ISO 27001 Toruń, wymagania normy

Kiedy toruńska firma słyszy o tej normie po raz pierwszy?

Prawie zawsze od kogoś innego. Do zakładów przetwórczych pytanie przychodzi z kwestionariuszem sieci handlowej, w którym obok pytań o surowiec pojawia się sekcja o dostępach i incydentach. Do firm usługowych ze starówki trafia razem z warunkami przetargu albo z ankietą korporacyjnego klienta. Do spółek wyrosłych wokół uczelni przychodzi w chwili podpisywania pierwszej dużej umowy, gdy druga strona chce wiedzieć, jak chronione są wyniki prac.

Wspólne jest to, że nikt nie pyta o normę z ciekawości. Pyta, bo od odpowiedzi zależy kontrakt, a termin jest krótki. Dlatego pierwsza rozmowa nie dotyczy certyfikatu, tylko tego, co dokładnie trzeba pokazać, komu i do kiedy. Bywa, że wystarczy raport z badania zgodności i sprawa kończy się bez certyfikacji.

Co norma obejmuje poza komputerami?

Informację w każdej postaci. W zakładzie oznacza to rzeczy, których nikt nie wpisuje do rejestru systemów informatycznych, a które ważą najwięcej.

Nośnik informacji	Gdzie zwykle jest	Czego oczekuje norma
Wydruk parametrów procesu	zafoliowany, przy linii	zasady tworzenia kopii i ich niszczenia
Zeszyt kontroli jakości	laboratorium, na blacie	ograniczony dostęp i przechowywanie
Receptura w segregatorze	biuro technologa, szafa bez zamka	wskazany opiekun i zamknięte archiwum
Etykieta z danymi partii	hala i magazyn	zasady wynoszenia poza teren zakładu
Rozmowa z serwisem maszyny	telefon, komunikator	ustalony sposób potwierdzania tożsamości
Zdjęcie linii zrobione telefonem	prywatne urządzenie pracownika	reguła dotycząca sprzętu prywatnego
Dokumenty przewozowe	kabina kierowcy	zabezpieczenie w transporcie
Wiedza doświadczonego brygadzisty	wyłącznie w jego głowie	zapis wiedzy krytycznej dla ciągłości

Ostatni wiersz nie jest ozdobnikiem. Norma wymaga, żeby firma umiała działać mimo nieobecności konkretnych osób, a w zakładzie z długim stażem załogi bywa to trudniejsze niż zabezpieczenie serwera.

Które wymagania są obowiązkowe, a które wybieracie sami?

Rozdziały od czwartego do dziesiątego są obowiązkowe zawsze, niezależnie od wielkości firmy. Mówią o kontekście organizacji, przywództwie, planowaniu, zasobach, działaniach operacyjnych, ocenie skuteczności i doskonaleniu. Nie ma tam nic, co dałoby się pominąć powołaniem na małą skalę działalności.

Załącznik A działa odwrotnie. Zawiera dziewięćdziesiąt trzy zabezpieczenia, z których bierzecie te wynikające z rejestru ryzyk, a pominięcia uzasadniacie w deklaracji stosowania. To właśnie tam widać różnicę między firmami: zakład z produkcją wybierze inaczej niż biuro projektowe, bo co innego mu zagraża. Uzasadnienie „nie dotyczy nas” bez powiązania z ryzykiem jest najczęstszym powodem uwag przy badaniu.

Co w firmie z produkcją i biurem w kamienicy sprawia najwięcej trudności?

Zabezpieczenia fizyczne i dostęp do pomieszczeń. Hala ma strefy, śluzy i kontrolę wejść, więc od tej strony bywa lepiej przygotowana niż niejedno biuro. Problem pojawia się w drugim budynku: w kamienicy z częścią wspólną, przez którą przechodzą też inni najemcy, i z serwerownią urządzoną w dawnej spiżarni, bo tylko tam było miejsce.

Druga trudność to dostawcy. Zakład ma ich wielu i część ma dostęp zdalny do urządzeń: serwis wag, dostawca systemu magazynowego, firma obsługująca chłodnię. Norma wymaga oceny takich podmiotów i zapisania warunków współpracy, a w praktyce oznacza to przegląd połączeń, o których nikt nie pamięta od czasu montażu.

Od czego zacząć, żeby pieniądze poszły we właściwej kolejności?

Od ustalenia zakresu i od pomiaru stanu, czyli od audytu zerowego. Dopiero znając granicę systemu i listę braków, da się powiedzieć, ile pracy jest przed Wami i czy w ogóle warto iść po certyfikat. Zamówienie dokumentacji przed tym krokiem kończy się opisem firmy, której nie ma.

Pomiar prowadzi audyt zgodności, komplet procedur powstaje przy dokumentacji ISO 27001, a całą drogę do badania jednostki prowadzi wdrożenie. Jeśli wymagania przyszły z przepisów, a nie z umowy, zacznijcie od porównania z NIS 2.

Kiedy mówimy, że norma nie jest Wam potrzebna?

Gdy nikt jej od Was nie wymaga, a firma nie przetwarza informacji, której utrata byłaby dla niej dotkliwa. Wdrożenie robione „na wszelki wypadek” kończy się dokumentacją, do której nikt nie zagląda, i rocznym kosztem nadzoru bez żadnego zwrotu.

Odradzamy też start w środku kampanii, gdy zakład pracuje na dwie zmiany i nikt nie ma czasu na warsztaty. Lepszy jest audyt zerowy teraz i decyzja po sezonie niż wdrożenie prowadzone przez ludzi, którzy fizycznie nie mogą w nim uczestniczyć. Rozmowę umawiamy przez kontakt albo w biurze przy Grudziądzkiej 136.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026