Poradnik
Ten poradnik jest dla zarządu firmy, od której klient zażądał certyfikatu ISO 27001 albo która chce uporządkować bezpieczeństwo przed obowiązkami z ustawy o krajowym systemie cyberbezpieczeństwa. Pokazujemy, kiedy 90 dni na przygotowanie do audytu to realny plan, co trzeba zrobić tydzień po tygodniu, z czego składa się koszt i co dzieje się po otrzymaniu certyfikatu.
ISO/IEC 27001 to międzynarodowa norma opisująca system zarządzania bezpieczeństwem informacji (w skrócie SZBI). Mówiąc prościej: to sposób, w jaki firma ustala, które informacje są dla niej ważne, co im zagraża i jak je chroni. Certyfikat potwierdza, że taki system działa, a sprawdziła to niezależna jednostka.
Norma jest dobrowolna, a firmy sięgają po nią zwykle z trzech powodów. Najczęściej wymaga jej duży klient w ankiecie dla dostawców albo w przetargu. Drugim powodem są banki i ubezpieczyciele, którzy od 17 stycznia 2025 r. muszą zgodnie z rozporządzeniem DORA nadzorować ryzyko u swoich dostawców IT. Trzecim jest znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa: podmioty kluczowe i ważne muszą do 3 kwietnia 2027 r. wdrożyć system zarządzania bezpieczeństwem informacji.
Weźmy hipotetyczną firmę informatyczną zatrudniającą 80 osób, która tworzy oprogramowanie dla banków. Bez certyfikatu każdy klient przysyła jej ankietę na kilkaset pytań, a niektórzy chcą przeprowadzić własny audyt. Z certyfikatem wiele z tych pytań zamyka jeden dokument.
Certyfikat nie zawsze ma sens. Jeśli żaden klient go nie wymaga, a firma nie podlega ustawie o krajowym systemie cyberbezpieczeństwa, często lepiej zacząć od uporządkowania podstaw bez formalnej certyfikacji. W branży motoryzacyjnej klienci zwykle oczekują z kolei oceny TISAX, czyli branżowego standardu opartego na podobnych wymaganiach – sprawdź to przed startem.
90 dni oznacza czas do gotowości na audyt certyfikacyjny, nie do otrzymania certyfikatu. Po tym okresie dochodzą termin wolny w jednostce certyfikującej, dwa etapy audytu i czas na usunięcie niezgodności. W praktyce od startu projektu do certyfikatu w ręku mija więc zwykle kilka miesięcy.
Taki harmonogram jest wykonalny, gdy spełnione są wszystkie warunki z listy poniżej. Gdy brakuje jednego, dolicz czas na jego uzupełnienie. Gdy brakuje dwóch lub więcej, zaplanuj raczej pół roku. Pośpiech kończy się dokumentami, których nikt nie stosuje, a to audytor szybko zauważy w rozmowach z pracownikami.
Poniższy plan zakłada średnią firmę usługową lub produkcyjną z jedną główną lokalizacją. Etapy częściowo na siebie zachodzą, a granice między nimi są umowne. Najważniejsze, żeby audyt wewnętrzny i przegląd zarządzania, czyli spotkanie, na którym zarząd ocenia działanie systemu, odbyły się przed audytem certyfikacyjnym, bo jednostka sprawdza, czy system już działa.
Zwróć uwagę na etap od 31. do 60. dnia. To nie pisanie dokumentów, tylko zmiany w codziennej pracy: nadawanie i odbieranie uprawnień, kontrola dostawców, reagowanie na incydenty. Właśnie tu najczęściej brakuje czasu.
| Okres | Co trzeba zrobić | Efekt |
|---|---|---|
| Dni 1–14 | Analiza stanu obecnego, ustalenie zakresu, lista ważnych informacji i systemów, wymagania klientów i przepisów | Zakres certyfikacji zatwierdzony przez zarząd i lista luk do zamknięcia |
| Dni 15–30 | Analiza ryzyka z kierownikami działów, polityka bezpieczeństwa, podział odpowiedzialności | Rejestr ryzyk, plan postępowania z ryzykiem, pierwsza wersja deklaracji stosowania |
| Dni 31–60 | Wdrożenie wybranych zabezpieczeń: uprawnienia, dostawcy, incydenty, kopie zapasowe, ciągłość działania | Działające procedury i pierwsze zapisy, które pokażesz audytorowi |
| Dni 61–75 | Szkolenie wszystkich pracowników i osobne szkolenia dla osób z kluczowymi rolami | Lista obecności i test wiedzy po szkoleniu |
| Dni 76–90 | Audyt wewnętrzny, poprawki, przegląd zarządzania | Raport z audytu wewnętrznego i protokół przeglądu podpisany przez zarząd |
Norma nie każe wdrażać wszystkich zabezpieczeń. Każe ocenić ryzyko i dobrać do niego środki ochrony. Dlatego analiza ryzyka to serce całego systemu, a nie formalność do odhaczenia.
Wynik tej analizy trafia do deklaracji stosowania (w normie: Statement of Applicability). To tabela, w której dla każdego z 93 zabezpieczeń z załącznika A firma wpisuje, czy je stosuje, dlaczego i w jaki sposób. Gdy zabezpieczenie wyłączasz, musisz to uzasadnić.
Przykład: firma bez własnej serwerowni, która trzyma dane w Microsoft 365, może uzasadnić wyłączenie części zabezpieczeń fizycznych dla centrum danych. Nie może jednak wyłączyć kontroli dostawcy chmury, bo ryzyko po prostu się przeniosło. Audytor zaczyna zwykle od tego dokumentu, więc warto go dopracować.
Zabezpieczenia podzielono na cztery grupy. Lista poniżej pokazuje, czego dotyczą.
Audytor nie sprawdza, czy masz ładne polityki. Sprawdza, czy ludzie w firmie robią to, co w nich napisano.
Audyt prowadzi jednostka certyfikująca akredytowana w zakresie ISO/IEC 27001. Polskie jednostki akredytuje Polskie Centrum Akredytacji, a zagraniczne – krajowe jednostki akredytujące ich państw. W odpowiednim wykazie sprawdzisz, czy wybrana jednostka ma akredytację dla tej normy. Certyfikat od jednostki bez akredytacji może nie zostać uznany przez Twojego klienta.
Audyt ma dwa etapy. W pierwszym audytor sprawdza dokumenty i ocenia, czy firma jest gotowa na właściwą ocenę. W drugim rozmawia z pracownikami, ogląda zapisy i sprawdza, czy zasady działają w praktyce. Liczbę dni audytu jednostka wylicza według zasad akredytacji, głównie na podstawie liczby osób objętych zakresem.
Audytor może znaleźć niezgodności duże lub małe. Duża, na przykład brak audytu wewnętrznego albo zabezpieczenie opisane, ale w ogóle niestosowane, wstrzymuje wydanie certyfikatu do czasu jej usunięcia. Małe firma zamyka według planu działań, który jednostka sprawdza przy kolejnej wizycie.
Na koszt składa się pięć elementów, a ich proporcje bardzo się różnią między firmami. Nie podajemy uśrednionych kwot, bo bez znajomości zakresu i stanu wyjściowego byłyby mylące. Zamiast tego pokazujemy, od czego zależy każdy z nich i o co zapytać przy porównywaniu ofert.
Przy ofertach jednostek certyfikujących porównuj cenę za cały trzyletni cykl, a nie tylko za pierwszy audyt. Przy konsultantach zapytaj, ile godzin pracy Twoich ludzi zakładają i kto po wdrożeniu będzie utrzymywał dokumentację.
| Składnik | Od czego zależy | Na co uważać |
|---|---|---|
| Czas pracowników | Liczba działów w zakresie, dostępność kierowników, stan dokumentacji | Zwykle największy koszt, rzadko liczony w budżecie |
| Wsparcie zewnętrzne | Czy kupujesz tylko szablony, prowadzenie projektu czy także audyt wewnętrzny | Gotowe szablony bez dopasowania kończą się niezgodnościami |
| Jednostka certyfikująca | Liczba osób w zakresie, liczba lokalizacji, złożoność systemów | Liczy się koszt audytów nadzoru i recertyfikacji, nie tylko pierwszego |
| Zabezpieczenia techniczne | Luki z analizy ryzyka: logowanie dwuskładnikowe, kopie, ochrona komputerów, zbieranie logów, czyli zapisów zdarzeń w systemach | Część funkcji masz już w posiadanych licencjach Microsoft 365 |
| Szkolenia | Liczba pracowników i ról wymagających szkolenia specjalistycznego | Szkolenie trzeba powtarzać, nie tylko zrobić raz |
Certyfikat jest ważny 3 lata. W tym czasie jednostka certyfikująca wraca co najmniej raz w roku na audyt nadzoru, pierwszy raz w ciągu 12 miesięcy od decyzji o certyfikacji. Po trzech latach przychodzi audyt ponownej certyfikacji.
Między audytami system musi żyć. Ktoś aktualizuje analizę ryzyka po zmianach w firmie, prowadzi rejestr incydentów, przeprowadza audyt wewnętrzny i przygotowuje przegląd dla zarządu. Gdy nikt za to nie odpowiada, dokumenty starzeją się w kilka miesięcy.
Średnie firmy rozwiązują to na dwa sposoby. Jedne wyznaczają osobę wewnątrz firmy, inne korzystają z zewnętrznego specjalisty ds. bezpieczeństwa na część etatu (tzw. vCISO). W obu przypadkach warto wpisać przegląd systemu do stałego kalendarza zarządu.
NIS2 to dyrektywa unijna, która wiąże państwa, a nie firmy. W Polsce wdrożyła ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, obowiązująca od 3 kwietnia 2026 r. To ustawa, a nie norma ISO, nakłada obowiązki na podmioty kluczowe i ważne.
Ustawa wymaga od tych podmiotów systemu zarządzania bezpieczeństwem informacji i zgłaszania incydentów, a od podmiotów kluczowych także regularnych audytów (pierwszy do 3 kwietnia 2028 r.). Termin na wdrożenie systemu i pozostałych obowiązków mija 3 kwietnia 2027 r. ISO 27001 daje gotowy sposób na zbudowanie takiego systemu, więc firma z certyfikatem ma dużą część pracy za sobą.
Certyfikat nie zwalnia jednak z obowiązków ustawowych. Zgłaszanie incydentów w terminach z ustawy, rejestracja w wykazie i audyt wymagany ustawą to osobne sprawy. Jeśli Twoja firma podlega ustawie, ustal zakres certyfikacji tak, żeby obejmował usługi, których dotyczą przepisy.
Większość niezgodności na audycie nie wynika z braku technologii. Wynika z rozjazdu między tym, co napisano, a tym, co ludzie robią na co dzień. Oto błędy, które widać najczęściej:
Powiązane wątki w bazie wiedzy
FAQ
Pytania, które zarządy zadają zwykle przy planowaniu certyfikacji, a które nie zmieściły się w treści.
O tej stronie
Źródła
O autorze
Kacper Włodarczyk
CEO ALGORCOMP
Specjalizuje się we wdrożeniach Microsoft 365 Copilot, Copilot Studio, Power Platform (Power Automate, Power Apps, SharePoint) oraz agentów AI dla średnich firm B2B w Polsce. Prowadzi dziesiątki projektów z zakresu strategii AI, governance Power Platform, automatyzacji obiegu dokumentów i procesów sprzedażowych. W publikacjach koncentruje się na praktycznych aspektach wdrożeń AI w organizacjach — od pierwszego POC do skalowania na całą firmę, ze szczególnym uwzględnieniem bezpieczeństwa danych, zgodności (RODO, NIS2, AI Act) i zwrotu z inwestycji.
Poznaj zespółPomożemy ocenić, czy 90 dni jest realne w Twojej firmie, ustalić zakres i przygotować plan wdrożenia z podziałem pracy między Twój zespół a wsparcie zewnętrzne.
Wyróżnione
Czym jest Claude Mythos, kto może z niego korzystać, czego nauczyło czerwcowe zawieszenie dostępu i co średnia firma powinna zmienić w swoim bezpieczeństwie.
Czym zajmuje się vCISO, czego wymaga od firm nowa ustawa o krajowym systemie cyberbezpieczeństwa, kiedy taki model się opłaca, a kiedy lepszy jest etat lub dobry dostawca IT.
Porównanie zewnętrznego i etatowego szefa bezpieczeństwa informacji: co mówi ustawa o KSC, jak policzyć koszty obu modeli i kiedy który z nich ma sens.
Autor: Kacper Włodarczyk, CEO ALGORCOMP