ISO27001:2025版への移行対応ガイド｜移行期限・主な変更点・必要な対応

１．いつまでに移行審査を受けなくてはならないか

ISO27701:2025規格が、2025年10月に発行されました。（JIS規格の発行時期等は未定。）ISO27701:2025版への移行期限は、2028年10月31日です。ISO27701:2019の認証を取得している組織は、この日までに受審する審査において、ISO27701:2025版への移行を完了する必要があります。

移行審査は単独で実施されることもありますが、多くの組織では毎年実施される維持審査や、3年ごとの更新審査のタイミングに合わせて受審するケースが一般的です。

計画的に準備を進め、移行期間内に適切な対応を完了することが重要です。

２．2019年版と比べて、どのような違いがあるのか

今回の改訂の最大のポイントは、これまでISO27001のアドオン規格であったISO27701が、単独の認証規格となったことです。そのため、ISO27001と同等の規格本文（4項～10項）が定められ、これにより、新規にISO27701の認証を取得したいと考える組織にとって、ISO27001の認証取得を前提としなくても、ISO27701単独で認証を取得することが可能となりました。

附属書A.3では、ISO27001附属書Aから抜粋する形で、セキュリティ管理策が定められています。ただし規格本文6.1.3プライバシーリスク対応では、情報セキュリティプログラムとして対応すべき事項について、ISO27001附属書Aの内容を幅広く指定しているため、実質的にはISO27001附属書A全般を意識した情報セキュリティプログラムを構築すべきであろうと考えられます。

ISO27701:2025版の主な変更ポイント

• プライバシー情報マネジメントシステムの独立した構築が可能に
• ISO27001附属書A全般を意識した、情報セキュリティプログラムの策定が必要

３．どのような対応が必要となるのか

ISO27701:2025版への移行にあたっては、以下のような取組みを通じて、マネジメントシステム全体の再点検を進めることが求められます。

ISO27701:2025版への移行で求められる主な対応

• プライバシー情報マネジメントシステムと既存のISMSとの統合状況の再評価
• プライバシー情報管理にまつわる、気候変動に関する課題・ニーズの特定
• プライバシー情報に関する情報セキュリティプログラムの再点検
• 附属書Aの項目番号の見直し

移行対応を円滑に進めるためのポイント

移行審査の直前に対応を進めるのではなく、維持審査や更新審査のスケジュールも踏まえながら、早い段階から準備を進めることが重要です。特に文書化した情報の改訂には一定の時間を要するため、計画的な移行対応が求められます。

アールアンドイーの強み

• 800社以上の豊富な支援実績
  これまでの幅広い支援経験をもとに、ISO27701:2025改訂への対応を支援します。
• オーダーメイドによる「機能する仕組み」への移行
  単なる文書の差し替えではなく、組織の実態に即した仕組みづくりを目的とし、既存文書のスリム化や他規格との統合、各種法令・CSR調達への対応も含め、各社の課題に合わせてご提案します。
• 丁寧な現状分析と対応の明確化
  ヒアリングにより、現行システムと改訂要求事項の差異を整理し、必要な対応を明確にします。
• 無理なく継続できる仕組みづくり
  過剰な仕組みを増やさず、担当者や現場の負担を抑えながら、審査対応だけでなく、プライバシー情報管理への取り組みを組織の価値と持続可能な経営につなげるマネジメントシステムへの移行を伴走します。