Banyak pemegang sertifikat ISO 27701:2019 kini mempertanyakan masa berlaku sertifikasi mereka dan tenggat waktu yang tepat untuk melakukan upgrade ke versi 2025. Memahami transisi ini sangat krusial agar kepatuhan manajemen privasi informasi (PIMS) organisasi tetap terjamin tanpa gangguan.
Urgensi ini semakin mendesak mengingat PP 33/2026 tentang Pelindungan Data Pribadi akan berlaku efektif mulai 16 Januari 2027. Organisasi membutuhkan kerangka kerja akuntabel seperti ISO 27701 untuk membuktikan pengelolaan data pribadi yang patuh secara hukum.
Artikel ini mengulas secara langsung perubahan kunci pada ISO 27701:2025, batas masa berlaku versi 2019, serta langkah praktis untuk meng-upgrade standar tanpa harus mengulang proses dari awal. Bagi Anda yang memerlukan pemahaman dasar regulasi, silakan pelajari hubungan UU PDP dan ISO 27701.
5 Perubahan Utama dalam ISO 27701:2025
Ada lima perubahan besar di ISO 27701:2025. Standar ini kini berdiri sendiri, strukturnya mengikuti klausul 4 sampai 10, Annex A dipisah menjadi kontrol controller, processor, dan bersama, annex pendukungnya disusun ulang, dan penekanannya bergeser ke tata kelola serta akuntabilitas. Semua perubahan ini membuat PIMS lebih mudah diintegrasikan dengan sistem manajemen lain.
Berikut penjelasan singkat tiap perubahan:
Berdiri sendiri. Versi 2019 adalah perluasan dari ISO 27001 dan 27002. Versi 2025 tidak lagi menjadi perluasan ISO 27001.
Struktur klausul 4 sampai 10. Struktur ini mengikuti high-level structure ISO, sama seperti ISO 9001 dan ISO/IEC 42001.
Annex A yang dipisah. Kontrol dibagi menjadi 34 kontrol untuk controller, 21 untuk processor, dan 31 kontrol bersama, disesuaikan dengan ISO/IEC 27002:2022.
Annex pendukung yang baru. Annex B berisi panduan implementasi, Annex C memetakan ISO/IEC 29100, Annex D memetakan GDPR, Annex E memetakan ISO/IEC 27018 dan 29151, dan Annex F memuat korespondensi dengan versi 2019.
Fokus pada tata kelola. Klausul kepemimpinan meminta privasi ditanamkan di semua fungsi bisnis, bukan hanya TI atau kepatuhan.
Apakah ISO 27701:2025 Masih Membutuhkan ISO 27001?
Tidak lagi. Sertifikasi ISO 27701:2025 tidak mensyaratkan sertifikat ISO 27001. Organisasi kini bisa mengejar sertifikasi privasi secara langsung. Namun, bagi yang sudah punya ISO 27001, integrasi tetap lebih efisien karena kedua standar memakai struktur klausul yang sama.
Perubahan ini membuka jalan bagi dua kelompok organisasi:
Prosesor data seperti penyedia SaaS, BPO, atau layanan payroll yang ingin membuktikan kepatuhan privasi tanpa proyek ISMS penuh.
Organisasi yang sudah punya ISO 27001 dan ingin menambah PIMS dengan biaya dan waktu yang lebih kecil.
Menurut DNV, persyaratan versi 2025 tetap mengambil unsur dari ISO/IEC 27001:2022 dan 27002:2022. Jadi, organisasi yang sudah menjalankan ISO 27001 punya modal besar: risiko, audit internal, dan tinjauan manajemen bisa dijalankan dalam satu siklus.
Perbandingan Lengkap: ISO 27701 Versi 2019 vs 2025
Tabel berikut merangkum perbedaan yang paling berpengaruh bagi tim privasi.
| Aspek | Versi 2019 | Versi 2025 |
| Status | Perluasan ISO 27001 dan 27002 | Standar sistem manajemen yang berdiri sendiri |
| Syarat ISO 27001 | Wajib | Tidak wajib |
| Struktur | Mengikuti klausul ISO 27001 dengan tambahan privasi | Klausul 4 sampai 10 (high-level structure) |
| Kontrol | Dipisah untuk controller dan processor | 34 controller, 21 processor, 31 bersama |
| Integrasi | Terutama dengan ISO 27001 | ISO 27001, ISO 9001, ISO 42001, dan lainnya |
| Panduan migrasi | Tidak ada | Annex F, korespondensi dengan versi 2019 |
Sumber: BSI dan DNV.
Bagi organisasi yang juga mengembangkan AI, poin integrasi dengan ISO 42001 sangat berguna. Contohnya, DPIA untuk proyek AI bisa dijalankan dalam satu alur untuk kedua standar.
Masa Berlaku dan Tenggat Sertifikasi ISO 27701:2019
Masa transisi diperkirakan berakhir sekitar Oktober 2028. Tanggalnya berbeda antar-sumber, yaitu 1 Oktober atau 31 Oktober 2028. Aturan transisi resmi dari IAF (International Accreditation Forum) juga belum terbit. Karena itu, konfirmasikan jadwal pasti ke lembaga sertifikasi Anda.
Berikut posisi beberapa sumber:
Brand Compliance menyebut masa transisi berakhir 1 Oktober 2028.
Cott Group memperkirakan 31 Oktober 2028 berdasarkan praktik industri.
DNV menyebut IAF belum menerbitkan aturan transisi, dan masa transisi bisa saja hanya dua tahun.
Vanta mencatat sertifikat 2019 tetap berlaku sampai panduan IAF terbit.
Artinya, jangan menunggu tanggal pasti untuk mulai bersiap. Gap analysis bisa dilakukan sekarang, sementara audit transisi dijadwalkan bersama audit surveillance atau resertifikasi berikutnya.
Keterkaitan ISO 27701:2025 dengan UU PDP & PP 33/2026
Ini poin yang sering terlewat oleh tim privasi di Indonesia. ISO 27701:2025 menyediakan pemetaan ke GDPR di Annex D. Namun, tidak ada annex yang memetakan kontrolnya ke UU PDP atau PP 33/2026.
Masalahnya, beberapa kewajiban di PP 33/2026 punya detail yang khas Indonesia. Contohnya:
DPO wajib pada tiga kondisi (Pasal 142), yaitu pemrosesan untuk layanan publik, pemantauan skala besar, dan pemrosesan data spesifik skala besar.
Notifikasi kebocoran data dalam 3×24 jam (Pasal 114) ke subjek data dan Lembaga.
Catatan pemrosesan dengan 13 elemen (Pasal 74).
Denda administratif hingga 2% pendapatan tahunan (Pasal 185).
Semua detail ini bersumber dari ringkasan PP 33/2026 oleh KRES.
Kontrol ISO 27701 memang membahas topik yang sama, seperti catatan pemrosesan dan penanganan insiden. Namun angka, tenggat, dan format pelaporannya mengikuti hukum Indonesia. Solusinya adalah membuat lampiran pemetaan internal: satu kolom untuk pasal PP 33/2026, satu kolom untuk kontrol 27701 yang terkait, dan satu kolom untuk bukti yang Anda simpan.
Pendekatan ini juga membantu saat audit. Auditor ISO melihat sistemnya berjalan, sedangkan regulator melihat kepatuhan pada pasal. Satu tabel bisa menjawab keduanya.
Panduan Langkah Upgrade dari ISO 27701:2019 ke 2025
Upgrade bisa dilakukan dalam enam langkah: gap analysis dengan Annex F, memperbarui klausul konteks dan kepemimpinan, memetakan ulang kontrol, memperbarui catatan pemrosesan dan kontrak prosesor, audit internal, lalu audit transisi oleh lembaga sertifikasi. Anda tidak perlu membangun ulang PIMS dari nol.
Rincian langkahnya:
Gap analysis dengan Annex F. Gunakan tabel korespondensi untuk melihat kontrol mana yang tetap, berubah, atau baru.
Perbarui klausul 4 dan 5. Tulis ulang konteks organisasi, termasuk lingkungan hukum seperti UU PDP dan PP 33/2026, serta peran pimpinan.
Petakan ulang kontrol. Tentukan apakah organisasi Anda bertindak sebagai controller, processor, atau keduanya, lalu pilih kontrol yang relevan dari 34, 21, dan 31 kontrol di Annex A.
Perbarui catatan pemrosesan dan kontrak prosesor. Vanta menyarankan memastikan perjanjian pemrosesan data dan penilaian transfer sudah ada untuk setiap vendor.
Audit internal. Uji apakah kontrol baru sudah berjalan dan meninggalkan bukti.
Audit transisi. Jadwalkan dengan lembaga sertifikasi, idealnya bersamaan dengan surveillance berikutnya agar biaya lebih hemat.
Jika organisasi Anda sudah pernah melalui upgrade standar ISO/IEC, misalnya dari ISO 27001:2013 ke 2022, polanya hampir sama.
Kapan Waktu Terbaik untuk Melakukan Upgrade Standar?
Tidak semua organisasi harus upgrade hari ini. Gunakan tiga pertanyaan berikut untuk memutuskan:
Kapan audit berikutnya? Kalau surveillance atau resertifikasi jatuh di 2027, rencanakan audit transisi bersamaan agar tidak ada biaya audit tambahan.
Apakah Anda perlu bukti kepatuhan sebelum 16 Januari 2027? Kalau ya, mulai gap analysis sekarang. PIMS yang sudah memakai versi 2025 sekaligus menjadi dasar kepatuhan PP 33/2026.
Apakah Anda ingin sertifikasi privasi tanpa ISO 27001? Kalau ya, versi 2025 adalah satu-satunya jalan, jadi tidak ada alasan menunggu.
Proxsis IT sudah lama aktif di isu pelindungan data pribadi. Konsultan kami menjadi pembicara bersama APPDI dalam forum pelindungan data pribadi Bank Indonesia pada 9 Agustus 2023. Kami juga mendukung Kominfo menggelar FORNAS PDP di Bali.
Kesimpulan
ISO 27701:2025 membawa perubahan besar: berdiri sendiri, terstruktur dalam klausul 4 sampai 10, dan punya kontrol yang lebih jelas untuk controller dan processor. Sertifikat versi 2019 masih punya waktu sampai sekitar Oktober 2028, tetapi persiapan sebaiknya dimulai sekarang. Ingat juga bahwa standar ini tidak otomatis memenuhi PP 33/2026. Anda tetap butuh pemetaan ke pasal-pasal hukum Indonesia.
Ingin tahu seberapa jauh PIMS Anda dari versi 2025 dan dari kewajiban PP 33/2026? Hubungi tim Proxsis IT untuk gap assessment pelindungan data pribadi. Kami bantu memetakan keduanya dalam satu langkah, sebelum tenggat 16 Januari 2027.
Konsultasikan kebutuhan Anda dengan tim Proxsis IT →
Pertanyaan Populer tentang ISO 27701:2025 (FAQ)
Apakah lembaga sertifikasi sudah bisa mengaudit ISO 27701:2025?
Belum semuanya. Menurut Vanta, auditor belum bisa menerbitkan sertifikat versi 2025 sampai IAF mengeluarkan panduan transisi. Tanyakan langsung ke lembaga sertifikasi Anda tentang kesiapan mereka.
Apakah sertifikat ISO 27701:2019 masih berlaku?
Masih. Sertifikat versi 2019 tetap berlaku selama masa transisi, yang diperkirakan berakhir sekitar Oktober 2028 (Brand Compliance). Tanggal pasti mengikuti keputusan IAF dan lembaga sertifikasi.
Apa isi Annex F di ISO 27701:2025?
Annex F memuat korespondensi antara versi 2025 dan versi 2019 (BSI). Annex ini menjadi alat utama untuk gap analysis saat upgrade.
Apakah organisasi yang hanya menjadi prosesor data bisa sertifikasi ISO 27701:2025?
Bisa. Annex A versi 2025 punya 21 kontrol khusus processor dan 31 kontrol bersama (BSI). Karena tidak lagi butuh ISO 27001, penyedia SaaS atau BPO bisa mengejar sertifikasi privasi secara langsung.
Apakah ISO 27701:2025 cukup untuk memenuhi PP 33/2026?
Tidak sepenuhnya. Standar ini membantu membuktikan sistem pengelolaan privasi berjalan, tetapi tenggat dan format seperti notifikasi 3×24 jam mengikuti PP 33/2026. Buat lampiran pemetaan internal antara pasal PP dan kontrol 27701.
Sumber utama
Referensi utama untuk perubahan standar dan masa transisi dalam artikel ini.
PP 33/2026 tentang Pelindungan Data Pribadi
tidak lagi menjadi perluasan ISO 27001
