan welke versie de klant verwacht. Bevestig het antwoord schriftelijk.

Volgende stappen

Vraag je certificeerder om de precieze deadline en de eisen voor de transitie. Heb je geen geldig certificaat meer, dan begin je met het stappenplan. Vragen over de geldigheid van je certificaat beantwoordt de pagina ISO 27701-certificaat: geldigheid. Veel van de twijfels over de overgang komen ook terug op veelgestelde vragen.

Bronnen

• ISO/IEC 27701 bij ISO  – de norm en de officiële versie
• UKAS: transition arrangements for PIMS  – publicatiedatum en transitiedata
• NEN  – de Nederlandse uitgave
• Raad voor Accreditatie (RvA)  – het register van geaccrediteerde instellingen