Kişisel Veri Yönetim Sistemi (KVYS) Belgelendirmesi

Kişisel Veri Yönetim Sistemi başvurusunda önce hangi ISO/IEC 27701 sürümüne göre işlem yapılacağını belirleyin. TSE'nin hizmet sayfası 27701'i Bilgi Güvenliği Yönetim Sistemiyle bağlantılı anlatırken, TÜRKAK'ın 11 Ağustos 2026 duyurusu 2025 sürümünün bağımsız bir yönetim sistemi standardına dönüştüğünü açıklamaktadır. Aynı standardın farklı sürümlerini tek bir ön koşul listesinde birleştirmek hatalı olur. TSE KVYS hizmeti; TÜRKAK geçiş duyurusu, bölüm 1.

Ön koşul ile yeni standart aynı şey değildir

TSE'nin 7 Mayıs 2026 tarihli SB-FR-001 formunda, 27701 başvurusu için akredite ISO/IEC 27001 belgesi ön koşulu bulunur. Form, BGYS belgesi olmayan kuruluşun önce BGYS'ye başvurmasını ister. Bu, okunan başvuru dokümanının kuralıdır; 2025 standardının bütün uygulamalarının sonsuza kadar BGYS belgesine bağımlı olduğu anlamına gelmez. SB-FR-001, 07.05.2026/37, A2, s. 2–3.

Bu nedenle TSE'den isteyeceğiniz teklif veya kapsam teyidinde standart numarasıyla birlikte yılını yazın. Mevcut bir 2019 belgeniz varsa belge numarası, geçerlilik tarihi ve kapsamını ekleyin. İlk başvurunuzsa veri sorumlusu veya veri işleyen rolünüzü, kapsama alınmasını istediğiniz hizmetleri ve tesisleri açıklaştırın. Böylece ilk belgelendirme talebi ile sürüm geçişi talebi aynı işlem gibi değerlendirilmez.

Geçiş tarihleri kimin için?

TÜRKAK duyurusundaki 1 Kasım 2026 belge sunma ve 1 Aralık 2026 ilk akreditasyon başvurusu hükümleri, belgelendirme kuruluşlarının akreditasyon işlemleriyle ilgilidir. Bunlar KVYS belgesi almak isteyen her işletmenin TÜRKAK portalına dosya yüklemesini isteyen tarihler değildir. Duyurunun zaman çizelgesi, mevcut uygunluk değerlendirme kuruluşları için 31 Aralık 2027'yi, sertifikalı müşterilerin geçişinin tamamlanması için 31 Ekim 2028'i ayrıca gösterir. TÜRKAK duyurusu, bölüm 2,4 ve 5.

Aynı duyurunun girişindeki genel süre anlatımı ile ayrıntılı çizelgesindeki aktör ayrımını birlikte okuyun. TSE'nin kendi başvuru ve müşteri geçiş planını, yalnız bu duyuruya bakarak tamamlanmış kabul etmeyin. Başvurunuzun hangi tarihte hangi sürümden kabul edileceğini ve mevcut belgenize ne tür geçiş işlemi yapılacağını teklif aşamasında netleştirin.

Dosyanın işe yarayan bölümleri

TSE formunun bilişim yönetim sistemleri bölümünde uygulanabilirlik bildirgesi, bilgi güvenliği politikaları ve risk analizi metodolojisi sayılır; 27701 için ayrıca kişisel veri envanteri istenir. Bu belgeleri birbirinden bağımsız metinler olarak üretmek yerine kuruluş kapsamını, işlenen veri gruplarını ve ilgili riskleri tutarlı biçimde ilişkilendirin. Formun diğer başvuru alanları ve talep ettiğiniz programın ekleri de başvurunuza göre değerlendirilmelidir. SB-FR-001, D bölümü bilişim yönetim sistemleri ekleri, s. 15.

TSE'nin KVYS sayfası başvuruları ıslak imzalı posta yoluyla aldığını bildirir ve başvuru prosedürüne yönlendirir. Bu hizmete özgü açıklama varken sitede genel bir online başvuru bağlantısı bulunmasından bütün işlemin çevrimiçi olduğu sonucunu çıkarmayın. Göndermeden önce güncel form, teslim yöntemi ve kullanılacak sürümü birlikte doğrulayın. TSE KVYS, Başvuru bölümü.

Kişisel veri envanterini kapsamla nasıl eşleştirebilirsiniz?

Hazırlık için insan kaynakları süreci ile bir müşteriye sunulan veri işleme hizmetini ayrı ele alabilirsiniz. Her süreçteki rolü, kullanılan veri gruplarını, ilgili birimi ve kapsam sınırını kendi kayıtlarınızda ilişkilendirmek yararlıdır. Bu örnek, TSE formuna gerçek kişilerin kimlik numaralarını veya müşteri kayıtlarını gelişigüzel ekleme talebi değildir; envanterin hangi faaliyetleri anlattığını açıklamayı amaçlar. Yasal envanter yükümlülüklerinin kapsamı da bu örnek listeyle belirlenmez.

9 Şubat 2026 tarihli SB-BTYS-FR-001’in C1 bölümü, kişisel veri envanterini yalnız 27701 için ayrı kalem olarak sayar. Aynı bölüm uygulanabilirlik bildirgesi, bilgi güvenliği politikaları ve risk analizi metodolojisini ilgili sistem adlarıyla eşleştirir. Genel formdaki D30 ile bilişim formundaki C1 bölüm adları farklıdır; kullandığınız başvuru formunun kendi ek listesini izleyin. SB-BTYS-FR-001, 09.02.2026/19, C1, sayfa 6 SB-FR-001, D30, sayfa 15.

Önce mevcut belge ve talep edilen sürümü karşılaştırın

Bilişim formunun A2 bölümü de 27701 için akredite 27001 ön koşulunu içerir. Bu tarihli iki TSE formunun aynı koşulu yazması, TÜRKAK’ın açıkladığı 2025 sürümüne geçişin her işletme için tamamlandığını göstermez. Mevcut belgenin yılı ve kapsamı, istenen yeni sürüm ve başvuruyu değerlendirecek birimin kabul ettiği süreç birlikte netleşmelidir. Geçiş duyurusundaki belgelendirme kuruluşuna ait akreditasyon tarihini kendi işletmenizin son başvuru tarihi olarak kullanmayın. SB-BTYS-FR-001, A2, sayfa 2–3.

Hazırlık dosyanızda ilk başvuru, başka kuruluştan transfer ve sürüm geçişini ayrı adlandırın. Transfer işaretleniyorsa bilişim formu C2 mevcut belge/kapsam, gerekçe, geçerlilik kaydı ve önceki tetkik raporlarını ister. Bu ekler, yeni sürümdeki bütün teknik şartların incelendiği veya otomatik belge düzenleneceği anlamına gelmez. SB-BTYS-FR-001, A3 ve C2, sayfa 3 ve 7.