ISO/IEC 27006-1:2024 Übergangsleitfaden und Gap-Analyse

ISO/IEC 27006-1:2024, die Norm mit den Anforderungen an Stellen, die Informationssicherheits-Managementsysteme zertifizieren, wurde im März 2024 veröffentlicht. Das International Accreditation Forum (IAF) hat die Anforderungen für den Übergang im Dokument IAF MD 29:2024 festgelegt und die Übergangsfrist auf 2 (zwei) Jahre festgesetzt. Die veröffentlichte Norm bringt insbesondere Änderungen bei der Berechnung der Auditdauer, den Audittechniken (Remote-Audits) und den Kompetenzanforderungen des an Zertifizierungstätigkeiten beteiligten Personals.

Dementsprechend kündigen wir als IQM Certification die Anforderungen der ISO/IEC 27006-1:2024 allen unseren für ISO/IEC 27001 Informationssicherheits-Managementsysteme zertifizierten Kunden und anderen interessierten Parteien über unseren veröffentlichten Übergangsleitfaden mit Gap-Analyse an. Für Einzelheiten der Änderungen können Sie unseren Übergangsleitfaden einsehen oder uns zur Information kontaktieren.

Was ist ISO/IEC 27006-1:2024?

Diese Norm bietet Leitlinien für Stellen, die Informationssicherheits-Managementsysteme (ISMS) auditieren und zertifizieren. Sie regelt, wie Auditprozesse durchgeführt, Auditdauern berechnet und Remote-Audit-Methoden angewendet werden. Ziel ist es, Audit- und Zertifizierungsprozesse effizienter, transparenter und wirksamer zu gestalten.

Wesentliche Änderungen und Neuerungen

Remote-Audits: Remote-Audits wurden mit ausführlicheren Leitlinien und mehr Flexibilität formalisiert. Umfang und Wirksamkeit von Remote-Audits müssen in den Auditberichten klar angegeben werden. Für Fälle, in denen mehr als 30% des Audits aus der Ferne durchgeführt werden, entfällt die Genehmigungspflicht der Akkreditierungsstelle. Für Kunden mit wenigen oder keinen physischen Standorten muss im Bericht und auf dem Zertifikat angegeben werden, dass die Tätigkeiten aus der Ferne durchgeführt werden.

Berechnung der Auditdauer: Für Überwachungs-, Rezertifizierungs-, Multi-Site- und Erweiterungsaudits wurden klare und anwendbare Lösungen bereitgestellt. Ausführlichere Leitlinien zur Berechnung der Auditdauer finden sich in Anhang C (der frühere Anhang B wurde in Anhang C umbenannt).

Überprüfung der ISMS-Kontrollen: Die Norm wurde an ISO/IEC 27001:2022 angepasst. Die Kontrollen werden mit neuen Leitlinien in Anhang E (dem früheren Anhang D) ausführlicher behandelt.

Personalkompetenz: Die definierten quantitativen Schulungs- und Erfahrungsanforderungen für das an ISMS-Zertifizierungstätigkeiten beteiligte Personal wurden gestrichen; stattdessen werden Kompetenz und Qualifikation auf Grundlage einer fachlichen Bewertung bestimmt.

Flexibilität für Zertifizierungsstellen: ISO/IEC 27006-1:2024 vereinfacht die Zertifizierungsprozesse und sorgt für eine bessere Abstimmung mit ISO/IEC 17021-1.

Zeitplan des Übergangs

1. März 2024: Veröffentlichung der ISO/IEC 27006-1:2024.
1. Dezember 2024: Akkreditierungsstelle bereit für Konformitätsbewertungen nach der neuen Norm.
31. März 2025: Akkreditierungsstelle führt Akkreditierungstätigkeiten gemäß ISO/IEC 27006-1 durch.
31. März 2026: Konformitätsbewertungsstellen führen ihre Tätigkeiten gemäß ISO/IEC 27006-1 durch.

Da sich in der Ausgabe 2024 der ISO/IEC 27006-1 die Anforderungen zur Festlegung der Auditdauer geändert haben, muss der Vertrag zwischen IQM und unseren bestehenden zertifizierten Kunden möglicherweise überarbeitet werden. Für detaillierte Informationen kontaktieren Sie uns bitte.