尊敬的HXQC客户：
国际标准化组织（ISO）于2022年10月发布了ISO/IEC 27001:2022《信息安全、网络安全和隐私保护 信息安全管理体系 要求》，该标准代替了ISO/IEC 27001:2013作为信息安全管理体系的认证依据。根据IAF MD26决议和CNAS认可文件规定，认证机构对信息安全管理体系获证客户的转换不应晚于2025年10月31日。
为了确保客户做好信息安全管理体系认证标准由GB/T 22080-2016/
ISO/IEC 27001:2013（以下简称旧版标准）向IS0/IEC 27001:2022（以下简称新版标准）的转换工作，北京大陆航星质量认证中心股份有限公司（以下简称HXQC）特做出如下安排：
一、认证申请和审核安排
1、2023年5月1日起HXQC开始受理依据新版标准的认证申请（包括初次审核、再认证审核+转换、监督+转换、扩大范围、专项转换审核）并开始实施审核、颁发/换发新版标准认证证书。
2、2024年4月30日前，HXQC依然可以依据旧版标准受理认证申请并颁发旧版标准认证证书，认证证书有效期至2025年10月30日。
3、2024年4月30日起，HXQC将全部依据新版标准实施初次认证审核和再认证审核，即不再安排旧版标准初次认证审核和再认证审核。
4、2024年10月31日起，不再安排旧版标准监督审核。已按旧版标准颁发的信息安全管理体系认证证书，在2025年10月31日前须按新版标准转换完毕，未完成新版标准转换认证的获证客户，其依据旧版标准的认证证书将失效。
二、认证证书的转换方式和审核时间
1、对于有效期超过2025年10月30日的旧版标准认证证书，HXQC将免费为客户换发有效期至2025年10月30的认证证书。
2、获证客户可选择结合监督或再认证审核进行转换，如果需要时，也可以通过专项现场审核进行转换。
1）当转换审核是结合再认证审核实施时，转换审核需至少安排0.5审核人天。
2）当转换审核是结合监督审核或专项审核实施时，转换审核需至少安排1.0审核人天。
3）根据客户的特点（如客户所在行业的风险级别、过程的复杂程度、客户准备的情况、外包情况及控制程度等），审核时间可能还会增加。
三、客户认证转换准备
1、HXQC客户应分析识别新旧版标准的差异，以及标准内容变化对其体系运行的影响。
2、制定满足新版标准中新要求的措施和实施计划，至少包括：开展新版标准培训及内审员转换培训，对体系文件及相关表格修订；
3、依据修订后的管理体系文件，运行信息安全管理体系；
4、在认证审核前依据新版标准要求至少有效实施一次内部审核和管理评审。
四、客户认证转换申请资料
1、 HXQC客户依据新版标准申请初次认证/再认证时应按照《认证申请必备文件资料清单(ISMS、SMS)》的要求提交申请资料。
2、HXQC客户申请转换时应填写《认证转换申请表》，并按照《证申请必备文件资料清单(ISMS、SMS)》的要求向HXQC提交修改后的相关文件。
五、转换审核要求
1、无论客户选择哪种转换方式，审核组在实施转换审核时，除了关注客户依据新版标准建立、实施和运行信息安全管理体系的情况外，还会关注客户在转换前依据旧版标准运行信息安全管理体系的情况。
转换审核还应包括，但不限于以下方面：
a）ISO/IEC 27001:2022的差距分析，以及客户ISMS的变更需求；
b）符合性声明(SoA)的更新；
c）适用时，风险处置计划的更新；
d）客户所选的、新的或变化的信息安全控制的实施情况及其有效性。
2、对存在问题或达不到新版标准要求的获证客户，审核组会开具不符合项，待验证获证组织整改措施后做出是否通过转换审核决定。
六、颁发/换发新版标准证书和认可标识的使用
1、对经审核和认证评定，确认获证客户已符合新版标准要求的颁发/换发新版标准认证证书。
注：在HXQC未通过认可转换之前，认证证书上不得带CNAS认可标识，待HXQC通过CNAS认可转换后，可按要求颁发/换发依据为新版标准的带CNAS认可标识的认证证书。
2、选择结合监督或专项现场审核方式换版的，新版标准认证证书的有效期为原证书签发之日起三年。选择再认证审核换版的，新版标准认证证书的有效期从重新签发证书之日起三年；也可以为从重新签发证书之日起，至上一次证书终止日期后三年。
3、证书换发将以旧换新，先收回原证书，再颁发新证书。
七、附表
HXQC现正按CNAS转换要求进行准备工作，待准备工作完成后将向CNAS申报认可转换申请，后续进度将及时向客户通报，有任何需要或问题都可以与我公司客户服务人员联系。
更多ISO/IEC 27001:2022转换的资讯，请持续关注HXQC的官网及微信公众号。
北京大陆航星质量认证中心股份有限公司
2023年4月25日
