ISO 27001 ve ISO 27701 Farkı: 2025 Baskısıyla Ne Değişti, Hangisi Size Uygun?

Kısa Cevap

ISO 27001 kuruluşun tüm bilgi varlıklarını korumaya yönelik bilgi güvenliği yönetim sistemidir; ISO 27701 ise kişisel verilerin yönetimine ve bireylerin mahremiyetine odaklanan kişisel bilgi yönetim sistemidir. 2025 baskısıyla ISO 27701 bağımsız bir standart haline geldi; artık ISO 27001 belgesi olmadan da alınabiliyor, ancak iki standart entegre uygulandığında en güçlü sonucu verir.

ISO 27001 ve ISO 27701 farkı, 2025 yılına kadar oldukça basit anlatılabiliyordu: ISO 27701, ISO 27001’in üzerine eklenen bir uzantıydı ve ISO 27001 olmadan alınamıyordu. ISO/IEC 27701:2025 ile bu durum değişti. Kişisel bilgi yönetim sistemi (PIMS) artık kendi başına bir yönetim sistemi standardıdır. Bu değişiklik, özellikle bilgi güvenliği belgesi olmayan ancak kişisel veri yoğun çalışan işletmeler için yeni bir seçenek ortaya çıkardı.

Bu rehberde iki standardın kapsamını, risk bakış açısını, yapısını ve belgelendirme seçeneklerini karşılaştırıyor; hangi işletmenin hangi standarda veya ikisine birden ihtiyaç duyduğunu anlatıyoruz.

Bir Bakışta Karşılaştırma

	ISO/IEC 27001:2022	ISO/IEC 27701:2025
Yönetim sistemi	Bilgi güvenliği yönetim sistemi (BGYS)	Kişisel bilgi yönetim sistemi (PIMS)
Korunan	Tüm bilgi varlıklarının gizliliği, bütünlüğü ve erişilebilirliği	Kişisel verilerin işlenmesinde bireylerin mahremiyeti ve hakları
Risk bakış açısı	Bilgi güvenliği ihlalinin kuruluşa etkisi	Kişisel veri işlemenin ilgili kişilere etkisi
Roller	Rol ayrımı yok	Veri sorumlusu ve veri işleyen rolleri ayrıca tanımlanır
Ek A	Dört temada 93 bilgi güvenliği kontrolü	Veri sorumlusu, veri işleyen ve ortak bilgi güvenliği kontrollerinden oluşan üç tablo
Bağımlılık	Bağımsız	2025 baskısıyla bağımsız; ISO 27001 ile entegre de uygulanabilir
Tipik talep eden	Kurumsal müşteriler, ihaleler, sektörel düzenleyiciler	Kişisel veri işleten müşteriler, veri yoğun sektörler, uluslararası iş ortakları

Kapsam Farkı: Tüm Bilgi mi, Kişisel Veri mi?

ISO 27001 her türlü bilgiyi kapsar: ticari sırlar, finansal tablolar, kaynak kod, ihale dosyaları, üretim reçeteleri ve tabii ki kişisel veriler. Amaç, bu bilgilerin yetkisiz kişilerin eline geçmemesi, değiştirilmemesi ve ihtiyaç duyulduğunda erişilebilir olmasıdır.

ISO 27701 ise yalnızca kişisel verilere odaklanır, ancak bu verilere çok daha geniş bir açıdan bakar. Bir kişisel verinin güvenli tutulması yetmez. Hangi amaçla ve hangi hukuki dayanakla toplandığı, gereğinden fazla veri toplanıp toplanmadığı, ilgili kişinin bilgilendirilip bilgilendirilmediği, verinin ne kadar süre saklanacağı ve kimlere aktarılacağı da sorgulanır. Kısacası ISO 27001 “veri güvende mi?”, ISO 27701 ise “bu veriyi işlemek doğru ve hukuka uygun mu, birey haklarını kullanabiliyor mu?” sorusunu sorar.

Risk Bakış Açısındaki Fark

Bu fark pratikte önemlidir. Örneğin bir pazarlama veritabanı düşünün:

ISO 27001 risk değerlendirmesinde bu veritabanının sızması; itibar kaybı, müşteri kaybı ve idari para cezası olarak işletmeye etkisi açısından değerlendirilir.
ISO 27701 değerlendirmesinde ise aynı veritabanı için ilgili kişilerin istenmeyen iletişime maruz kalması, profillenmesi, verilerinin amaç dışı kullanılması ve haklarını kullanamaması gibi bireysel etkiler değerlendirilir. Veritabanı hiç sızmasa bile, rızasız toplanmış veriler bir gizlilik riski oluşturur.

Bu nedenle iki standardı birlikte uygulayan işletmeler, risk metodolojisinde iki ayrı etki boyutu tanımlar veya kişisel veri içeren varlıklar için ek bir gizlilik etki değerlendirmesi yapar. ISO 27001 risk yöntemini ISO 27001 standart maddeleri yazımızda özetledik.

ISO 27001 ve ISO 27701’i Birlikte Planlayalım

Kapsamınızı, veri sorumlusu ve veri işleyen rollerinizi ve çalışan sayınızı paylaşın; TÜRKAK akreditasyonu kapsamında tek veya entegre denetim seçenekli teklifimizi hazırlayalım.

Ücretsiz Teklif Al

Veri Sorumlusu ve Veri İşleyen Rolleri

ISO 27701’in en ayırt edici yanı, kuruluşun rolüne göre farklı kontroller uygulamasıdır:

Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen taraf. Örneğin kendi müşterilerinin verilerini işleyen bir perakende zinciri veya kendi çalışanlarının verilerini işleyen her işveren.
Veri işleyen: Veri sorumlusu adına ve onun talimatıyla kişisel veri işleyen taraf. Örneğin müşterilerine bordro hizmeti veren bir firma, bulut yazılım sağlayıcısı veya çağrı merkezi.

Birçok işletme aynı anda her iki roldedir. Bir yazılım firması kendi çalışanları ve müşteri iletişim bilgileri için veri sorumlusu, müşterilerinin kendi sistemlerine yüklediği veriler için ise veri işleyendir. ISO 27701 kapsamı belirlenirken bu rollerin açıkça ayrılması gerekir. Rol bazlı doküman gereksinimlerini ISO 27701 doküman listesi yazımızda ayrıntılı anlattık.

2019’dan 2025’e: ISO 27701’de Ne Değişti?

Konu	ISO 27701:2019	ISO 27701:2025
Bağımsızlık	ISO 27001’in uzantısı; ISO 27001 olmadan uygulanamaz	Bağımsız yönetim sistemi standardı
Yapı	ISO 27001 ve ISO 27002 maddelerine ek şartlar	Ortak yönetim sistemi yapısı (4–10. maddeler) ve kendi Ek A’sı
Kontroller	Veri sorumlusu ve veri işleyen için ek kontroller	Veri sorumlusu, veri işleyen ve ortak kontroller olmak üzere üç tablo
Belgelendirme	Yalnızca ISO 27001 ile birlikte	Tek başına veya ISO 27001 ile entegre

Belgelendirme kuruluşlarına yönelik denetim şartları da ISO/IEC 27706:2025 ile yeniden düzenlendi. DSR Belgelendirme’nin bu yeni yapıya geçiş takvimini ISO 27706:2025 ve ISO 27701 geçiş duyurumuzda paylaştık.

Belgelendirme Seçenekleri

1. Yalnızca ISO 27001

Bilgi güvenliğini kurumsal düzeyde yönetmek ve müşterilere bu konuda güvence vermek isteyen işletmeler için uygundur. Kişisel veri koruması, Ek A’daki mahremiyet kontrolü ve diğer güvenlik kontrolleriyle sınırlı ölçüde ele alınır.

2. Yalnızca ISO 27701

2025 baskısıyla mümkün hale gelen bu seçenek, kişisel veri yönetimini göstermek isteyen ancak kurumsal bir bilgi güvenliği yönetim sistemi kurmayı henüz planlamayan işletmeler için düşünülebilir. Ancak ISO 27701’in ortak bilgi güvenliği kontrolleri de karşılanmak zorundadır; yani bilgi güvenliği tamamen dışarıda kalmaz.

3. ISO 27001 ve ISO 27701 birlikte

Kişisel veri yoğun sektörler (sağlık, finans, insan kaynakları, eğitim, e-ticaret, yazılım ve bulut hizmetleri) için en kapsamlı seçenektir. Doküman kontrolü, iç tetkik, yönetimin gözden geçirmesi, düzeltici faaliyet, varlık envanteri ve bilgi güvenliği kontrolleri ortak kullanılır. Entegre denetim, iki ayrı denetime göre toplam süreyi kısaltır.

Hangi İşletmeye Hangisi?

İşletme profili	Öneri
Ticari sır ve finansal veri ağırlıklı üretim veya mühendislik firması	ISO 27001
Kurumsal müşterilerine yazılım veya bulut hizmeti veren firma	ISO 27001 ve ISO 27701 (veri işleyen rolü)
Hastane, klinik, laboratuvar	ISO 27001 ve ISO 27701 (özel nitelikli kişisel veri)
İnsan kaynakları, bordro veya çağrı merkezi hizmeti veren firma	ISO 27701 (veri işleyen), müşteri beklentisine göre ISO 27001
Perakende, e-ticaret, sadakat programı işleten firma	ISO 27001 ve ISO 27701 (veri sorumlusu)
Kamu kurumlarına hizmet veren BT firması	ISO 27001 öncelikli; kişisel veri işleniyorsa ISO 27701

Mevcut ISO 27001 Belgesi Olanlar İçin Yol Haritası

Kapsamda veri sorumlusu ve veri işleyen rollerinizi belirleyin.
Kişisel veri envanterinizi varlık envanterinizle ilişkilendirin.
Risk metodolojinize ilgili kişiler üzerindeki etki boyutunu ekleyin.
ISO 27701 Ek A kontrolleri için ayrı veya entegre bir uygulanabilirlik bildirgesi hazırlayın.
İlgili kişi başvuruları, etki değerlendirmesi, veri işleyen yönetimi ve ihlal bildirimi süreçlerini tamamlayın.
İç tetkik ve yönetimin gözden geçirmesini iki standardı kapsayacak şekilde genişletin.
Belgelendirme kuruluşunuzla entegre denetim planlayın.

Türkiye’deki yasal çerçeveyle ilişki için ISO 27001 ve KVKK farkı yazımıza, belgelendirme süreçleri için ISO 27001 belgesi ve ISO 27701 belgesi sayfalarımıza bakabilirsiniz.

Sık Sorulan Sorular

ISO 27001 ile ISO 27701 arasındaki temel fark nedir?

ISO 27001 kuruluşun tüm bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumaya yönelik bir bilgi güvenliği yönetim sistemidir. ISO 27701 ise kişisel verilerin işlenmesinde bireylerin mahremiyetini ve haklarını korumaya yönelik bir kişisel bilgi yönetim sistemidir.

ISO 27701 almak için ISO 27001 belgesi gerekli mi?

ISO 27701:2025 ile artık gerekli değil. 2025 baskısı bağımsız bir yönetim sistemi standardıdır ve tek başına belgelendirilebilir. 2019 baskısında ise ISO 27001 ön koşuldu.

ISO 27001 ve ISO 27701 birlikte denetlenebilir mi?

Evet. İki standart ortak yönetim sistemi yapısını kullandığı için entegre denetimle birlikte belgelendirilebilir. Ortak süreçler tek seferde denetlendiği için toplam denetim süresi iki ayrı denetimden kısadır.

ISO 27701’de veri sorumlusu ve veri işleyen ne demek?

Veri sorumlusu kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen taraftır. Veri işleyen ise veri sorumlusu adına ve onun talimatıyla veri işleyen taraftır. ISO 27701 her rol için farklı kontroller içerir ve bir kuruluş her iki rolde de olabilir.

ISO 27701:2019 belgesi olanlar ne yapmalı?

2019 baskısına göre belgeli işletmeler, belgelendirme kuruluşlarının geçiş takvimine göre 2025 baskısına geçmelidir. Geçişte PIMS’in kendi yönetim sistemi dokümanlarının bağımsız hale getirilmesi ve uygulanabilirlik bildirgesinin yeni kontrol yapısına göre düzenlenmesi gerekir.

Hangi sektörler ISO 27701’e öncelik vermeli?

Sağlık, finans, insan kaynakları ve bordro hizmetleri, eğitim, e-ticaret, çağrı merkezleri, yazılım ve bulut hizmetleri gibi yoğun kişisel veri işleyen sektörler ISO 27701’den en çok fayda sağlayan sektörlerdir.