Fib.Code
ISO/IEC 27001 przestał być ozdobą gabinetu prezesa. Bywa warunkiem dopuszczenia do przetargu, argumentem w due diligence i pierwszym pytaniem, jakie zadaje korporacyjny dział zakupów. Od listopada 2025 roku obowiązuje wyłącznie wydanie z 2022 - okres przejściowy dobiegł końca, certyfikaty oparte na wersji z 2013 straciły ważność, a wszystkie audyty prowadzone są dziś według nowej struktury dziewięćdziesięciu trzech zabezpieczeń Załącznika A. Doszła też poprawka z 2024 roku, która w klauzulach 4.1 i 4.2 każe uwzględnić zmiany klimatyczne w kontekście organizacji - drobna zmiana w treści, konkretna w dokumentacji. Wdrożenie normy to projekt, w którym najwięcej zależy od pierwszych decyzji: zakresu systemu, metodyki oceny ryzyka i tego, czy dokumentacja opisuje rzeczywistość, czy pobożne życzenia. Tu właśnie zaczynamy.
Firmy IT i software house'y, od których certyfikatu wymagają klienci korporacyjni
Podmioty startujące w przetargach publicznych i postępowaniach sektorowych
Samorządy i spółki komunalne budujące SZBI na potrzeby KRI oraz ustawy o KSC
Organizacje objęte NIS-2, dla których norma jest naturalnym szkieletem zgodności
Firmy produkcyjne, logistyczne i usługowe przetwarzające dane kontrahentów
Pełny cykl - od rozstrzygnięcia, co obejmuje system, po wsparcie w dniu audytu certyfikacyjnego i w kolejnych latach nadzoru.
Analiza luk i zakres - sprawdzamy, gdzie organizacja jest dziś wobec wymagań normy, i wspólnie ustalamy zakres systemu. Zbyt szeroki podnosi koszt certyfikacji i utrzymania, zbyt wąski bywa odrzucany przez klientów jako niewiarygodny - to decyzja, która rzutuje na cały projekt.
Ocena ryzyka - dobieramy metodykę adekwatną do skali organizacji, identyfikujemy aktywa i zagrożenia, szacujemy ryzyko i opracowujemy plan postępowania. Rejestr ryzyk ma służyć zarządzaniu, nie audytorowi - dlatego budujemy go razem z właścicielami procesów.
Deklaracja Stosowania i dokumentacja - przechodzimy przez wszystkie dziewięćdziesiąt trzy zabezpieczenia Załącznika A, uzasadniając każde włączenie i każde wyłączenie. Równolegle powstają polityki i procedury opisujące to, jak organizacja faktycznie pracuje.
Wdrożenie zabezpieczeń - wprowadzamy brakujące mechanizmy w czterech obszarach normy - organizacyjnym, osobowym, fizycznym i technologicznym - w tym te wprowadzone w wydaniu 2022: analizę zagrożeń, bezpieczeństwo chmury, zarządzanie konfiguracją, maskowanie danych i zapobieganie wyciekom.
Szkolenia i audyt wewnętrzny - szkolimy personel, przeprowadzamy audyt wewnętrzny i prowadzimy działania korygujące. Kierownictwo przechodzi przez pierwszy przegląd zarządzania - ten sam, o który zapyta audytor jednostki certyfikującej.
Certyfikacja i nadzór - towarzyszymy w audycie dwuetapowym: przeglądzie dokumentacji i audycie wdrożenia. Po certyfikacji pozostajemy przy corocznych audytach nadzoru i recertyfikacji, tak by system żył, a nie odżywał na dwa tygodnie przed wizytą audytora.
Dla organizacji do pięćdziesięciu osób, z jedną lokalizacją i uporządkowanym IT, zwykle od czterech do sześciu miesięcy do gotowości certyfikacyjnej. Przy większej skali, wielu lokalizacjach lub rozproszonej infrastrukturze bywa to od ośmiu do dwunastu miesięcy. Najczęstszą przyczyną opóźnień nie jest zresztą dokumentacja, lecz wdrożenie realnych zabezpieczeń technicznych - zarządzania dostępem, kopii zapasowych, monitorowania. Harmonogram układamy pod termin, który jest dla Państwa istotny, na przykład datę złożenia oferty przetargowej.
Aktualne wyłącznie dla organizacji, które wciąż mają dokumentację opartą na wersji z 2013 roku - okres przejściowy zakończył się 31 października 2025 roku i certyfikaty wydane wobec starego wydania utraciły ważność. Wydanie 2022 przebudowało Załącznik A: zamiast stu czternastu zabezpieczeń w czternastu obszarach jest dziewięćdziesiąt trzy w czterech grupach, z jedenastoma zupełnie nowymi. Doszła również poprawka z 2024 roku, wprowadzająca kwestie klimatyczne do klauzul 4.1 i 4.2. Jeśli dokumentacja nie była aktualizowana od kilku lat, zaczynamy od jej przeglądu.
Nie i nie może - to byłby konflikt interesów, którego norma nie dopuszcza. Certyfikat wydaje niezależna jednostka certyfikująca akredytowana przez PCA lub jej zagraniczny odpowiednik, na przykład DNV, BSI czy TÜV. My przygotowujemy organizację do tego audytu, pomagamy wybrać jednostkę i towarzyszymy w trakcie postępowania. Ten rozdział ról jest zresztą Państwa zabezpieczeniem: doradca, który sam siebie audytuje, nie daje żadnej gwarancji.
Wręcz przeciwnie - to najbardziej ekonomiczna kolejność, jaką można obrać. Rozporządzenie KRI wprost odwołuje się do wymagań normy, a ustawa o KSC oczekuje systemu zarządzania ryzykiem, którego ISO 27001 jest uznanym wzorcem. W praktyce jeden system obsługuje kilka reżimów zgodności naraz, a certyfikat staje się dowodem należytej staranności również wobec organu nadzoru. Budujemy dokumentację tak, by wykazać zgodność z każdym z tych wymagań bez powielania pracy.
Certyfikat jest ważny trzy lata, ale nie jest to okres bezczynności. W pierwszym i drugim roku jednostka certyfikująca przeprowadza audyt nadzoru, a w trzecim - pełną recertyfikację. Pomiędzy nimi organizacja musi prowadzić audyty wewnętrzne, przeglądy zarządzania i aktualizować ocenę ryzyka. Oferujemy stałe wsparcie w tym cyklu, ponieważ najczęstszą przyczyną utraty certyfikatu nie jest incydent, lecz zwyczajne zaniechanie przeglądów.