ISO 27001 Kielce, wymóg w postępowaniu

Skąd w kieleckiej firmie bierze się to pytanie?

Prawie zawsze z zewnątrz i prawie zawsze z terminem. Najczęściej jest to zapis w specyfikacji postępowania publicznego, w którym obok wymagań technicznych pojawia się warunek dotyczący bezpieczeństwa informacji. Drugą drogą jest kwestionariusz od dużego odbiorcy przemysłowego, który porządkuje swoich dostawców i rozsyła ten sam zestaw pytań do wszystkich. Trzecią, rzadszą, jest własna decyzja po zdarzeniu, po którym zarząd nie chce już polegać na tym, że ktoś zapamiętał, co robić.

Różnica między tymi trzema drogami jest praktyczna, bo każda ma inny termin i inną cenę spokoju. Postępowanie ma datę, której nikt nie przesunie. Kwestionariusz odbiorcy zwykle da się odesłać z opisem stanu faktycznego i planem, o ile plan jest prawdziwy. Decyzja własna nie ma terminu wcale, więc najczęściej to ona kończy się porządnym systemem, a nie papierem zdobytym na czas.

Czym ta norma jest, jeśli odrzucić żargon?

Instrukcją prowadzenia jednego procesu w kółko: ustal, co masz do ochrony, oceń, co może się z tym stać, dobierz środki proporcjonalne do tej oceny, sprawdzaj, czy działają, i poprawiaj. Nie jest listą zakupów ani zestawem ustawień, więc nie da się jej spełnić przelewem.

Wynika z tego rzecz, która zaskakuje przy pierwszej rozmowie. Dwie firmy z tym samym certyfikatem mogą mieć zupełnie inne zabezpieczenia i obie będą zgodne, o ile potrafią wyjaśnić, skąd wziął się ich wybór. Audytora nie interesuje marka urządzenia na brzegu sieci, tylko to, czy decyzja o jego kupieniu ma w firmie jakiekolwiek uzasadnienie poza tym, że akurat taki był w promocji.

Która informacja traci wartość w dniu otwarcia ofert, a która żyje latami?

To pytanie robi w kieleckiej firmie więcej porządku niż cały rozdział normy o kontekście organizacji. Część informacji jest wrażliwa krótko i bardzo, a część długo i umiarkowanie, i te dwie grupy chroni się inaczej.

Rodzaj informacji	Jak długo ma wartość	Co z tego wynika
Kosztorys ofertowy przed otwarciem	do dnia otwarcia ofert	wąski krąg osób, kontrola kopii, brak wersji na nośnikach
Warunki od dostawców materiałów	jeden sezon zakupowy	oddzielenie od katalogów dostępnych całej firmie
Dokumentacja powykonawcza	okres rękojmi i dłużej	trwałość nośnika, kopie, sprawdzone odtwarzanie
Rozwiązania technologiczne firmy	latami, bez terminu	ograniczenie wynoszenia i zapis, kto sięgał po pliki
Dane osobowe z placu	zależnie od zobowiązań	ustalona retencja i faktyczne usuwanie po terminie
Umowy z podwykonawcami	okres rozliczeń i sporów	dostęp według roli, nie według wygody
Korespondencja z zamawiającym	czas trwania postępowania	konta imienne i ślad po dostępie

Wiersz pierwszy jest tym, na którym firmy z tej branży tracą najwięcej i jednocześnie tym, którego żaden ogólny opis normy nie wyróżnia. Kwota, która wypłynęła na dzień przed terminem, jest bezużyteczna tydzień później, ale w tym jednym dniu decyduje o wyniku postępowania i o roku pracy zakładu.

Ile z tej normy trzeba zrobić, żeby mówić o zgodności?

Całość rozdziałów od czwartego do dziesiątego, bez wyjątków i bez względu na wielkość firmy. To one opisują sam system: kontekst, przywództwo, planowanie, wsparcie, działanie, ocenę i doskonalenie. Dziesięcioosobowa firma robi to prościej niż korporacja, ale robi to samo.

Załącznik A działa inaczej. Zawiera dziewięćdziesiąt trzy środki, spośród których bierzecie wyłącznie te wskazane przez własną ocenę ryzyka, a każdą rezygnację tłumaczycie w deklaracji stosowania. Ten jeden dokument audytor czyta najuważniej, bo z niego widać, czy firma przeszła przez własną analizę, czy przepisała cudzą tabelę. Deklaracja mówiąca, że stosujecie wszystko, jest w małej firmie sygnałem ostrzegawczym, nie powodem do dumy.

Co zrobić, gdy termin wyznacza ogłoszone postępowanie?

Najpierw sprawdzić, czego zapis naprawdę żąda, bo to najtańszy krok w całej sprawie i czasem jedyny potrzebny. Jeśli wymagany jest certyfikat, a postępowanie zamyka się za dwa miesiące, uczciwa odpowiedź brzmi: w tym terminie nie da się, bo audytor prosi o zapisy z kilku miesięcy działania i nie ma sposobu, żeby wytworzyć je wstecz.

Jeśli zapis mówi o wdrożonych środkach albo o środkach równoważnych, sytuacja wygląda inaczej. Wtedy realnym planem jest audyt zerowy, uzupełnienie braków technicznych i przedstawienie stanu razem z harmonogramem. Kolejność ma znaczenie także dla pieniędzy: firma, która najpierw uporządkuje kopie, dostępy i sieć, wchodzi we wdrożenie z krótszą listą braków, więc płaci za mniej pracy doradczej. Stan wyjściowy pokazuje audyt IT, a dystans do samej normy mierzy audyt zgodności.

Kiedy certyfikat nie rozwiąże Waszego problemu?

Gdy nikt go od Was nie wymaga, a chodzi o realne bezpieczeństwo. Te same pieniądze wydane na kopie odporne na skasowanie, kontrolę dostępu i porządek w kontach dają wtedy więcej niż dokument w ramce. Powiemy to nawet wówczas, gdy oznacza rezygnację z większego zlecenia po naszej stronie.

Nie pomoże też wtedy, gdy firma nie zamierza utrzymywać systemu po odebraniu papieru. Audyty nadzoru odbywają się co roku, więc projekt bez planu na drugi i trzeci rok kończy się utratą certyfikatu i wydanymi pieniędzmi. Przebieg całego projektu opisuje wdrożenie ISO 27001, zestaw dokumentów dokumentacja systemu, a relację z przepisami ISO 27001 a NIS 2. Pierwszą rozmowę umówicie przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026