情報マネジメントシステム

ＩSＭＳ認証機関認定の実施に係る指針 ＭＤ26
JIP-IMAC226-2.0

2023年2月21日

一般社団法人情報マネジメントシステム認定センター(ISMS-AC)〒106-0032

東京都港区六本木一丁目９番９号

六本木ファーストビル内

Tel.03-5860-7570
Fax.03-5573-0564
URL https://isms.jp/

ISMS-ACの許可なく転載することを禁じますJIP-IMAC226-2.0

改版

履

歴

版数

制定／改訂日改定箇所（改訂理由）

1.0

2022.9.16

初版

2.0

2023.2.21

IAF MD26:2023 Issue 2発行に対応

備考

JIP-IMAC226-2.0

１．目的
この文書は、JIP-ISAC100（ISMS認証機関認定基準及び指針）に基づく認定の実施におけるISO/IEC 27001:2013(JIS Q 27001:2014)からISO/IEC 27001:2022への移行に係る指針を示すものである。
２．指針
この指針は、一般社団法人情報マネジメントシステム認定センター（以下、本センターという）がIAF1(国際認定フォーラム)必須文書のIAF MD26:2023（ISO/IEC 27001:2022への移行に関する要求事項2）の原文3を日本語に翻訳したものを使用する。この指針には、IAF MD26:2023の日本語訳を添付している。

1 IAF：International Accreditation Forum, Inc.
2 Transition Requirements for ISO/IEC 27001:2022
3 本センターは、IAF 指針の著作権は IAF が保持しており、正本は英語版であることを認めている。

1

JIP-IMAC226-2.0（このページは空白です。）

2

IAF MD 26:2023

International Accreditation Forum, Inc.

IAF Mandatory Document

ISO/IEC 27001:2022 への移行に関する要求事項

Issue 2

(IAF MD 26:2023)
注:この文書は、IAF Mandatory Document Transition Requirements forISO/IEC 27001:2022 の内容を変更することなく本センター及び公益財団法人 日本適合性認定協会が翻訳したものであるが、原文だけが正式なIAF 文書としての位置付けをもつ。原文は、IAF ウェブサイト（P.12 参照）から入手できる。
2023 年 2 月 21 日
情報マネジメントシステム認定センター（ISMS-AC）

Issued: 15 February 2023

Application Date: 15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2023, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2

Transition Requirements for ISO/IEC 27001:2022

Page 2 of 12

国際認定フォーラム（IAF）は、IAF メンバーによって認定された適合性評価機関（CAB）が発行する適合性評価結果が全世界で受け入れられるよう、認定機関（AB）間における相互承認協定を世界的規模で運用することによって、貿易を推進し、産業界及び規制当局を支援している。
認定は、認定された CAB が認定の範囲内において業務を行う能力をもつことを保証することによって、事業及びその顧客にとってのリスクを軽減する。IAF メンバーである AB 及びそれらに認定された CAB は、適切な国際規格及びその一貫した適用のための IAF 必須文書に適合することが要求される。
IAF 国際相互承認協定（MLA）に加盟している AB は、認定プログラムの運用に信頼を与えるために、選任された相互評価チームによる定期的な評価を受ける。IAF MLA の構造は、“IAF
PL 3 – Policies and Procedures on the IAF MLA Structure and for Expansion of the Scope of
the IAF MLA”に、IAF MLA の範囲は、IAF MLA Status document に詳述されている。
IAF MLA の構造は 5 つのレベルで構成されている。レベル 1 は全ての AB に適用される基準、
JIS Q 17011 を規定している。レベル 2 の活動と、対応するレベル 3 の基準文書との組合せを
MLA のメインスコープと称し、レベル 4（該当する場合）及びレベル 5 の関連する基準文書の組合せを MLA のサブスコープと称する。


MLA のメインスコープは、例えば製品認証のような活動と、JIS Q 17065 などの関連する強制規格を含む。メインスコープレベルにおける CAB による証明は、同等に信頼できると見なされる。
MLA のサブスコープは、例えば JIS Q 9001 などの適合性評価に関する要求事項と、該当する場合、例えば、ISO 22003-1 などのスキーム固有の要求事項を含む。サブスコー
プレベルにおける CAB による証明は同等と見なされる。

IAF MLA は、市場による適合性評価結果の受入れに必要な信頼性を提供する。IAF MLA 加盟
AB に認定された機関によって、IAF MLA の適用範囲内で発行される証明は、世界中で認知されることができ、それによって国際貿易を推進する。

Issued: 15 February 2023

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2

Transition Requirements for ISO/IEC 27001:2022

Page 3 of 12

目次

1.

序文 ........................................................................................................................................................ 52.

主な変更点の概要 ................................................................................................................... 5
2.1 背景 .................................................................................................................................... 5
2.2 主な変更点 ......................................................................................................................... 6
2.3 影響 .................................................................................................................................... 73.

移行に係る主な期間 ................................................................................................................ 74.

移行プロセスにおける処置 ..................................................................................................... 8
4.1 認定機関（AB）の処置 ...................................................................................................... 8
4.2 適合性評価機関（CAB）の処置....................................................................................... 10
4.3 その他 .............................................................................................................................. 11

第2版
作業：IAF 技術委員会
承認：IAF メンバー
発行日：2023 年 2 月 15 日
問い合わせ先: Elva Nilsen
IAF Corporate Secretary
電話番号: +1 613 454-8159
Email: secretary@iaf.nu

Issued: 15 February 2023

承認日 : 2023 年 2 月 3 日
適用日：2023 年 2 月 15 日

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2

Transition Requirements for ISO/IEC 27001:2022

Page 4 of 12

IAF 必須⽂書への序⽂

この文書で使用されている“should”（望ましい）は、規格の要求事項を満たすことの、認知された手段であることを示す。適合性評価機関（CAB）は、この要求事項を同等の方法で満たすことも、それを認定機関（AB）に対して実証できれば可能である。この文書で使用されている用語“shall”（なければならない）は、関連する規格の要求事項を反映したそれらの規定が強制されることを示す。

Issued: 15 February 2023

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2Transition Requirements for ISO/IEC 27001:2022

Page 5 of 12

ISO/IEC 27001:2022 への移行に関する要求事項
1.

序文

基準文書の移行に関する情報を提供する全ての文書は、IAF MLA 署名認定機関（AB）及び認定された適合性評価機関（CAB）が従うべき必須文書となり、その適用範囲はこの文書に定義されているとおりである。この文書は、IAF 技術委員会において任命されたタスクフォースが、IAF
PR 7:2022 Requirements for Producing IAF Mandatory Documents on Transitions に従って作成したものである。
この文書は、以下に関する移行の要求事項を提供し、関連する IAF MLA 署名 AB 及び認定された CAB に義務付けられる。
基準文書

ISO/IEC 27001:2022

移行前の文書ISO/IEC 27001:2013現在の状況（MD 発行時点）

IS

移行期間

3 年間（36 か月間）2.
2.1

主な変更点の概要
背景関連する ISO ポリシーに従って、ISO/IEC FDIS 27001:2022 は、2022 年 7 月に ISO/IEC
27001:2013、 ISO/IEC 27001:2013/COR 1:2014、 ISO/IEC 27001:2013/COR 2:2015 及びISO/IEC 27001:2013/DAmd1 の統合を通じて準備された。さらに、ISO は、ISO/IEC FDIS27001:2022 が、ISO/IEC 専門業務用指針第１部及び統合版 ISO 補足指針 2022 年版に定義されているマネジメントシステム規格（MSS）のための調和された構造に整合するよう求めた。
FDIS 投票の結果にもとづき、ISO は 2022 年 10 月 25 日に ISO/IEC 27001:2022 を発行した。
注記 1 ISO/IEC 27001:2013/DAmd1 は、ISO/IEC 27002:2022 と一致させるために準備され、附属書 A 及び 6.1.3 c)の注記が更新された。DAmd とは、追補原案（Draft Amendment）の略語である。
注記 2 最新の IS を修正する個別の追補は、2 件以下でなければならない（ISO/IEC 専門業務用指針
第 1 部 2022 年版、2.10.3 参照）ため、ISO/IEC 27001 の新しい版は、ISO/IEC 27001:2013/
DAmd1 の作成後に発行されなければならなかった。

Issued: 15 February 2023

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2

2.2

Transition Requirements for ISO/IEC 27001:2022

Page 6 of 12

主な変更点

ISO/IEC 27001:2013 と比較すると、ISO/IEC 27001:2022 の主な変更点は以下を含むが、これらに限定されない。
1） 附属書 A は、ISO/IEC 27002:2022 の情報セキュリティ管理策を参照しており、管理策名称及び管理策に関する情報が含まれている。
2） 6.1.3 c) の注記は、管理目的を削除し、「管理策」の代わりに「情報セキュリティ管理策」を使用するという、編集上の改訂がされている。
3） 6.1.3 d)の文言は、潜在的な曖昧さを取り除くために再整理されている。
4） 組織は、利害関係者の関連する要求事項のうち、情報セキュリティマネジメントシステ
ム（ISMS）を通して取り組むものを決定しなければならないと規定する 4.2 c)を新規に追加。
5） 組織が ISMS の変更の必要があると決定したとき、その変更は、計画的な方法で行わなければならないと規定する、6.3 変更の計画策定を新規に追加。
6） 文書化した情報に関する動詞の使い方に一貫性をもたせた。例えば、9.1、 9.2.2、 9.3.3
及び 10.2 で「XXX の証拠として、文書化した情報を利用可能な状態にしなければならない。」としている。
7） 8.1 の「外部委託したプロセス」を「外部から提供されるプロセス、製品又はサービス」に変更し、「外部委託」という用語を削除した。
8） 9.2 内部監査及び 9.3 マネジメントレビューをそれぞれ細分化し、細分箇条名をつけた。
9） 箇条 10 改善の 2 つの細分箇条の順番を入れ替えた。
10） ISO/IEC 27002 及び ISO 31000 といった、参考文献に記載された関連文書の版を更新した。
11） 例えば、6.2 d)のような、MSS の上位構造、共通の中核となるテキスト、共通用語及び中核となる定義に対する ISO/IEC 27001:2013 のいくつかの逸脱が、MSS のための調和された構造との整合性のために改訂された。

注記1 上記1)及び2)はISO/IEC 27001:2013/DAmd1、3)はISO/IEC 27001:2013/COR 2:2015、それ以外の変更はMSSのための調和された構造に関するものである。
注記2 旧版（ISO/IEC 27002:2013）と比較すると、ISO/IEC 27002:2022の情報セキュリティ管理策は14箇条114管理策から4箇条93管理策に減少している。ISO/IEC 27002:2022の管理策は、11管理策が新規、24管理策が既存の管理策からの統合、58管理策が更新である。さらに、管理策構造を見直し、各管理策に「属性」と「目的」を導入し、管理策群に「管理目的」を設定しないこととした。

Issued: 15 February 2023

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2

Transition Requirements for ISO/IEC 27001:2022

Page 7 of 12

注記3 ISO/IEC 27001:2013/COR 1:2014は、附属書Aに関連するものであり、ISO/IEC
27001:2013/DAmd1:2022 に反映されている。

2.3

影響

ISO/IEC 27001:2022 の変更の影響は、以下の理由により新しい附属書 A 及び 6.3 変更の計画策
定の導入を含むが、これらに限定されない。
1) ISO/IEC 27001:2013/COR 2:2015 は既に発行され、適用されている。
2) 附属書 A は規定である。
3) MSS のための調和された構造は、MSS の上位構造、共通の中核となるテキスト、共通用語及び中核となる定義に対する軽微な改訂であり、ほとんどの変更は編集上のものであると考えられる。
ISO/IEC 27001 において附属書 A の参照用の管理策群を使用する要求事項は、組織が決定した情報セキュリティ管理策と附属書 A にある管理策との比較プロセス（6.1.3 c））及び適用宣言書（6.1.3 d））の作成である。組織は、必要な情報セキュリティ管理策と附属書 A の管理策とを比較することにより、ISO/IEC 27001:2022 附属書 A の参照用管理策群にある必要な情報セキュリティ管理策が不用意に見落とされていないことを確認してもよい。
このような比較では、必要な情報セキュリティ管理策が不用意に見落とされていることを発見できない可能性がある。しかし、必要な情報セキュリティ対策が不用意に見落とされていることが判明した場合には、組織は、追加的に必要な情報セキュリティ管理策に対応するようリスク対応計画を更新し、それらの管理策を適用しなければならない。
上記の通り、すでに ISMS を適用している組織に ISO/IEC 27001:2022 が与える影響は、それほど重大ではない。
3.

移行に係る主な期間
活動

期日

AB は、遅くとも右記の期日までに ISO/IEC27001:2022 に対する認定審査ができるようにする。

ISO/IEC 27001:2022 の発行月の末日から 6 か月（2023 年 4 月 30 日）

AB による ISO/IEC 27001:2022 のみに対する初回認定審査は、遅くとも右記の期日までに開始する。

ISO/IEC 27001:2022 の発行月の末日から 6 か月（2023 年 4 月 30 日）

AB による適合性評価機関（CAB）の認定の移行は、右記の期日までに完了する。

ISO/IEC 27001:2022 の発行月の末日から 12か月（2023 年 10 月 31 日）

認定機関（AB）

Issued: 15 February 2023

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2

Transition Requirements for ISO/IEC 27001:2022

Page 8 of 12

適合性評価機関（CAB）
CAB による ISO/IEC 27001:2022 のみに対す
る初回認証及び再認証は、遅くとも右記の期限までに開始する。

ISO/IEC 27001:2022 の発行月の末日から 18か月（2024 年 4 月 30 日）

CAB は被認証組織の認証の移行を右記の期日までに完了する。

ISO/IEC 27001:2022 の発行月の末日から 36か月（2025 年 10 月 31 日）

4.

移行プロセスにおける処置

4.1

認定機関（AB）の処置

活動要否

注記

AB の措置要1)

AB は、この文書の要求事項を考慮して、ISO/IEC 27001:2022への移行措置を定めなければならない。

2)

移行措置では、 AB 及び CAB がしなければならないことを扱わなければならない。AB は、移行措置に対応するために、いくつかの個別の文書を作成してもよい。

3)

移行措置では、少なくとも次の事項を考慮しなければならない。
 ISO/IEC 27001 の変更点及びギャップ分析。
 関連する要員が、ISO/IEC 27001:2022 及び移行プロセスに関する力量を備えている。
注 審査チームは、全体として、情報セキュリティ技術及び実務に関する知識をもたなければならない（IAF MD 13:2020, 4.2 参照）。周知の通り、ISO/IEC 27002 は、実施の手引きを含む参照用の一般的な情報セキュリティ管理策群を提供している。
 ISO/IEC 27001 の変更により影響を受ける、AB の関連するプロセス及び文書、並びに該当する場合、認定活動を管理するための IT システムが特定されている。
 移行審査プログラム。
 スケジュール、移行審査の方法、期限までに移行が完了しなかった場合の影響など、移行審査プログラムについて、CAB に適時に連絡する。

4)

Issued: 15 February 2023

AB は、できるだけ早い機会に、必要な処置を計画し、開始することが奨励される。

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2

Transition Requirements for ISO/IEC 27001:2022

CAB の文書のレビュ
ー

不要

CAB の文書に関する技術的レビュー

要Page 9 of 121)

AB は、CAB が ISO/IEC 27001: 2022 に対する能力をもつか否かを確認するために、技術的文書レビューを実施しなければならない。

2)

AB は、CAB から提出された次の情報のレビューを通じて、CAB の移行措置の適切性、及び該当する場合、その実施の有効性を判断しなければならない。
 ISO/IEC 27001 の変更点のギャップ分析。
 移行措置及びその実施の証拠。
 関連する要員の承認。
 その他、AB が必要と判断する関連情報。

AB が、CAB の文書の技術的なレビューを通じて十分な証拠を得られた場合は、CAB の本部事務所の審査を実施する必要はない。
CAB がその移行措置に適合し、有効に実施していることを AB が検証できない場合は、事務所審査が必要である。

CAB の本部事務所での技術的な認定審査（現地又は遠隔審査による）該当する
場合

CAB の審査の立会不要

移行のために追加の審査工数が必要になる可能性はあるか？

要

単独の審査で移行確認を行う場合は、CAB の移行を確認するために、少なくとも 0.5 人日の追加の審査日を含まなければならない。

その他

要1)

AB は、移行審査プログラムにおいて、CAB が移行を申請するスケジュールを定めてもよい。

2)

AB は、移行審査の結果に基づいて、移行を決定しなければならない。

3)

ISO/IEC 27001: 2022 に関する CAB の能力が実証された場
合、AB は、認定された CAB の認定情報（例：認定登録証）を更新しなければならない（該当する場合）。

4)認定された CAB が、箇条 3 に挙げた関連する期日までに移行審査を成功裏に完了しなかった場合、ISO/IEC 27001: 2013 に対する認定の有効期限は、移行期間終了日を超えてはならな
い。

Issued: 15 February 2023

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2

4.2

Transition Requirements for ISO/IEC 27001:2022

Page 10 of 12

適合性評価機関（CAB）の処置

活動要否

注記

CAB の措置

要1)

CAB は、本文書の要求事項及び関連する AB の移行措置を考慮して、ISO/IEC 27001: 2022 への移行措置を定めなければならない。

2)

移行措置では、CAB 及び被認証組織がしなければならないことを扱わなければならない。CAB は、移行措置に対応するために、いくつかの個別の文書を作成してもよい。

3)

移行措置では、少なくとも次の事項を考慮しなければならない。
 ISO/IEC 27001 の変更点及びギャップ分析。
 関連する認証プロセス及び文書、並びに該当する場合、認証活動を管理するための IT システムを修正する必要性。
 関連する要員が ISO/IEC 27001:2022 及び移行プロセスに関する力量を備えている。
 審査チームは、全体として、ISO/IEC 27002: 2022 に含まれる全ての管理策及びその実施に関する知識をもたなければならない（ISO/IEC 27006: 2015, 7.1.2.1.3 b)を参照）。
 移行審査プログラム。
 スケジュール、移行審査の方法、移行期間終了前に移行できなかった場合の影響など、移行プログラムについて被認証組織に適時に連絡する。

移行審査要4)

CAB は、できるだけ早い機会に、必要な処置を計画し、開始することが推奨される。

1)

CAB は、移行審査を、サーベイランス審査、再認証審査と同時に、又は個別の審査として実施してもよい。

2)

移行審査は、文書レビューだけに依存してはならず、中でも技術的な情報セキュリティ管理策のレビューについては特にそうである。

3)

移行審査には次を含まなければならないが、これらに限定されない。
 ISO/IEC 27001: 2022 のギャップ分析及び被認証組織のISMS の変更の必要性。
 適用宣言書の更新。
 該当する場合、リスク対応計画の更新。

Issued: 15 February 2023

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2

Transition Requirements for ISO/IEC 27001:2022

Page 11 of 12

 被認証組織が選択した、新規又は変更された情報セキュリテ
ィ管理策の実施及び有効性。
4)
移行のための追加の審査工数が必要になる可能性はあるか？

要その他

要

CAB が移行審査の目的を確実に達成できる場合は、CAB は、移行審査を遠隔で実施してもよい。

1） 移行審査を再認証審査と同時に実施する場合、少なくとも 0.5 人日を追加しなければならない。
2） 移行審査をサーベイランス審査と同時に、又は単独の審査として実施する場合は、少なくとも 1.0 人日を追加しなければならない。
1)

CAB は、移行審査プログラムにおいて、被認証組織が移行を申請するスケジュールを定めてもよい。

2)

CAB は、移行審査の結果に基づいて、移行を決定しなければならない。

3)

CAB は、被認証組織の ISMS が ISO/IEC 27001: 2022 の要求事項を満たしている場合、認証文書を更新しなければならない。

注：移行審査が成功裏に完了した結果として認証文書が更新された
場合、現在の認証周期の有効期限は変更されない。
4)4.3

移行期間終了時には、ISO/IEC 27001: 2013 に基づく全ての認証は、失効または取消しとしなければならない。

その他

4.3.1 認定の移行決定後の適合性評価機関（CAB）の事務所審査では、CAB の移行措置が完全に終了する前の、移行措置の実施状況の検証に焦点を当てなければならない。この事務所審査には、最低限、次を含めなければならない。


CAB の改訂されたプロセス及び手順の実施状況。
関連する要員が、ISO/IEC 27001:2022 の認証活動に関与する前にその力量を実証されている。
被認証組織の ISO/IEC 27001:2022 への移行の進捗状況。

4.3.2 認定の移行決定後に選択される全ての立会審査は、ISO/IEC 27001:2022 に基づかなければならず、ISO/IEC 27001:2022 に基づく審査を実施するための CAB の能力に焦点を当てなければならない。
IAF 必須文書 ISO/IEC 27001:2022 への移行に関する要求事項 の終わり。

Issued: 15 February 2023

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2

IAF MD 26:2022

International Accreditation Forum, Inc.

Issue 2

Transition Requirements for ISO/IEC 27001:2022

Page 12 of 12

追加情報
この文書又は他の IAF 文書について追加の情報を必要とする場合、IAF メンバー又は事務局に連絡して下さい。
IAF メンバーの連絡先詳細については、IAF ウェブサイト参照。-http://www.iaf.nu
事務局
Elva Nilsen
IAF Corporate Secretary
Telephone: +1 (613) 454-8159
Email: secretary@iaf.nu

Issued: 15 February 2023

Application Date:15 February 2023
© International Accreditation Forum, Inc. 2023

IAF MD 26:2022, Issue 2