ISO 27001:2022: почему старые сертификаты больше не действуют и что делать?

Переходный период с ISO/IEC 27001:2013 на ISO/IEC 27001:2022 завершился 31 октября 2025 года. С 1 ноября 2025 года сертификаты, выданные по предыдущей редакции стандарта в рамках аккредитованной сертификации, утратили силу. Поэтому для компаний, которые продолжают ориентироваться на версию 2013 года, вопрос перехода уже не относится к планам на будущее. Рассмотрим ключевые изменения ISO/IEC 27001:2022 и требования актуальной редакции стандарта.

Что изменилось в ISO IEC 27001 2022?

Одно из наиболее заметных изменений при сравнении версий касается Приложения А, содержащего перечень мер информационной безопасности (ИБ). Их количество сократилось со 114 до 93, при этом сама структура была переработана. Вместо 14 групп меры объединены в четыре категории:

• Организационные меры (37 пунктов). Охватывают политики информационной безопасности, распределение ответственности, взаимодействие с поставщиками, управление инцидентами и другие организационные аспекты.
• Технологические меры (34 пункта). Включают меры, связанные с управлением доступом, безопасностью сетей, криптографией, защитой информационных систем и технологическими аспектами.
• Физические меры (14 пунктов). Направлены на обеспечение физической безопасности помещений, оборудования и других активов.
• Меры, связанные с людьми (8 пунктов). Охватывают вопросы осведомленности, обучения, ответственности персонала и другие меры, связанные с человеческим фактором.

Кроме того, в редакции 2022 года появились 11 новых мер ИБ, в том числе анализ угроз, безопасность облачных сервисов, мониторинг активности, веб-фильтрация, удаление информации, готовность ИКТ к обеспечению непрерывности бизнеса и безопасное кодирование. Их применимость определяется организацией с учетом результатов оценки и обработки рисков информационной безопасности.

Климатическая поправка Amd 1:2024

В феврале 2024 года к ISO/IEC 27001:2022 была опубликована поправка Amd 1:2024, связанная с учетом изменения климата. Организация должна определить, является ли изменение климата значимым фактором для ее СУИБ (п. 4.1), а также учитывать связанные с ним требования соответствующих заинтересованных сторон (п. 4.2).

Подробнее о Amd 1:2024, затронутых стандартах ИСО и действиях для бизнеса читайте в нашей статье «Поправка Amd 1:2024 к стандартам ISO: что изменилось для бизнеса».

ISO/IEC 27001:2022 уже является актуальной редакцией стандарта, а переход с версии 2013 года завершен. Поэтому сегодня ключевая задача организации – не перенос отдельных требований из одной версии в другую, а поддержание СУИБ в соответствии с актуальными рисками, процессами и условиями работы компании.

При этом требования стандарта необходимо рассматривать в комплексе: от оценки рисков и применимости мер информационной безопасности до учета требований заинтересованных сторон и климатических факторов.

Нужна помощь с ISO/IEC 27001:2022? Специалисты «Центра содействия экспорту» помогут оценить готовность системы управления информационной безопасностью и подготовиться к сертификации.