ISO 27001 Barlinek, wymagania normy

Co ta norma znaczy dla firmy na dwadzieścia osób

Znaczy tyle, że macie umieć powiedzieć, jakie informacje są dla Was ważne, co im grozi, co z tym robicie i skąd wiadomo, że to działa. Nic ponadto. Norma nie wymaga działu bezpieczeństwa, drogiego sprzętu ani zatrudnienia kogokolwiek nowego.

Cała trudność w firmie tej wielkości polega na czymś innym: role, które w dużej organizacji rozkładają się na kilka osób, tutaj skupiają się na właścicielu. On zatwierdza kryteria ryzyka, on decyduje o zakresie i on przeprowadza przegląd zarządzania. Da się to zrobić, ale trzeba to zaplanować w kalendarzu, bo inaczej nie wydarzy się nigdy.

Dwa rodzaje wymagań i różnica między nimi

Skąd wymaganie	Czy da się pominąć	Co to znaczy w praktyce
Rozdziały obowiązkowe	nie	musi być zakres, polityka, ocena ryzyka, przeglądy i doskonalenie
Załącznik A	tak, z uzasadnieniem	wybieracie zabezpieczenia wynikające z ryzyka, resztę opisujecie jako pominiętą
Wymagania kontrahenta	zależy od umowy	mogą wymuszać szerszy zakres, niż wybralibyście sami
Przepisy sektorowe	nie	działają niezależnie od normy i mają własne terminy

Pierwszy wiersz jest tym, o co rozbijają się firmy próbujące skrócić drogę. Można mieć bardzo proste zabezpieczenia i przejść badanie, jeśli wybór wynika z oceny ryzyka. Nie można pominąć samego procesu.

Ile z tego dotyczy techniki, a ile ludzi i papieru

Z dziewięćdziesięciu trzech zabezpieczeń załącznika A wyraźnie mniej niż połowa dotyczy konfiguracji systemów. Reszta to sprawy organizacyjne, kadrowe i fizyczne: kto nadaje dostęp pierwszego dnia pracy, kto go odbiera ostatniego, jak postępujecie z nośnikami, jak zabezpieczone są pomieszczenia, co jest w umowach z podwykonawcami.

W barlineckich firmach to zwykle dobra wiadomość, bo znaczna część tych rzeczy już się dzieje. Klucze są wydawane konkretnym osobom, przy odejściu odbiera się telefon służbowy, a hurtownia wie, kto ma prawo wystawiać dokumenty. Brakuje zapisu, że tak jest, i to jest praca do wykonania.

Czego norma wymaga poza serwerownią

Rzeczy, które przy pierwszej rozmowie brzmią zaskakująco. Umowa z firmą sprzątającą, jeśli ma dostęp do biura po godzinach. Zasada niszczenia wydruków. Sposób postępowania z laptopem zabieranym do domu. Lista osób, które mogą podpisywać dyspozycje przelewów. Zapis ze szkolenia, choćby półgodzinnego, że odbyło się i kto był.

Dla zakładu z halą dochodzi warstwa fizyczna: kto wchodzi na teren, czy szafa z serwerem jest zamykana, gdzie stoi rejestrator z kamer i kto ma do niego hasło. Praktyczną stronę tego przeglądu opisuje audyt IT.

Kiedy mówimy, że norma nie jest Wam potrzebna

Gdy nikt jej od Was nie wymaga. To brzmi banalnie, ale jest najczęstszą sytuacją, w której firma z Barlinka pyta o certyfikat, bo zobaczyła go u konkurencji. W takim przypadku te same pieniądze wydane na kopie poza budynkiem, kontrolę dostępu i drugi składnik logowania podniosą bezpieczeństwo wyraźnie bardziej.

Drugi przypadek: firma chce papieru na jeden przetarg i nie zamierza utrzymywać systemu dalej. Certyfikat jest ważny trzy lata, z audytami nadzoru co roku, więc taka decyzja kończy się jego utratą i wydatkiem bez efektu.

Co uruchamia ten temat naprawdę

W kolejności, w jakiej to widzimy w regionie: wymaganie odbiorcy w umowie, warunek w przetargu, wejście do łańcucha dostaw większej firmy, wymóg ubezpieczyciela oraz sytuacja po incydencie, gdy właściciel chce mieć proces zamiast improwizacji.

Każdy z tych powodów daje inną kolejność prac. Przy twardym terminie z umowy zaczynamy od harmonogramu wstecz od tej daty. Przy incydencie zaczynamy od techniki, bo tam leży przyczyna.

Cztery kroki i to, kto je wykonuje

Krok	Co się dzieje	Kto prowadzi
Audyt zerowy	porównanie stanu firmy z wymaganiami	my, od 7 900 zł
Wdrożenie	ocena ryzyka, dokumentacja, zabezpieczenia	my razem z Wami, od 24 900 zł
Audyt wewnętrzny	sprawdzenie, czy system działa	my albo przeszkolona osoba u Was
Certyfikacja	badanie jednostki i wydanie certyfikatu	niezależna jednostka

Audyt zerowy jest jedynym uczciwym sposobem na rozmowę o terminie i budżecie, bo dopiero on zamienia „chcemy mieć ISO 27001” w listę konkretnych braków. Wariant bez czwartego wiersza, czyli zgodność bez certyfikatu, jest dla firm tej wielkości najczęstszym wyborem i opisujemy go przy badaniu zgodności.

Gdzie zaczynają się przepisy

Norma jest dobrowolna, ale część firm ma równolegle obowiązki wynikające z regulacji. Wtedy kolejność bywa odwrotna, niż się wydaje, bo przepisy mają terminy, a certyfikat nie. Różnice zebraliśmy przy ISO 27001 a NIS 2, a sam komplet dokumentów przy dokumentacji.

Treść sprawdzona i zaktualizowana: 1 sierpnia 2026