Tahapan sertifikasi ISO 27001 adalah urutan proses yang harus dilewati organisasi, mulai dari menyiapkan sistem manajemen keamanan informasi (SMKI) sampai lembaga sertifikasi menerbitkan sertifikat. Prosesnya tidak berhenti di audit pertama, sebab sertifikat dipertahankan lewat audit setiap tahun dalam siklus tiga tahun.
Masa transisi ISO/IEC 27001:2022 berakhir pada 31 Oktober 2025, dan dokumen IAF MD 26:2022 mengharuskan sertifikat berbasis versi 2013 kedaluwarsa atau dicabut pada saat itu. Semua tahapan di bawah mengikuti versi 2022.
Artikel ini menguraikan 12 tahapan sertifikasi ISO 27001 dalam 2 fase, lengkap dengan dokumen dan bukti yang diperiksa auditor. Pengertian dan manfaat standarnya sudah dibahas di artikel apa itu ISO 27001.
Ringkasan Tahapan Sertifikasi ISO 27001
Sertifikasi ISO 27001 berjalan dalam 12 tahapan yang terbagi menjadi 2 fase: 7 tahapan persiapan internal yang dikerjakan organisasi, lalu 5 tahapan audit di lembaga sertifikasi. Setelah sertifikat terbit, organisasi masih menjalani audit pengawasan dan resertifikasi agar sertifikatnya tetap berlaku.
| Fase | Tahapan | Hasil utama |
|---|---|---|
| Fase 1 | 1. Komitmen manajemen dan penentuan ruang lingkup | Persetujuan manajemen dan batas SMKI |
| Fase 1 | 2. Gap analysis | Daftar kesenjangan dan peta jalan perbaikan |
| Fase 1 | 3. Penilaian dan penanganan risiko | Risk register dan rencana penanganan risiko |
| Fase 1 | 4. Statement of Applicability (SoA) dan dokumentasi SMKI | SoA dan dokumen pendukung SMKI |
| Fase 1 | 5. Implementasi kontrol dan awareness karyawan | Kontrol yang berjalan beserta catatan buktinya |
| Fase 1 | 6. Audit internal | Laporan audit internal |
| Fase 1 | 7. Tinjauan manajemen | Notulen dan keputusan manajemen |
| Fase 2 | 8. Memilih lembaga sertifikasi terakreditasi | Permohonan dan penawaran audit |
| Fase 2 | 9. Audit Stage 1 | Laporan Stage 1 dan keputusan melanjutkan ke Stage 2 |
| Fase 2 | 10. Audit Stage 2 | Laporan audit beserta temuan |
| Fase 2 | 11. Menutup temuan ketidaksesuaian | Rencana tindakan dan bukti perbaikan |
| Fase 2 | 12. Keputusan sertifikasi dan penerbitan sertifikat | Sertifikat ISO 27001 berlaku 3 tahun |
| Setelah terbit | Audit pengawasan dan resertifikasi | Sertifikat tetap berlaku |
Fase 1: Tahapan Persiapan Internal
Fase persiapan internal terdiri dari 7 tahapan, yaitu komitmen manajemen dan ruang lingkup, gap analysis, penilaian dan penanganan risiko, penyusunan SoA dan dokumentasi, penerapan kontrol disertai awareness karyawan, audit internal, lalu tinjauan manajemen.
Organisasi mengerjakannya sendiri atau bersama konsultan, dan hasilnya menjadi bahan yang diperiksa lembaga sertifikasi.
1. Komitmen Manajemen dan Penentuan Ruang Lingkup
Tahapan pertama adalah memperoleh persetujuan manajemen puncak atas kebijakan keamanan informasi beserta sumber dayanya, lalu menentukan bagian organisasi yang masuk ke dalam SMKI. Ruang lingkup ini menentukan apa yang diaudit dan akan tercantum pada sertifikat.
Ruang lingkup juga memengaruhi lamanya audit, sebab pekerja lepas di dalam ruang lingkup ikut dihitung sebagai personel menurut ISO/IEC 27006-1:2024. Lingkup terlalu sempit bisa melewatkan sistem yang diminta pelanggan, sedangkan lingkup terlalu luas menambah hari audit dan bukti yang harus disiapkan.
2. Gap Analysis
Gap analysis adalah pemeriksaan kesiapan yang membandingkan kondisi organisasi saat ini dengan persyaratan ISO 27001, yaitu klausul 4 sampai 10 dan kontrol Annex A. Pemeriksaan ini terpisah dari audit sertifikasi, dan waktu terbaiknya adalah di awal proyek sebelum organisasi menetapkan tanggal audit.
Menurut Elevate Consulting, hasilnya berupa daftar kesenjangan yang mencatat setiap celah terhadap klausul atau kontrol terkait, serta peta jalan yang mengurutkan pekerjaan untuk menutupnya. Draf Statement of Applicability menjadi tambahan yang lazim dan berguna.
Tetapkan penanggung jawab dan tenggat untuk setiap celah, sehingga daftar itu langsung bisa dipakai sebagai rencana kerja.
3. Penilaian dan Penanganan Risiko
Penilaian risiko mengidentifikasi risiko keamanan informasi lalu menilai tingkatnya berdasarkan kriteria yang sudah ditetapkan, sedangkan penanganan risiko memilih cara menurunkannya. Dasar-dasar penilaian risiko dibahas di artikel tersendiri.
Pilihan penanganannya adalah menghindari, menurunkan, mengalihkan, atau menerima risiko. Kriteria penerimaan risiko perlu ditetapkan sebelum penilaian dimulai, supaya keputusan menerima atau menangani risiko konsisten.
Klausul 6.1.3 meminta organisasi menyusun rencana penanganan risiko, lalu pemilik risiko menyetujui rencana itu dan menerima sisa risikonya.
4. Statement of Applicability (SoA) dan Dokumentasi SMKI
Statement of Applicability (SoA) mencatat kontrol Annex A yang dipilih beserta status penerapannya, juga alasan mengecualikan kontrol lainnya. Dokumen ini harus bisa ditelusuri ke hasil penilaian risiko, jadi perbarui risk register lebih dulu sebelum SoA difinalkan.
Cara menyusun SoA dibahas di artikel Statement of Applicability.
Dokumen pendukung SMKI, seperti kebijakan dan prosedur, perlu punya nomor versi dan tanggal persetujuan yang jelas. Auditor Stage 1 memeriksa hal ini, dan daftar lengkap dokumen yang diminta ada di bagian audit Stage 1.
5. Implementasi Kontrol dan Awareness Karyawan
Kontrol yang tercantum di SoA harus benar-benar berjalan dan meninggalkan catatan yang bisa diperiksa. Menurut Elevate Consulting, SMKI perlu sudah berjalan minimal tiga bulan sebelum audit Stage 2 agar auditor punya rekam jejak untuk diperiksa.
Kontrol fisik, seperti akses gedung dan ruang server, juga perlu bukti. Pembahasannya ada di artikel keamanan fisik dan lingkungan, sedangkan pengelolaan bukti secara umum ada di artikel evidence management.
Annex A versi 2022 memuat kontrol 5.34 tentang privasi dan pelindungan data pribadi. Kontrol itu bertujuan melindungi data pribadi sesuai persyaratan hukum yang berlaku, dan bagi organisasi di Indonesia, UU PDP termasuk di dalamnya.
Karyawan juga perlu memahami isi kebijakan keamanan informasi dan pengaruh pekerjaan mereka terhadap SMKI (klausul 7.3).
Menurut Advisera, auditor mencari bukti bahwa orang yang relevan tahu mengapa keamanan dibutuhkan. Daftar hadir pelatihan dan hasil ujinya bisa menjadi buktinya.
6. Audit Internal
Audit internal adalah pemeriksaan yang dijalankan organisasi terhadap SMKI-nya sendiri sebelum auditor sertifikasi datang. ISO/IEC 17021-1 meminta lembaga sertifikasi menilai pada audit Stage 1 bahwa audit internal dan tinjauan manajemen sudah direncanakan dan dilaksanakan.
Auditor internal perlu objektif, jadi jangan menugaskan orang untuk memeriksa pekerjaannya sendiri. Dasar-dasar audit internal dibahas di artikel audit internal.
7. Tinjauan Manajemen
Tinjauan manajemen adalah rapat berkala yang dipimpin manajemen puncak untuk menilai kinerja SMKI dan memutuskan perbaikannya. Standar hanya menyebut interval yang terencana, tetapi menurut Presencis kebanyakan organisasi menggelarnya minimal setahun sekali.
Masukan rapat mencakup status tindak lanjut rapat sebelumnya, perubahan isu internal dan eksternal, umpan balik kinerja keamanan informasi, hasil penilaian risiko beserta status rencana penanganannya, dan peluang perbaikan. Rapat menghasilkan keputusan tentang peluang perbaikan dan perubahan SMKI, dan notulennya disimpan sebagai bukti hasil tinjauan.
Fase 2: Tahapan Audit oleh Lembaga Sertifikasi
Fase audit terdiri dari 5 tahapan: memilih lembaga sertifikasi terakreditasi, audit Stage 1, audit Stage 2, menutup temuan ketidaksesuaian, lalu keputusan sertifikasi dan penerbitan sertifikat. Organisasi memilih lembaganya, sedangkan lembaga itu menjalankan audit dan memutuskan penerbitan sertifikat.
8. Memilih Lembaga Sertifikasi Terakreditasi
Sertifikat ISO 27001 diterbitkan lembaga sertifikasi pihak ketiga, jadi organisasi perlu memilih lembaga yang terakreditasi. ISO sendiri hanya menerbitkan standarnya dan menyatakan tidak melakukan sertifikasi.
Di Indonesia, Komite Akreditasi Nasional (KAN) mengakreditasi lembaga sertifikasi SMKI, jadi periksa daftarnya sebelum menandatangani kontrak. Akreditasi tidak wajib menurut ISO, tetapi menunjukkan lembaga itu sudah dinilai badan independen.
Konsultan SMKI sebaiknya tidak berhubungan dengan lembaga pemberi sertifikat, sebab ISO/IEC 17021-1 melarang lembaga sertifikasi menawarkan konsultasi sistem manajemen. Bila konsultasinya datang dari badan yang berhubungan dengan lembaga itu, standar meminta jeda minimal dua tahun sebelum sistem tersebut disertifikasi.
Setelah lembaga dipilih, ajukan permohonan dan minta penawaran yang dihitung dari ruang lingkup dan jumlah personel di dalamnya.
9. Audit Stage 1
Audit Stage 1 menilai kesiapan dokumen dan rancangan SMKI sebelum audit penerapan di Stage 2. Menurut DQS, auditor mengevaluasi dokumentasi organisasi, termasuk hasil tinjauan manajemen dan audit internal.
Elevate Consulting menyebut dokumen dan catatan berikut diperiksa pada audit ini:
- Pernyataan ruang lingkup SMKI beserta batasannya
- Kebijakan dan sasaran keamanan informasi
- Metodologi dan hasil penilaian risiko beserta rencana penanganannya
- SoA yang memuat 93 kontrol Annex A beserta alasan penerapan atau pengecualiannya
- Pengendalian versi dan tanggal persetujuan dokumen
- Bukti perencanaan dan pelaksanaan audit internal
- Notulen rapat dan keputusan alokasi sumber daya sebagai bukti keterlibatan manajemen
- Hasil tinjauan efektivitas SMKI yang terdokumentasi
Elevate Consulting mengharapkan SMKI sudah melewati minimal satu siklus tinjauan manajemen dan satu audit internal sebelum Stage 1. Hasil Stage 1 dapat berupa izin lanjut ke Stage 2 (langsung atau dengan catatan) atau penundaan sampai celah besar ditutup.
10. Audit Stage 2
Audit Stage 2 menguji apakah SMKI benar-benar berjalan dan efektif di seluruh ruang lingkup. DQS menyebut auditor mengevaluasi keefektifan seluruh proses sistem manajemen, baik di lokasi maupun lewat teknik jarak jauh yang sesuai.
Menurut Elevate Consulting dan BSI, auditor mencari bukti berikut:
- Log sistem, tiket perubahan, tinjauan hak akses, dan hasil pemindaian kerentanan
- Konfigurasi sistem dan kontrol akses yang diperiksa langsung
- Wawancara dengan manajemen, staf TI, pemilik proses, dan pengguna
- Contoh penanganan situasi tertentu, misalnya pendisiplinan karyawan
- Pemantauan, pengukuran, pelaporan, dan peninjauan kinerja terhadap sasaran
- Audit internal dan tinjauan manajemen yang sudah dijalankan
- Pemenuhan persyaratan hukum yang berlaku
Elevate Consulting menekankan bahwa kontrol harus terbukti berjalan secara konsisten dari waktu ke waktu, sedangkan bukti sekali pakai atau praktik tanpa dokumentasi jarang lolos. Tunjuk satu pendamping untuk setiap area yang diaudit agar bukti cepat ditemukan.
11. Menutup Temuan Ketidaksesuaian
Menutup temuan berarti memperbaiki penyebab ketidaksesuaian dan menyerahkan bukti perbaikannya ke lembaga sertifikasi sebelum tenggat. Auditor menggolongkan temuan sebagai ketidaksesuaian mayor atau minor, ditambah catatan peluang perbaikan yang tidak wajib ditindaklanjuti.
Menurut Schellman, ketidaksesuaian mayor mengganggu kemampuan SMKI mencapai tujuannya, sedangkan ketidaksesuaian minor tidak mengganggu kemampuan itu. Dua temuan minor atau lebih pada persyaratan yang sama dapat berujung pada temuan mayor.
Tenggat penutupan berbeda di tiap lembaga, seperti pada contoh berikut.
| Lembaga | Temuan minor | Temuan mayor |
|---|---|---|
| BSI | Rencana tindakan tertulis dalam 5 hari kerja setelah Stage 2 | Kunjungan tambahan sekitar 30 hari setelah audit (dapat dipercepat), dengan batas 6 bulan |
| Schellman | Rencana tindakan 14 hari setelah audit selesai, bukti perbaikan 30 hari, perbaikan akar masalah pada audit berikutnya | Rencana tindakan 14 hari setelah audit selesai, bukti perbaikan 30 hari, perbaikan akar masalah 60 hari |
Tulis rencana tindakan dengan uraian temuan, penyebab, tindakan perbaikan, penanggung jawab, dan tanggal pelaksanaan. ISO/IEC 17021-1 menetapkan batas umum: jika lembaga sertifikasi tidak dapat memverifikasi perbaikan temuan mayor dalam 6 bulan setelah hari terakhir Stage 2, Stage 2 harus diulang sebelum sertifikasi direkomendasikan.
12. Keputusan Sertifikasi dan Penerbitan Sertifikat
Setelah temuan tertutup, pihak di lembaga sertifikasi yang berbeda dari tim auditor meninjau hasil audit dan memutuskan penerbitan sertifikat, sesuai syarat ISO/IEC 17021-1. Di BSI, misalnya, tim kepatuhan meninjau rekomendasi auditor sebelum sertifikat diberikan.
Menurut Glocert, tinjauan teknis dan persetujuan ini memakan 1 sampai 2 minggu. Sertifikat yang terbit berlaku tiga tahun selama organisasi menjaga sistemnya lewat audit pengawasan.
Setelah Sertifikat Terbit: Surveillance Audit dan Resertifikasi
Setelah sertifikat terbit, organisasi menjalani surveillance audit (audit pengawasan) pada tahun pertama dan kedua, lalu resertifikasi pada tahun ketiga. ISO/IEC 17021-1 menetapkan audit pengawasan pertama paling lambat 12 bulan setelah tanggal keputusan sertifikasi, lalu minimal sekali setiap tahun kalender.
Menurut Glocert, audit pengawasan memeriksa antara lain audit internal, tinjauan manajemen, tindak lanjut temuan sebelumnya, dan perubahan pada SMKI. Panduan itu juga menyebut audit yang terlewat dapat berujung pada penangguhan atau pencabutan sertifikat.
Jadwal kunjungan berbeda di tiap lembaga. BSI, misalnya, menjadwalkan kunjungan pengawasan pertama empat bulan setelah Stage 2, lalu setiap enam bulan.
Pada tahun ketiga, audit resertifikasi menilai kinerja SMKI selama siklus tiga tahun, termasuk temuan sebelumnya dan perubahan ruang lingkup atau teknologi. Glocert menyarankan merencanakannya 3 sampai 4 bulan sebelum sertifikat kedaluwarsa, sebab sertifikat yang habis sebelum resertifikasi selesai berarti status sertifikasi hilang.
Berapa Lama Tahapan Sertifikasi ISO 27001?
Dari kesiapan audit sampai sertifikat terbit, prosesnya umumnya memakan 3 sampai 6 bulan menurut Elevate Consulting, dan DQS menyebut kisaran yang sama untuk Stage 1 dan Stage 2. Waktu menyusun SMKI sebelum itu bergantung pada ukuran dan kesiapan organisasi.
| Komponen waktu | Perkiraan | Sumber |
|---|---|---|
| SMKI berjalan sebelum Stage 2 | Minimal 3 bulan | Elevate Consulting |
| Audit Stage 1 | 1 sampai 2 hari | Elevate Consulting |
| Jeda Stage 1 ke Stage 2 | 4 sampai 6 minggu, maksimal 6 bulan (standar BSI: 4 bulan) | Elevate Consulting, BSI |
| Total hari audit awal (Stage 1 dan Stage 2) | 5 sampai 12 hari untuk 1 sampai 125 karyawan | GRC Solutions |
| Penutupan temuan mayor | Maksimal 6 bulan setelah Stage 2 | ISO/IEC 17021-1, BSI |
| Tinjauan dan persetujuan sertifikat | 1 sampai 2 minggu | Glocert |
| Audit pengawasan | 3 sampai 4 hari per tahun untuk 100 karyawan | LRQA |
| Resertifikasi | 6 sampai 8 hari untuk 100 karyawan | LRQA |
Jumlah hari audit awal mengikuti ISO/IEC 27006 yang dirangkum GRC Solutions, dan lembaga sertifikasi dapat menetapkan durasi minimum 70% dari waktu rekomendasi. LRQA memberi contoh organisasi dengan 100 karyawan setara purnawaktu: audit awal membutuhkan 8 sampai 12 hari.
Kesimpulan
Tahapan sertifikasi ISO 27001 terdiri dari 12 langkah dalam 2 fase, dari komitmen manajemen sampai penerbitan sertifikat, lalu dilanjutkan audit pengawasan dan resertifikasi. Hasil audit ditentukan sejak persiapan, karena auditor menilai dokumen dan catatan yang sudah ada saat mereka datang.
Sertifikat ISO 27001 menunjukkan SMKI Anda sudah diaudit pihak independen, tetapi belum menjawab seluruh kewajiban pelindungan data pribadi di UU PDP. UU itu juga mewajibkan perekaman kegiatan pemrosesan (Pasal 31) dan pemberitahuan kegagalan pelindungan dalam 3×24 jam (Pasal 46), sementara PP 33/2026 sebagai aturan pelaksananya berlaku mulai 16 Januari 2027.
Siap Mengelola Kepatuhan Privasi sebagai Risiko Bisnis?
Lihat bagaimana GRC membantu memetakan risiko data pribadi, memantau kepatuhan UU PDP, dan menyiapkan perusahaan menghadapi audit tanpa proses manual yang rumit.
FAQ
Sertifikat berlaku tiga tahun dan dijaga lewat audit pengawasan setiap tahun. Menjelang akhir masa itu, organisasi menjalani resertifikasi untuk memulai siklus berikutnya.
Lembaga sertifikasi pihak ketiga menerbitkannya, sedangkan ISO hanya menerbitkan standarnya. Di Indonesia, pilih lembaga yang terakreditasi KAN.
Tahap 1 meninjau kesiapan dokumen dan rancangan SMKI. Tahap 2 menguji apakah kontrol benar-benar berjalan dan efektif.
Sertifikat belum dapat terbit sebelum perbaikannya diverifikasi lembaga sertifikasi. Bila verifikasi belum selesai dalam 6 bulan setelah Tahap 2, ISO/IEC 17021-1 mengharuskan Tahap 2 diulang.
Tidak otomatis. ISO 27001 menilai SMKI, sedangkan UU PDP juga mengatur hak subjek data, perekaman pemrosesan, penilaian dampak, dan pemberitahuan kegagalan pelindungan.
