Co to jest ISO 27001
Pełna nazwa to ISO/IEC 27001. Aktualne jest wydanie trzecie z października 2022 r. z poprawką z 2024 r. dotyczącą zmian klimatycznych. Norma określa wymagania dla systemu zarządzania bezpieczeństwem informacji: jak go ustanowić, wdrożyć, utrzymywać i stale doskonalić. Jest przeznaczona dla firm każdej wielkości i z każdej branży (iso.org, stan na październik 2026).
W praktyce chodzi o trzy rzeczy: poufność (dane widzi tylko ten, kto powinien), integralność (nikt ich po cichu nie zmienia) i dostępność (są, kiedy są potrzebne). System obejmuje ludzi, zasady i technikę naraz, a nie tylko serwer. Certyfikat ISO 27001 wydaje akredytowana jednostka certyfikująca po swoim audycie. My jednostką nie jesteśmy: wdrażamy system i przygotowujemy firmę do tego audytu.
Dla kogo jest wdrożenie ISO 27001 w małej firmie
- software house, który pisze system dla banku, szpitala albo dużej sieci handlowej;
- firma IT administrująca serwerami i kontami klientów;
- biuro rachunkowe albo kadrowe z danymi pracowników wielu firm;
- agencja marketingowa z dostępem do kont reklamowych i sklepów klientów;
- dostawca usług w chmurze dla innych firm.
Typowy początek wygląda tak: kiedy duży klient przyśle ankietę bezpieczeństwa dostawcy, pojawia się pytanie o certyfikat albo o polityki, których nikt nie spisał. Wdrożenie porządkuje odpowiedzi na takie ankiety raz, zamiast pisać je od nowa dla każdego klienta.
ISO 27001 a NIS2 i RODO
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252, w życie od 3 kwietnia 2026 r., tekst w ISAP) w art. 8 wymaga od podmiotów kluczowych i ważnych systemu zarządzania bezpieczeństwem informacji. Wymienia m.in. szacowanie ryzyka, polityki bezpieczeństwa, ciągłość działania, bezpieczeństwo łańcucha dostaw, kryptografię, zarządzanie aktywami, kontrolę dostępu i uwierzytelnianie wieloskładnikowe. System zbudowany pod ISO 27001 pokrywa dużą część tych wymagań i ułatwia wykazanie zgodności.
Certyfikat ISO 27001 to jednak nie to samo co spełnienie ustawy. Obowiązki ustawowe, np. zgłaszanie incydentów czy wpis do wykazu, trzeba dopiąć osobno. Mała firma zwykle nie jest objęta ustawą wprost, ale bywa dostawcą podmiotu, który musi pilnować łańcucha dostaw (art. 8 ust. 1 pkt 2 lit. e) i przenosi wymagania do umowy. Więcej na stronie NIS2.
RODO w art. 32 wymaga odpowiednich środków technicznych i organizacyjnych oraz regularnego testowania ich skuteczności. SZBI daje na to gotowe procedury, a o stronie prawnej ochrony danych piszemy w dziale RODO.
Co obejmuje wdrożenie
- analizę luk, czyli porównanie tego, co już działa, z wymaganiami normy;
- ustalenie zakresu systemu: cała firma albo jeden produkt czy usługa;
- spis aktywów: systemy, dane, urządzenia, konta, dostawcy;
- szacowanie ryzyka i plan postępowania z ryzykiem;
- polityki i procedury: dostępy, hasła i logowanie dwuskładnikowe, kopie zapasowe, praca zdalna, dostawcy, incydenty;
- szkolenie zespołu online;
- audyt wewnętrzny i przegląd zarządzania przed audytem certyfikującym.
Jak przebiega wdrożenie ISO 27001
- Rozmowa i analiza luk - poznajemy firmę i pokazujemy, czego jeszcze brakuje do wymagań normy.
- Zakres i ryzyko - ustalamy granice systemu i szacujemy ryzyka.
- Polityki i procedury - piszemy je pod Twoje narzędzia, nie pod cudzą firmę.
- Szkolenie zespołu - online, z konkretnych sytuacji z Waszej pracy.
- Audyt wewnętrzny i przygotowanie - sprawdzamy system i ćwiczymy pytania audytora.
Ile to trwa, zależy od wielkości firmy i tego, jak szybko zespół znajdzie czas na rozmowy. Harmonogram ustalamy po analizie luk.
Zdalnie czy na miejscu
Dokumentację, wdrożenie i szkolenie robimy zdalnie w całej Polsce: rozmowy wideo, bezpieczny folder na dokumenty, udostępniony ekran. W firmie IT to zwykle wystarcza. Na miejscu, np. przy audycie wewnętrznym z przeglądem serwerowni albo przy audycie certyfikującym, pracujemy tylko w województwie śląskim.
Ile kosztuje wdrożenie ISO 27001?
Wyceniamy po rozmowie, przed zamówieniem. Na cenę wpływa zakres systemu, liczba osób i lokalizacji oraz to, ile polityk już istnieje. Audyt certyfikujący opłacasz osobno w jednostce certyfikującej, którą wybierzesz.
Który zakres wybierasz: cała firma czy jeden produkt?
My audytujemy i pomagamy wdrożyć wszystko. Przy audycie certyfikującym jesteśmy z Tobą, a gdy klient albo organ zapyta o bezpieczeństwo, jesteśmy po Twojej stronie. Zadzwoń pod 531 770 411 albo napisz przez formularz, a po rozmowie podamy zakres i cenę.
