Wdrożenie ISO 27001, które kończy się certyfikatem, nie segregatorem

Koszt dzieli się na dwie części: doradztwo wdrożeniowe (zależne od wielkości firmy i zakresu SZBI) oraz niezależne opłaty akredytowanej jednostki certyfikującej. Rynkowy koszt samego trzyletniego cyklu certyfikacji dla małej firmy usługowej to ok. 15 000–24 000 zł netto (audyt etapu I i II oraz dwa audyty nadzoru). Doradztwo dla małej firmy zaczyna się od kilkunastu tysięcy złotych netto; pełne wdrożenie wyceniamy indywidualnie po bezpłatnym audycie zerowym.

Wdrożenie i certyfikacja ISO/IEC 27001 trwa zwykle od 1 do 18 miesięcy. Małe firmy zamykają proces w 1–3 miesiące, średnie organizacje (MŚP) w 2–4 miesiące, a duże podmioty o złożonej infrastrukturze potrzebują 6–18 miesięcy. Po audycie zerowym przygotowujemy realny harmonogram dopasowany do Twojej firmy.

Certyfikacja ISO 27001 jest dobrowolna i nie wynika wprost z przepisów prawa. W branży IT, finansowej, ubezpieczeniowej i w ochronie zdrowia jest jednak de facto warunkiem udziału w przetargach i współpracy B2B, a wdrożenie SZBI pokrywa znaczną część wymagań dyrektywy NIS2 i rozporządzenia DORA.

Wdrożenie ISO/IEC 27001 pokrywa znaczną część wymagań NIS2 i DORA – zarządzanie ryzykiem, ciągłość działania, nadzór nad dostawcami i zarządzanie incydentami. Nie zastępuje ich jednak w całości: NIS2 dodaje m.in. obowiązek zgłaszania incydentów (wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h) oraz osobistą odpowiedzialność zarządu.

Deklaracja Stosowania (Statement of Applicability, SoA) to obowiązkowy dokument SZBI, który dla każdego z 93 zabezpieczeń Załącznika A wskazuje, czy jest stosowane, oraz uzasadnia jego zastosowanie lub wyłączenie. SoA jest jednym z kluczowych dokumentów weryfikowanych podczas audytu certyfikacyjnego.

W wersji 2022 liczbę zabezpieczeń zmniejszono ze 114 (w 14 kategoriach) do 93 (w 4 grupach), dodając 11 nowych kontroli, m.in. threat intelligence, bezpieczeństwo usług chmurowych, monitorowanie aktywności i bezpieczne kodowanie. Zmieniła się też struktura Załącznika A. Organizacje z certyfikatem w wersji 2013 musiały przejść na wersję 2022.

Certyfikat ISO 27001 wydaje niezależna, akredytowana jednostka certyfikująca – w Polsce akredytacji udziela Polskie Centrum Akredytacji (PCA). Firma doradcza taka jak VIPentest wdraża SZBI i przygotowuje organizację do audytu, ale nie może wydać certyfikatu. Rozdział ról gwarantuje bezstronność i uznawalność certyfikatu.

Certyfikat ISO 27001 jest ważny 3 lata, pod warunkiem pozytywnego przejścia corocznych audytów nadzoru w 2. i 3. roku cyklu. Po trzech latach przeprowadzany jest audyt recertyfikacyjny, który odnawia certyfikat na kolejne 3 lata.

Tak. ISO 27001 jest skalowalne – zakres SZBI i dobór zabezpieczeń dopasowuje się do wielkości i ryzyka organizacji. Małe firmy mogą uzyskać certyfikat już w 1–3 miesiące, a dobrze zaplanowane wdrożenie ogranicza koszty i nakład pracy zespołu.

Audyt certyfikacyjny jest dwuetapowy. Etap I to przegląd dokumentacji SZBI i ocena gotowości (zwykle 1–2 dni). Etap II to weryfikacja praktycznego wdrożenia i skuteczności zabezpieczeń na miejscu (zwykle 2–5 dni). Po pozytywnym Etapie II i zamknięciu ewentualnych niezgodności jednostka wydaje certyfikat.

Załącznik A normy ISO/IEC 27001:2022 zawiera 93 zabezpieczenia pogrupowane w 4 obszary: organizacyjne (37), dotyczące ludzi (8), fizyczne (14) i technologiczne (34). To zmiana względem wersji 2013, która liczyła 114 zabezpieczeń w 14 kategoriach.

ISO 27001 to norma zarządzania bezpieczeństwem wszystkich informacji w organizacji, a RODO to przepis prawa dotyczący wyłącznie danych osobowych. Wdrożenie ISO 27001 wspiera zgodność z art. 32 RODO (bezpieczeństwo przetwarzania), a rozszerzenie ISO/IEC 27701 dodaje do SZBI zarządzanie prywatnością (PIMS).