انتهاء ISO 27001:2013: ماذا تفعل إذا كانت شهادتك على الإصدار القديم؟
إذا كانت شركتك ما تزال تعرض شهادة مكتوبًا عليها:
ISO/IEC 27001:2013
فهناك نقطة مهمة يجب التحقق منها فورًا.
فترة الانتقال الدولية إلى ISO/IEC 27001:2022 انتهت في 31 أكتوبر 2025. ونصت ترتيبات الانتقال الرسمية على أن جميع الشهادات المبنية على إصدار 2013 يجب أن تنتهي أو تُسحب عند نهاية فترة الانتقال.
لذلك، في نوفمبر 2026، لا ينبغي التعامل مع شهادة ISO/IEC 27001:2013 باعتبارها شهادة Accredited Certification سارية ضمن ترتيبات الانتقال السابقة.
ما الإصدار الحالي؟
الإصدار الحالي المنشور هو:
ISO/IEC 27001:2022
وقد نُشر في أكتوبر 2022، بينما تصنف ISO إصدار ISO/IEC 27001:2013 حاليًا بأنه:
Withdrawn — مسحوب.
كما يوجد التعديل:
ISO/IEC 27001:2022/Amd 1:2024
والخاص بإضافة اعتبارات تغير المناخ ضمن سياق أنظمة الإدارة.
متى انتهت فترة الانتقال؟
حددت ترتيبات IAF MD 26 الجدول التالي:
30 أبريل 2024: كان يجب أن تبدأ عمليات Initial Certification وRecertification الجديدة وفق ISO/IEC 27001:2022 فقط.
31 أكتوبر 2025: الموعد النهائي لاستكمال انتقال العملاء المعتمدين من إصدار 2013 إلى إصدار 2022.
كما أكدت UKAS الموعد النهائي نفسه للشهادات الواقعة ضمن نطاقها: 31 أكتوبر 2025.
هل شهادة ISO 27001:2013 القديمة مزورة؟
ليس بالضرورة.
قد تكون الشهادة:
أصلية وكانت سارية سابقًا.
لكن هذا مختلف عن كونها:
سارية اليوم.
قد تحتفظ الشركة بنسخة قديمة لأغراض السجلات أو لإثبات تاريخ Certification، لكن لا ينبغي تقديمها لعميل أو عطاء باعتبارها شهادة ISO 27001 سارية حاليًا.
لذلك يجب التحقق من:
رقم الشهادة.
الإصدار.
تاريخ الانتهاء.
Certification Body.
حالة الشهادة في قاعدة بيانات جهة المنح.
وأي شهادة أحدث صدرت على ISO/IEC 27001:2022.
ماذا تفعل إذا كانت شهادتك ما تزال 2013؟
أول خطوة ليست تعديل ملف PDF أو استبدال الرقم 2013 بـ2022.
ابدأ بـ:
1. التواصل مع Certification Body
تحقق هل تم بالفعل إجراء Transition Audit وإصدار شهادة 2022 ولم تصل النسخة المحدثة داخليًا.
2. التحقق من حالة الشهادة
هل هي Active أم Expired أم Withdrawn؟
3. تحديد وضع دورة Certification
إذا لم يتم الانتقال قبل 31 أكتوبر 2025، فقد انتهت نافذة الانتقال الرسمية، وبالتالي يجب الاتفاق مع جهة المنح على مسار Certification الحالي وفق ISO/IEC 27001:2022.
لا ينبغي تسمية العملية اليوم تلقائيًا:
Transition Audit
كما لو أن الفترة الانتقالية ما تزال مفتوحة.
هل يجب بناء النظام من الصفر؟
ليس بالضرورة.
إذا كانت المؤسسة قد طبقت ISO 27001:2013 بصورة فعالة، فلديها بالفعل كثير من العناصر الأساسية مثل:
ISMS Scope.
Risk Assessment.
Risk Treatment.
Information Security Policy.
Internal Audit.
Management Review.
Incident Management.
Supplier Controls.
والتحسين المستمر.
لكن يجب إجراء Gap Analysis بين النظام الموجود ومتطلبات إصدار 2022، ثم تحديثه قبل التقييم على الإصدار الحالي.
ما أبرز التغييرات؟
من أشهر التغييرات إعادة تنظيم Annex A.
في البنية المرتبطة بإصدار 2013 كان هناك 114 Control.
أما الهيكل الجديد المرتبط بـISO/IEC 27002:2022 فيحتوي على 93 Control موزعة على أربع مجموعات:
37 Organizational Controls
8 People Controls
14 Physical Controls
34 Technological Controls
لكن انخفاض العدد من 114 إلى 93 لا يعني حذف الحماية.
تم:
دمج بعض الضوابط.
إعادة صياغة بعضها.
إعادة تنظيمها.
وإضافة ضوابط جديدة لتواكب بيئة المعلومات الحديثة.
أمثلة على الموضوعات الجديدة أو الأكثر وضوحًا
تشمل التحديثات موضوعات مثل:
Threat Intelligence.
Cloud Services Security.
ICT Readiness for Business Continuity.
Physical Security Monitoring.
Configuration Management.
Information Deletion.
Data Masking.
Data Leakage Prevention.
Monitoring Activities.
Web Filtering.
Secure Coding.
وهذه تعكس تغير بيئة المخاطر منذ إصدار 2013.
ماذا يحدث لـStatement of Applicability؟
هذه من أهم النقاط في الانتقال.
لا يكفي تبديل جدول Annex A القديم بالجديد.
يجب مراجعة:
Risk Assessment
ثم:
Risk Treatment
ثم:
Statement of Applicability — SoA
بحيث تتوافق مع الضوابط الجديدة ذات العلاقة بالمؤسسة.
ISO/IEC 27001 تعتمد منهجًا قائمًا على المخاطر، وAnnex A تستخدم مرجعًا للتحقق من أن معالجة المخاطر لم تُغفل الضوابط الضرورية.
لذلك ليس المطلوب تطبيق جميع الضوابط الـ93 آليًا.
المطلوب هو تحديد الضوابط اللازمة بناءً على المخاطر والمتطلبات وتبرير القرارات.
ماذا عن الضوابط القديمة؟
لا تحذفها لمجرد أن رقمها تغير.
يجب عمل Mapping بين:
2013 Controls → 2022 Controls
ثم تحديد:
ما الذي ما زال موجودًا؟
ما الذي تم دمجه؟
ما الذي تغير؟
ما الضوابط الجديدة ذات الصلة؟
وهل توجد فجوات في التطبيق؟
هذه العملية تمنع المؤسسة من خسارة ضوابط فعالة فقط لأن بنية Annex A تغيرت.
ماذا قد يراجع المدقق؟
في التقييم وفق ISO/IEC 27001:2022 قد يراجع المدقق عينات من:
Scope.
Risk Assessment.
Risk Treatment Plan.
Statement of Applicability.
إدارة الوصول والصلاحيات.
Cloud Services.
الموردين.
Security Incidents.
Backup and Recovery.
Threats and Vulnerabilities.
Internal Audit.
Management Review.
والإجراءات التصحيحية.
والهدف ليس معرفة هل غيرت المؤسسة اسم الإصدار في الوثائق، بل:
هل تم تحديث ISMS وتطبيق المتطلبات الجديدة بصورة فعلية؟
هل يمكن استخدام شهادة 2013 في عطاء؟
إذا كان المطلوب شهادة ISO/IEC 27001 سارية، فلا ينبغي الاعتماد على شهادة 2013 بعد انتهاء فترة الانتقال.
يجب التحقق أيضًا من:
الإصدار المطلوب.
حالة الشهادة.
Certification Scope.
الكيان القانوني.
المواقع.
وجهة المنح.
والاعتماد إذا اشترطته وثائق العطاء.
وجود شهادة تاريخية صحيحة لا يعني أنها تحقق شرط شهادة سارية اليوم.
هل يكفي إصدار شهادة جديدة بتاريخ حديث؟
لا.
تاريخ حديث على ورقة تحمل ISO/IEC 27001:2013 لا يجعل الإصدار القديم صالحًا من جديد ضمن Accredited Certification.
المعيار نفسه مصنف لدى ISO بأنه Withdrawn، والانتقال الرسمي انتهى.
وهذه علامة مهمة عند التحقق من أي شهادة معروضة اليوم.
أسئلة شائعة
هل ISO 27001:2013 ما تزال سارية؟
لا كالإصدار الحالي. ISO تصنفها Withdrawn، واستبدلتها بـISO/IEC 27001:2022.
متى انتهى الانتقال؟
في 31 أكتوبر 2025.
هل يمكن إجراء Transition Audit الآن؟
فترة الانتقال الرسمية انتهت. إذا لم تنتقل المؤسسة في الوقت المحدد، فيجب تحديد مسار Certification الحالي مع جهة المنح وفق القواعد المطبقة.
هل يجب تطبيق جميع 93 Control؟
ليس آليًا. اختيار الضوابط يرتبط بالمخاطر والمتطلبات، ويجب توثيق القرارات ضمن Risk Treatment وStatement of Applicability.
هل تغيير الشهادة من 2013 إلى 2022 مجرد تحديث ورقي؟
لا. يجب تقييم التغييرات وتحديث ISMS وإثبات تطبيقها قبل Certification على الإصدار الجديد.
الخلاصة
إذا كانت شهادتك ما تزال:
ISO/IEC 27001:2013
فلا تؤجل التحقق منها.
فترة الانتقال انتهت في:
31 October 2025
والإصدار الحالي هو:
ISO/IEC 27001:2022 + Amendment 1:2024.
المسار العملي هو:
Verify Certificate Status → Gap Analysis → Update Risk Assessment → Review Controls → Update SoA → Implement Changes → Internal Audit → Management Review → Certification Audit
والأهم:
لا تعتبر شهادة 2013 القديمة دليلًا على Certification سارية اليوم لمجرد أنها كانت أصلية عند إصدارها.
ISO/IEC 27001 مع URS Jordan
تعمل URS Jordan في الأردن بصفتها Local Office ضمن منظومة URS Holdings UK، وتتعامل مع شهادات أنظمة الإدارة ضمن إطار طرف ثالث قائم على النطاق والحياد والأدلة.
إذا كانت المؤسسة تحمل شهادة قديمة، يجب أولًا مراجعة حالة الشهادة ودورة Certification والنطاق قبل تحديد مسار التقييم وفق ISO/IEC 27001:2022.
Phone / WhatsApp: 0791238088
Email: info@jo.urscertification.com
Website: https://www.ursjordan.com/
ملاحظة مهنية: انتهاء فترة الانتقال لا يعني أن نظام المؤسسة السابق أصبح بلا قيمة؛ لكنه يعني أن شهادة ISO/IEC 27001:2013 لا يمكن الاعتماد عليها اليوم باعتبارها Accredited Certification سارية ضمن ترتيبات الانتقال السابقة.