ISO 27001 mi ISO 42001 mi? Hangisini Önce Almalısınız?
10 Ağustos 2026 · Güncelleme: 24 Ağustos 2026
Bu soruyu soranların çoğu ikisini de almayı düşünüyor; asıl merak edilen sıralama. Kısa cevap: mevcut mesleki deneyiminiz hangisinde sayılıyorsa oradan başlamak, sertifika başvurusunda avantaj sağlar. Uzun cevap aşağıda.
İki standart, iki farklı iş
ISO/IEC 27001
ISO/IEC 42001
Neyi yönetir
Bilgi güvenliği yönetim sistemi (BGYS)
Yapay zekâ yönetim sistemi (AIMS)
Güncel sürüm
2022
2023
Türkiye'deki olgunluk
Yerleşik, talep tanımlı
Yeni, talep oluşuyor
Tipik tetikleyici
Müşteri/ihale şartı, KVKK ve regülasyon baskısı
YZ yönetişimi, AB YZ Yasası'na hazırlık, kurumsal risk
Rekabet
Belgeli profesyonel çok
Belgeli profesyonel az
İkisi birbirinin yerine geçmiyor. 42001, yapay zekâ sistemlerinin yaşam döngüsündeki riskleri, şeffaflığı ve hesap verebilirliği yönetir; 27001 ise bilgi varlıklarının gizliliği, bütünlüğü ve erişilebilirliğiyle ilgilenir. Bir kurumda ikisi genellikle yan yana çalışır.
Karar tablosu: profilinize göre
Mevcut profiliniz
Önce hangisi
Neden
Bilgi güvenliği / siber güvenlik / GRC
27001
Deneyiminiz doğrudan alan deneyimi sayılır; üst kimlik bilgisine ilk turda ulaşma ihtimaliniz yüksek
Veri bilimi / ML mühendisliği / YZ ürün yönetimi
42001
Alan deneyiminiz burada karşılık bulur; 27001 sonra tamamlayıcı olur
BT yöneticisi, YZ'yi yeni devralmış
27001 → 42001
Yönetim sistemi mantığını yerleşik standartta öğrenip 42001'e taşımak daha hızlı
Türkiye'de belgeli profesyonel sayısı düşük; erken girenin görünürlüğü yüksek
Gözden kaçan asıl kriter: deneyiminiz hangisinde sayılıyor?
Sertifika, sınavı geçmekle otomatik gelmiyor. Başvuruda mesleki deneyim beyan ediliyor ve aynı sınav, deneyime göre farklı kimlik bilgilerine açılıyor — Provisional Implementer'dan Senior Lead Implementer (baş uygulayıcı)'a kadar.
Burada iki standart simetrik değil. Bilgi güvenliği geçmişi (güvenlik operasyonları, kimlik ve erişim yönetimi, risk yönetimi) 27001 tarafında ilgili deneyim olarak değerlendirilebilirken, 42001 için aranan deneyim yapay zekâya özgü faaliyetlerdir. Yapay zekâ alanında beyan edilebilir bir çalışmanız yoksa 42001'de büyük olasılıkla alt bir kimlikle başlarsınız.
Bilgi güvenliğinden gelip yapay zekâ yönetişimine geçmek isteyenler için ikili kombinasyon, tek başına her birinden daha güçlü bir konum veriyor: kurumlar YZ projelerinde güvenlik ve yönetişimi ayrı ayrı değil, birlikte soruyor.
Danışmanlık yapanlar için iki standardı birlikte konuşabilmek, teklif aşamasında fark yaratıyor.
Birlikte alınırken pratik avantaj da var: yönetim sistemi mantığı (bağlam, liderlik, risk, işletim, performans değerlendirme, iyileştirme) her iki standartta ortak. İkinci standardı öğrenme süresi, birincisinden belirgin biçimde kısa.
Foundation mı, Lead Implementer mı?
Sıralama sorusunun ikinci katmanı bu:
Foundation — standardı ve terminolojiyi tanımak isteyen, uygulama sorumluluğu henüz olmayanlar için.
Lead Implementer — yönetim sistemini kuracak, projeyi yürütecek olanlar için.
Lead Auditor — denetleyecek olanlar için.
Uygulama sorumluluğu alacaksanız Foundation'dan başlamak zorunlu değil; Lead Implementer doğrudan alınabilir.
İkincisi neden daha hızlı gelir?
Her iki standart da aynı yönetim sistemi iskeletini paylaşıyor: kuruluş bağlamı, liderlik, planlama ve risk, destek, işletim, performans değerlendirme, iyileştirme. İlk standartta bu iskeleti bir kez öğrendiğinizde, ikincisinde öğrenilecek şey esas olarak alana özgü kontroller ve o alanın riskleri oluyor.
Pratik sonucu şu: ikisini birlikte planlayan bir aday için ikinci program, birincisi kadar zaman almaz. Bu yüzden "önce hangisi" sorusunun cevabı çoğu zaman "hangisi kariyerinizde daha erken karşılık verecekse o" oluyor.
Kurum tarafından bakınca
Kişisel sertifikasyonla kurumsal belgelendirme farklı şeyler. Bir kurum ISO/IEC 27001 belgesi alacaksa, süreci yürütecek kişinin Lead Implementer yetkinliğine sahip olması işi hızlandırır; belgeyi kuruma veren taraf ise akredite bir belgelendirme kuruluşudur. Aynı ayrım 42001 için de geçerli.
Kurumunuzda yapay zekâ kullanımı hızla artıyorsa ve henüz bir yönetişim çerçeveniz yoksa, 42001 tarafında bir kişinin yetkinlik kazanması genellikle acil olan taraftır — düzenleyici baskı bu yönde artıyor.
Karar veremiyorsanız pratik ölçüt
Şu iki soruya verdiğiniz cevap sıralamayı belirler:
Önümüzdeki 12 ayda hangi standarda dair somut bir iş yapacaksınız? (Proje, denetim, müşteri talebi, iç düzenleme)
Bugün beyan edebileceğiniz alan deneyimi hangisinde daha güçlü?
İkisi aynı standardı işaret ediyorsa karar nettir. Farklı standartları işaret ediyorsa, ilk sorunun cevabından başlayın: kullanılmayan sertifika, alınmayan sertifikadan yalnızca biraz daha iyidir.
Profilinize göre hangisinin önce geleceğinden emin değilseniz, deneyiminizi birlikte gözden geçirelim — satın alma öncesinde gerçekçi bir tablo çıkarmak, sonradan kimlik bilgisiyle sürpriz yaşamaktan iyidir.
Kurum tarafını da planlıyorsanız — akredite belgelendirme, Aşama 1/Aşama 2 tetkik, zorunlu dokümanlar ve maliyet kalemleri — ISO/IEC 27001 belgesi nasıl alınır yazısı süreci baştan sona anlatıyor.
Sıkça Sorulan Sorular
ISO/IEC 42001 için ISO/IEC 27001 ön koşul mu?
Hayır. İkisi bağımsız standartlardır ve biri diğerinin ön koşulu değildir. Sıralama, mesleki geçmişinize ve sertifika başvurusunda beyan edebileceğiniz alan deneyimine göre belirlenir.
Kurumumda ISO/IEC 27001 kuruluysa ISO/IEC 42001 daha hızlı kurulur mu?
Evet, ama hazır gelen kısım iskelettir: bağlam, liderlik, risk yönetimi süreci, iç denetim, yönetimin gözden geçirmesi ve dokümantasyon düzeni yeniden kullanılabilir. Yapay zekâya özgü kısımlar — etki değerlendirmesi, veri yönetişimi, sistem yaşam döngüsü kontrolleri — sıfırdan kurulur.
İkisini aynı dönemde almak mantıklı mı?
Bilgi güvenliği tarafında çalışıyorsanız ve yapay zekâ yönetimine geçiş yapıyorsanız mantıklıdır; iki standart ortak yapıyı paylaştığı için ikinci program daha az efora mal olur. Buna karşılık ikisini birlikte almak sertifika başvurusundaki deneyim şartını değiştirmez — her standardın alan deneyimi kendi içinde değerlendirilir.
