Norma ISO 27001:2022 i jej struktura

Norma ISO 27001:2022 stanowi najnowszą wersję międzynarodowego standardu dla systemów zarządzania bezpieczeństwem informacji (Information Security Management System - ISMS). Zmiana z wersji 2013 przyniosła istotną reorganizację struktury kontroli bezpieczeństwa - liczba kontroli zmniejszyła się z poprzednich 114 do 93, a struktura została uproszczona poprzez zgrupowanie ich w cztery główne tematy: kontrole organizacyjne, kontrole dotyczące ludzi, kontrole fizyczne i środowiskowe oraz kontrole techniczne. Ta zmiana nie oznacza osłabienia wymogów - przeciwnie, wymogi stały się bardziej docelowe i praktyczne dla współczesnych zagrożeń cybernetycznych.

Okres przejściowy się skończył - stan na 2026 rok

To pierwsza rzecz, którą trzeba dziś powiedzieć jasno, bo połowa dostępnych w sieci poradników nadal opisuje przejście na wydanie 2022 jako coś, co dopiero nastąpi.

Okres przejściowy z ISO/IEC 27001:2013 zakończył się 31 października 2025 r. Dokument IAF MD 26 nie przewidywał żadnej karencji: certyfikaty oparte na wydaniu 2013 wygasły albo zostały wycofane. Już od 1 maja 2024 r. wszystkie audyty początkowe i recertyfikacyjne musiały być prowadzone wyłącznie według wydania 2022.

Praktyczna konsekwencja: jeżeli organizacja nie przeszła transformacji w terminie, nie ma „przedłużenia" ani ścieżki skróconej. Jest nowa certyfikacja od zera - z pełnym audytem dwuetapowym. Jeśli organizacja idzie tą drogą pierwszy raz albo równolegle z innym standardem, taniej wychodzi poprowadzić to jako jeden projekt - tak układamy wdrażanie systemów zarządzania.

Druga zmiana dotyczy jednostek certyfikujących. Od 31 marca 2026 r. wszystkie certyfikacje SZBI muszą być prowadzone zgodnie z ISO/IEC 27006-1:2024, która zastąpiła wydanie z 2015 r. Zmieniła się m.in. metodyka wyliczania czasu audytu (pojęcie „effective number of personnel") i zasady audytów zdalnych. Jeśli porównujesz dziś oferty certyfikacji z wyceną sprzed dwóch lat, liczby mogą się nie zgadzać - i nie jest to podwyżka, tylko inna podstawa wyliczenia.

W Polsce norma funkcjonuje jako PN-EN ISO/IEC 27001:2023-08 (dostępna również w wersji polskiej), a poprawka klimatyczna jako PN-EN ISO/IEC 27001:2023-08/A1:2025-02.

Poprawka klimatyczna - jedno zdanie, o którym łatwo zapomnieć

23 lutego 2024 r. ISO opublikowała Amendment 1:2024 „Climate action changes" - poprawkę obejmującą 36 norm systemów zarządzania, w tym ISO/IEC 27001. Cały jej tekst mieści się na jednej stronie i sprowadza się do dwóch uzupełnień:

  • do klauzuli 4.1 dodano wymóg: organizacja ma ustalić, czy zmiana klimatu jest zagadnieniem istotnym dla jej kontekstu;
  • do klauzuli 4.2 dodano uwagę, że strony zainteresowane mogą mieć wymagania związane ze zmianą klimatu.

We wspólnym komunikacie ISO i IAF podkreśliły, że intencją nie jest przekształcenie audytu SZBI w audyt klimatyczny. Wymaganie jest jednak audytowalne: audytor zapyta o udokumentowany wynik analizy, a nie o politykę klimatyczną. Odpowiedź „zmiana klimatu nie jest dla nas istotna w kontekście bezpieczeństwa informacji" jest w pełni dopuszczalna - pod warunkiem, że gdzieś zapadła i została zapisana.

W praktyce najczęstszym brakiem nie jest błędna odpowiedź, tylko brak jakiegokolwiek śladu, że pytanie w ogóle padło.

Proces wdrażania

Proces wdrażania ISO 27001:2022 w typowej firmie średniej wielkości zajmuje od sześciu do dwunastu miesięcy, w zależności od stanu wyjściowego bezpieczeństwa informacji i zaangażowania kadry kierowniczej. Pierwszy etap implementacji - ocena luk (gap analysis) - polega na szczegółowym przeanalizowaniu bieżącego stanu bezpieczeństwa informacji w organizacji i porównaniu go z wymogami normy. Ocena ta powinna obejmować wszystkie aspekty ISMS, od polityk i procedur, poprzez infrastrukturę technologiczną, aż do kompetencji personelu. Norma ISO 27001:2022 w klauzuli 4.1 wyraźnie wymaga, aby organizacja określiła zakresy i granice ISMS, a w klauzuli 4.4 - aby przeprowadziła systematyczną ocenę stanu istniejących kontroli.

Liczba kontroli zmniejszyła się z poprzednich 114 do 93.

Drugim kluczowym elementem jest przeprowadzenie oceny ryzyka bezpieczeństwa informacji (information security risk assessment). Normalizacja tego procesu jest szczególnie ważna - klauzula 6.2 ISO 27001:2022 wymaga, aby organizacja przeprowadziła ocenę ryzyka obejmującą identyfikację zagrożeń, oszacowanie podatności, oraz określenie wpływu i prawdopodobieństwa realizacji każdego ryzyka. Ocena ta powinna być dokumentowana i rejestrowana, a jej wyniki mają stanowić podstawę do wyboru odpowiednich kontroli. W Polsce, wiele firm stosuje metodologię OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) lub metodę opracowaną wewnętrznie, lecz zawsze opiera się ona na zidentyfikowaniu aktywa informacyjnych, ocenie ich wartości biznesowej, oraz analizie zagrożeń im zagrażających.

Statement of Applicability

Statement of Applicability (SoA) - dokumentacja określająca, które spośród 93 kontroli z Annexa A normy są stosowne dla danej organizacji - jest fundamentem wdrażania ISO 27001:2022. Dla każdej kontroli organizacja musi zdecydować, czy jest ona „applicable" (mająca zastosowanie) czy „not applicable" (niemająca zastosowania). W przypadku kontroli mających zastosowanie, klauzula 5.1 normy wymaga udokumentowania tej decyzji wraz z uzasadnieniem. Ten dokument będzie kluczowy podczas audytu certyfikacyjnego, gdyż auditorzy DNV, TÜV czy BSI będą sprawdzać, czy organizacja prawidłowo zidentyfikowała obowiązujące dla niej kontrole.

Załącznik A to lista kontrolna, nie sklep z zabezpieczeniami

Najczęstszy błąd metodyczny przy wdrożeniu wygląda tak: zespół otwiera Załącznik A, przechodzi przez 93 zabezpieczenia, zaznacza „stosujemy / nie stosujemy" i na tej podstawie buduje Deklarację Stosowania. Kolejność jest odwrotna do zamierzonej.

Norma wymaga, żeby zabezpieczenia wynikały z procesu postępowania z ryzykiem (klauzula 6.1.3). Załącznik A wchodzi do gry dopiero potem - jako lista weryfikacyjna, którą porównuje się z własnym zestawem zabezpieczeń, żeby sprawdzić, czy czegoś istotnego nie pominięto. Wydanie ISO/IEC 27000 z 2026 r. formułuje tę rolę wprost, prostując interpretację powszechną w praktyce rynkowej.

Różnica jest widoczna na audycie. Przy podejściu „od ryzyka" audytor pyta o ryzyko i słyszy, jakie zabezpieczenie je adresuje. Przy podejściu „od Załącznika A" pada pytanie „dlaczego akurat to zabezpieczenie?" i zapada cisza, bo odpowiedź brzmi „bo było na liście".

Deklaracja Stosowania musi zawierać cztery elementy: wykaz niezbędnych zabezpieczeń, uzasadnienie ich włączenia, informację o tym, czy są wdrożone, oraz uzasadnienie wykluczenia zabezpieczeń z Załącznika A. Uzasadnienie wykluczenia to nie formalność - to zdanie, które audytor przeczyta najuważniej.

Warto też pamiętać o dwóch zmianach strukturalnych wydania 2022, które łatwo przeoczyć przy aktualizacji dokumentacji: doszła klauzula 6.3 Planowanie zmian, a w rozdziale 10 odwrócono kolejność - ciągłe doskonalenie jest teraz w 10.1, a niezgodności i działania korygujące w 10.2.

Wdrażanie kontroli

Wdrożenie samych kontroli jest procesem długotrwałym. Kontrole organizacyjne, wymienione w temacie A5 (A5.1 do A5.23), obejmują między innymi opracowanie polityk bezpieczeństwa informacji, procedury zarządzania dostępem (zgodne z zasadą najmniejszych uprawnień - least privilege principle), oraz organizację zarządzania zmianami. Klauzula 7.1 ISO 27001:2022 wymaga zaangażowania kierownictwa oraz wdrażania procedur kontroli dostępu do informacji. Kontrole dotyczące ludzi (A6.1 do A6.8) obejmują szkolenia z zakresu bezpieczeństwa informacji (security awareness), procedury opuszczania organizacji oraz zarządzania kompetencjami pracowników - zgodnie z klauzulą 7.2, organizacja musi zapewnić, że personel posiadający dostęp do aktywów informacyjnych jest właściwie przeszkolony i świadomy swoich obowiązków.

Kontrole fizyczne i środowiskowe (A7.1 do A7.14) obejmują kontrolę dostępu do pomieszczeń, gdzie przechowywane są aktywa informacyjne, oraz ochronę przed kradzieżą i zniszczeniem. Dla firm posiadających serwer rooms lub data centers, wymogi te są szczególnie istotne - klauzula 8.1 normy wymaga zastosowania kontroli dostępu fizycznego na terenie organizacji. Kontrole techniczne (A8.1 do A8.28) są najbardziej rozbudowaną grupą i obejmują szyfrowanie danych w spoczynku (data at rest) oraz w transycie (data in transit), zarządzanie kluczami kryptograficznymi, bezpieczeństwo końcówek systemowych (endpoint security), oraz system monitorowania bezpieczeństwa sieciowego (network security monitoring).

Dokumentacja ISMS

Dokumentacja ISMS musi być komprehensywna. Poza SoA, organizacja musi opracować lub zaktualizować szereg dokumentów, takich jak polityka bezpieczeństwa informacji, procedury zarządzania dostępem, procedury zarządzania zmianą, procedury zarządzania incydentami (incident management procedures), plan ciągłości biznesu (business continuity plan), oraz procedury audytu wewnętrznego. Klauzula 8.2 ISO 27001:2022 wymaga, aby organizacja zapewniła przechowywanie i ochronę informacji dotyczących ISMS w zgodzie z wymogami dotyczącymi przechowywania archiwów i zarządzania danymi.

Audyty wewnętrzne

Audyty wewnętrzne są krytyczne dla sukcesu wdrażania. Klauzula 9.2 normy wymaga, aby organizacja przeprowadziła audyty wewnętrzne co najmniej raz w roku, lub częściej, aby sprawdzić, czy ISMS jest zgodny z wymaganiami normy i czy jest efektywnie wdrażany. Audyty wewnętrzne powinny być przeprowadzane przez pracowników niezależnych od audytowanego obszaru, aby zapewnić obiektywizm. W Polsce, wiele firm zatrudnia audytorów posiadających certyfikat Internal Auditor ISO 27001, wydany przez uznane certyfikujące jednostki.

Jeśli nie masz jeszcze punktu odniesienia, zacznij od audytu bezpieczeństwa IT - jego raport jest naturalnym wsadem do analizy luk.

Przegląd kierownictwa i certyfikacja

Proces przeglądania kierownictwa (management review) - opisany w klauzuli 9.3 - stanowi ostatni etap przed wdrożeniem certyfikacji. Kierownictwo organizacji musi przeprowadzić przegląd ISMS, aby upewnić się, że jest on ciągle adekwatny, wystarczający i skuteczny. Przegląd ten powinien uwzględniać wyniki audytów wewnętrznych, ocenę ryzyka, zdarzenia związane z bezpieczeństwem informacji, oraz sugestie zainteresowanych stron (stakeholders).

Koszt certyfikacji dla średniej firmy wynosi 15 000 do 30 000 złotych.

Certyfikacja ISO 27001:2022 przeprowadzana jest przez akredytowane ciała certyfikujące, takie jak DNV (Det Norske Veritas), TÜV (Technischer Überwachungs-Verein) czy BSI (British Standards Institution). Proces certyfikacji obejmuje dwa etapy: audyt wstępny (stage 1 audit), gdzie auditorzy oceniają przygotowanie organizacji, oraz audyt certyfikacyjny (stage 2 audit), gdzie auditorzy weryfikują rzeczywiste wdrażanie wszystkich 93 kontroli i zgodność z wymogami normy. Typowy koszt certyfikacji dla średniej firmy wynosi 15 000 do 30 000 złotych, w zależności od złożoności organizacji i zakresu ISMS. Po uzyskaniu certyfikatu, wymagane są coroczne audyty nadzoru (surveillance audits), a certyfikat jest ważny przez trzy lata, po czym wymaga recertyfikacji.

Błędy najczęściej popełniane podczas wdrażania normy obejmują niedostateczne zaangażowanie kierownictwa, wdrażanie kontroli bez wcześniejszej oceny ryzyka, oraz traktowanie ISMS jako projektu informatycznego zamiast jako strategicznej inicjatywy obejmującej całą organizację. Sukces wdrażania ISO 27001:2022 wymaga zmiany mentalności w całej organizacji - bezpieczeństwo informacji nie jest obowiązkiem samego działu IT, ale odpowiedzialnością każdego pracownika, od zarządu po personel operacyjny. Z tego względu wdrożenie ISO 27001 w organizacji warto prowadzić jako projekt obejmujący cały cykl - od oceny luk, przez dokumentację i szkolenia, po przygotowanie do audytu certyfikacyjnego.

W jednostkach samorządu terytorialnego ISO 27001 warto czytać razem z wymaganiami KRI - zakres obu reżimów w dużej części się pokrywa.

ISO 27001 a ustawa o KSC, NIS-2 i DORA - gdzie się stykają

Najczęstsze pytanie klientów brzmi: „czy NIS-2 wymaga certyfikatu ISO 27001?". Odpowiedź: nie. Ale to nie znaczy, że norma jest w tym kontekście bez znaczenia - warto rozdzielić trzy poziomy.

Poziom pierwszy: brak wymogu certyfikacji. Ani dyrektywa NIS-2, ani polska ustawa o KSC nie wymieniają ISO/IEC 27001 z nazwy jako wymogu. Ministerstwo Cyfryzacji stwierdza to wprost, opisując wymagania dla dokumentacji cyberbezpieczeństwa: elementy dokumentacji wynikają z norm takich jak PN-EN ISO/IEC 27001 czy PN-EN ISO 22301, ale nie wymagają certyfikacji na zgodność z tymi normami. Wymóg dotyczy wdrożenia systemu, nie posiadania papieru.

Poziom drugi: norma jako gotowa mapa wymagań. W czerwcu 2025 r. ENISA opublikowała techniczne wytyczne wdrożeniowe do rozporządzenia wykonawczego (UE) 2024/2690, w których każdy wymóg regulacyjny mapuje na konkretne wymagania ISO/IEC 27001:2022 i 27002:2022 (a także NIST CSF 2.0 i inne standardy). ENISA zastrzega, że mapowanie nie oznacza równoważności - ale organizacja z działającym SZBI ma dzięki niemu gotową ścieżkę dowodową zamiast pustej kartki.

Poziom trzeci: norma w polskich przepisach wykonawczych. Tu odesłania są bezpośrednie. Rozporządzenie KRI (§19 ust. 3) uznaje wymagania za spełnione, jeżeli SZBI oparto na PN-ISO/IEC 27001, zabezpieczenia na PN-ISO/IEC 27002, a zarządzanie ryzykiem na PN-ISO/IEC 27005. Rozporządzenie Ministra Cyfryzacji z 12 października 2018 r. wymienia certyfikat audytora wiodącego SZBI wg PN-EN ISO/IEC 27001 wśród kwalifikacji uprawniających do przeprowadzenia audytu KSC.

W przypadku DORA mechanizm jest podobny: rozporządzenie delegowane (UE) 2024/1774 wielokrotnie odsyła do „wiodących praktyk i standardów", nie wskazując ISO z nazwy. Zgodność przechodzi przez system normalizacji europejskiej, a nie przez wskazanie konkretnej normy.

Kalendarz, który warto zestawić z planem wdrożenia. Podmioty objęte znowelizowaną ustawą o KSC od 3 kwietnia 2026 r. mają czas na wpis do wykazu do 3 października 2026 r., na wdrożenie systemu zarządzania bezpieczeństwem - do 3 kwietnia 2027 r., a podmioty kluczowe na pierwszy audyt - do 3 kwietnia 2028 r. Wdrożenie ISO 27001 trwa zwykle od kilku do kilkunastu miesięcy, więc te daty są realnym ograniczeniem harmonogramu, a nie odległą perspektywą.

Ile to kosztuje i ile trwa

Uczciwa odpowiedź zaczyna się od zastrzeżenia: nie istnieją oficjalne, publiczne statystyki kosztów certyfikacji ISO 27001 w Polsce. Jednostki akredytujące nie publikują cenników, a wszystkie krążące w sieci liczby pochodzą z materiałów komercyjnych i różnią się między sobą kilkudziesięciokrotnie. Główna przyczyna rozbieżności jest prozaiczna: mieszane są trzy zupełnie różne pozycje.

Audyt certyfikacyjny to koszt jednostki certyfikującej - liczony w audytodniach, według metodyki ISO/IEC 27006-1:2024, zależny od liczby pracowników objętych zakresem, liczby lokalizacji i złożoności systemów.

Wdrożenie to koszt doprowadzenia organizacji do stanu, w którym audyt ma sens - analiza luk, ocena ryzyka, polityki i procedury, wdrożenie zabezpieczeń, szkolenia, audyt wewnętrzny. To zwykle pozycja największa i najbardziej zmienna, bo zależy od punktu startu.

Utrzymanie to koszt roczny: audyty nadzoru, przeglądy zarządzania, aktualizacja dokumentacji, kolejne audyty wewnętrzne.

Po stronie czasu ramy są bardziej przewidywalne. Certyfikat wydawany jest na maksymalnie 3 lata, z audytami nadzoru co 12 miesięcy i pełną recertyfikacją po trzech latach. Sam audyt certyfikacyjny jest dwuetapowy: Stage 1 to przegląd dokumentacji i gotowości, Stage 2 - ocena faktycznego wdrożenia. Między etapami zostawia się zwykle kilka tygodni na usunięcie ustaleń ze Stage 1.

Jeżeli ktoś podaje cenę wdrożenia bez rozpoznania zakresu, stanu dokumentacji i liczby lokalizacji, podaje cenę czegoś innego niż to, czego potrzebujesz.

Najczęstsze błędy przy wdrożeniu

Publiczne statystyki niezgodności z audytów certyfikacyjnych ISO 27001 nie istnieją - żadna jednostka certyfikująca ani akredytująca ich nie publikuje. Poniższa lista to obserwacje z audytów prowadzonych przez nasz zespół, nie dane statystyczne.

Ocena ryzyka jako jednorazowy plik. Arkusz wypełniony przed audytem certyfikacyjnym i nieotwierany do recertyfikacji. Norma wymaga procesu, nie dokumentu - a proces poznaje się po tym, że coś z niego wynika.

Deklaracja Stosowania niespójna z rzeczywistością. Zabezpieczenie zadeklarowane jako wdrożone, którego nie potwierdza żaden dowód operacyjny. To najszybszy sposób na niezgodność dużą, bo podważa wiarygodność całej dokumentacji.

Zakres SZBI ustawiony pod audyt, nie pod organizację. Wycięcie z zakresu obszarów, które są trudne, kończy się certyfikatem, który nie odpowiada na pytania klientów i regulatorów - a to zwykle oni byli powodem certyfikacji.

Audyt wewnętrzny wykonany przez osobę, która wdrażała system. Formalnie audyt jest. Merytorycznie to autoocena.

Przegląd zarządzania jako protokół bez treści. Norma wymaga konkretnych danych wejściowych i decyzji na wyjściu. Protokół stwierdzający, że „system funkcjonuje prawidłowo", nie zawiera ani jednego, ani drugiego.

Brak zapisu analizy klimatycznej. Od 2024 r. najprostsza do uniknięcia i wciąż jedna z częściej spotykanych niezgodności - opisana wyżej.