ISO 27001 to międzynarodowa norma systemu zarządzania bezpieczeństwem informacji (ISMS - Information Security Management System). Certyfikat jest wymagany przez coraz więcej firm - szczególnie w sektorze IT, finansowym i w łańcuchach dostaw dużych korporacji. W 2022 roku ukazała się zaktualizowana wersja normy: ISO 27001:2022, która wprowadza nowe zabezpieczenia związane z chmurą i cyberbezpieczeństwem.
Dla kogo jest ISO 27001?
Certyfikat ISO 27001 jest szczególnie istotny dla:
- Firm IT, software house'ów i dostawców usług chmurowych
- Instytucji finansowych, ubezpieczycieli i fintech
- Firm medycznych i firm obsługujących dane osobowe (RODO)
- Dostawców dla sektora publicznego i obronnego
- Firm, które padły ofiarą ataku ransomware lub naruszenia danych
NIS2 i polska ustawa o KSC nie wprowadzają ogólnego obowiązku uzyskania certyfikatu ISO 27001. Norma może jednak stanowić praktyczne wsparcie w uporządkowaniu zarządzania bezpieczeństwem informacji i wykazaniu dojrzałości organizacyjnej.
Co nowego w ISO 27001:2022?
Aktualizacja z 2022 roku wprowadza istotne zmiany w Aneksie A (zabezpieczenia):
- Liczba zabezpieczeń w zestawie referencyjnym Annex A zmniejszyła się ze 114 do 93. Edycja 2022 zawiera 11 nowych zabezpieczeń, a wszystkie zabezpieczenia uporządkowano w czterech grupach: organizacyjne, dotyczące ludzi, fizyczne i technologiczne.
- Nowe zabezpieczenia: monitoring bezpieczeństwa danych, analiza zagrożeń, bezpieczeństwo chmury
- Termin na przejście ze starej wersji (2013) upłynął 31 października 2025
Jeśli posiadasz certyfikat ISO 27001:2013 - Twoja organizacja powinna już działać na wersji 2022. Jeśli nie - to pilna sprawa do omówienia z jednostką certyfikującą.
Kluczowe elementy systemu ISMS
- Polityka bezpieczeństwa informacji - dokument najwyższego poziomu, zatwierdzony przez zarząd
- Ocena ryzyka i postępowanie z ryzykiem - identyfikacja aktywów informacyjnych, zagrożeń, podatności i skutków
- Deklaracja stosowania (SoA) - dokument potwierdzający, które z 93 zabezpieczeń są stosowane i dlaczego
- Plan ciągłości działania IT - RTO/RPO, kopie zapasowe, testy odtwarzania
- Zarządzanie incydentami bezpieczeństwa - procedura zgłaszania, klasyfikacji i obsługi incydentów
- Zarządzanie dostępem - zasada minimalnych uprawnień, MFA, przeglądy dostępu
Ile kosztuje wdrożenie ISO 27001 w Polsce?
Dla firmy IT lub usługowej (10-80 pracowników) realistyczne koszty na 2026 rok:
- Konsultant ISO 27001: 12 000-25 000 zł (zakres zależy od złożoności infrastruktury IT)
- Testy penetracyjne: 3 000-8 000 zł (nie są wymagane przez normę, ale audytorzy często pytają)
- Certyfikacja: 4 000-9 000 zł rocznie
Czas wdrożenia: 4-7 miesięcy, dłużej niż przy ISO 9001, bo wymaga szczegółowej inwentaryzacji aktywów informacyjnych i technicznych środków bezpieczeństwa.
ISO 27001 a RODO
ISO 27001 i RODO mają wiele punktów stycznych: obydwa wymagają zarządzania ryzykiem przetwarzania danych, identyfikacji i raportowania naruszeń, środków technicznych ochrony danych. Wdrożenie ISO 27001 znacząco wspiera zgodność z RODO. Ale uwaga: ISO 27001 NIE gwarantuje automatycznie pełnej zgodności z RODO - to osobne wymaganie prawne.
Audyt wewnętrzny i certyfikacja
Przed certyfikacją wymagane jest przeprowadzenie pełnego audytu wewnętrznego ISMS i przeglądu zarządzania. Audyt certyfikujący Stage 1 to przegląd dokumentacji (często zdalnie), Stage 2 to audyt na miejscu. Łącznie 2-4 dni dla średniej firmy.
Sprawdź też, czy Twoja firma musi się certyfikować przez NIS2.
Podsumowanie
ISO 27001 to nie tylko certyfikat - to system zarządzania, który chroni Twoją firmę przed utratą danych, ransomware i odpowiedzialnością prawną. W dobie cyberataków i NIS2, bezpieczeństwo informacji to nie opcja, lecz warunek prowadzenia biznesu.
Planujesz certyfikację ISO 27001? Napisz do mnie - omówimy stan Twojej infrastruktury i przygotuję plan wdrożenia dopasowany do skali firmy.