ISO 27001 Poznań, wymagania normy

Czym ta norma jest, a czym na pewno nie jest

Nie jest listą produktów do kupienia ani zestawem ustawień do wgrania. Opisuje sposób postępowania: ustal, co chronisz, oszacuj ryzyko, dobierz do niego środki, sprawdzaj skuteczność i poprawiaj. Z tego powodu dwie firmy z tym samym certyfikatem mogą mieć zupełnie różne zabezpieczenia i obie być w porządku.

Nie jest też projektem informatycznym. W firmie handlowej większość pracy dotyczy tego, co dzieje się poza serwerownią: kto dostaje dostęp do systemu w pierwszym dniu pracy w magazynie, co się z nim dzieje po zakończeniu umowy sezonowej i kto może pokazać cennik zakupowy osobie spoza firmy.

Ile z tych wymagań spełniacie, nie nazywając tego tak

Firmy przychodzą z założeniem, że zaczynają od zera. Prawie nigdy tak nie jest.

Wymaganie normy	Co w firmie handlowej zwykle już działa	Czego brakuje do zgodności
Kontekst i strony zainteresowane	wiedza, czego wymagają odbiorcy i ubezpieczyciel	spisania tego w jednym dokumencie
Polityka i role	ktoś odpowiada za IT, ktoś za kadry	przypisania ról na piśmie, z podpisem zarządu
Ocena ryzyka	zarząd wie, co go boli w razie przestoju	metody, kryteriów i rejestru, który żyje
Kontrola dostępu	uprawnienia w systemie handlowym po rolach	cyklicznego przeglądu i śladu po nim
Kopie zapasowe	zadania działają i ktoś je ogląda	testu odtworzenia z zapisanym wynikiem
Bezpieczeństwo fizyczne	magazyn zamykany, monitoring przy rampie	zasad dla gości, serwisu i kluczy
Dostawcy	umowy z serwisem systemu magazynowego	wymagań bezpieczeństwa w treści tych umów
Incydenty	awarie zgłasza się do informatyka	rejestru, klasyfikacji i wniosków po zdarzeniu
Szkolenia	nowa osoba dostaje instruktaż	powtarzalności i zapisu, kto i kiedy był na szkoleniu

Kolumna trzecia jest zwykle krótsza, niż zarząd się spodziewa, i to jest najlepsza wiadomość z pierwszej rozmowy. Wąskim gardłem rzadko bywa brak zabezpieczeń, częściej brak śladu, że działają.

Co norma mówi o magazynie, agencji pracy i dostawcach

Trzy obszary, które w handlu i dystrybucji sprawiają najwięcej pracy, a które w rozmowie o normie pojawiają się najpóźniej.

Magazyn jest przestrzenią, przez którą przechodzą ludzie spoza firmy: kierowcy, serwis wózków, ekipa sprzątająca, pracownicy agencji. Norma pyta, kto ma prawo wejść, jak to jest odnotowane i co widzi osoba, która weszła. Wydrukowana lista wysyłek z danymi odbiorców, leżąca przy stanowisku pakowania, jest przetwarzaniem informacji tak samo jak baza danych.

Agencja pracy tymczasowej wprowadza do firmy osoby na kilka tygodni. Wymaganie dotyczące bezpieczeństwa zasobów ludzkich obejmuje je tak samo jak etatowców: zakres dostępu, zobowiązanie do poufności, odebranie uprawnień po zakończeniu. Najprostszym rozwiązaniem jest konto z datą wygaśnięcia ustawianą przy zakładaniu.

Dostawcy to obszar, w którym firmy handlowe mają najwięcej do nadrobienia. Serwis systemu magazynowego, integrator sklepu i firma od terminali mobilnych mają zwykle stały dostęp zdalny, a umowy milczą o bezpieczeństwie. Norma wymaga tu konkretnych zapisów i przeglądu, kto z tego dostępu korzysta.

Dlaczego deklaracja stosowania decyduje o wyniku badania

Bo pokazuje sposób myślenia firmy, a nie stan jej wyposażenia. Audytor czyta w niej, dlaczego pominęliście dane zabezpieczenie, i porównuje uzasadnienie z rejestrem ryzyk. Jeśli pominięcie brzmi „nie dotyczy nas”, a w rejestrze stoi ryzyko, które właśnie to zabezpieczenie adresuje, rozmowa robi się trudna.

Odwrotna sytuacja też się zdarza i wypada dobrze. Firma z prostymi środkami, która potrafi wyjaśnić każdy wybór, przechodzi badanie lepiej niż firma z drogim sprzętem kupionym bez związku z jakąkolwiek analizą.

Zgodność i certyfikat to dwie osobne decyzje

Być zgodnym znaczy postępować tak, jak wymaga tego norma. Mieć certyfikat znaczy dodatkowo, że potwierdziła to niezależna jednostka, za opłatą, w cyklu trzyletnim z corocznymi audytami nadzoru. Pierwsze podnosi bezpieczeństwo, drugie odpowiada na pytanie kontrahenta.

Kolejność bywa odwrotna do oczekiwań. W spółce, która najpierw uporządkuje kopie, dostępy i podział sieci, wdrożenie kosztuje mniej, bo doradca nie nadrabia techniki. Jeżeli powodem rozmowy jest realne bezpieczeństwo, a nie wymóg z umowy, tańszym pierwszym krokiem bywa audyt IT w Poznaniu.

Co dzieje się z systemem w drugim i trzecim roku

Certyfikat jest ważny trzy lata, ale w każdym z nich odbywa się audyt nadzoru. Firma, która przestaje prowadzić rejestr ryzyk i przeglądy zaraz po odebraniu dokumentu, traci go przy pierwszej takiej wizycie, razem z pieniędzmi już wydanymi.

Utrzymanie to kilkanaście godzin pracy w roku po Waszej stronie: przegląd uprawnień, aktualizacja rejestru, jeden przegląd zarządzania, szkolenie przypominające. Warto policzyć te trzy lata przed decyzją, a nie po niej.

Stan wyjściowy mierzy audyt zgodności, całą drogę prowadzi wdrożenie, polityki i procedury powstają przy dokumentacji, a różnice wobec obowiązków ustawowych opisuje ISO 27001 a NIS 2. Rozmowę umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026