ISO 27001 Warszawa, wymagania normy

Kto w Warszawie stawia to wymaganie i co naprawdę akceptuje

Prawie nikt nie zaczyna tego tematu z własnej inicjatywy. Pytanie przychodzi z zewnątrz i to, kto je zadaje, przesądza o tym, ile pracy trzeba wykonać oraz czy na końcu potrzebny jest dokument z akredytowanej jednostki.

Kto pyta	O co prosi w praktyce	Co zwykle wystarcza	Kiedy konieczny jest certyfikat
Dział zakupów korporacji	wypełniony kwestionariusz bezpieczeństwa	opis zabezpieczeń plus raport z badania	gdy warunek jest zapisany w umowie ramowej
Postępowanie przetargowe	wykazanie systemu zarządzania	zależy od treści warunków udziału	gdy warunek wymienia certyfikat wprost
Centrala grupy kapitałowej	zgodność z polityką grupową	zmapowanie polityki na wymagania normy	gdy grupa wymaga go od wszystkich spółek
Ubezpieczyciel	opis środków przy wycenie polisy	ankieta wypełniona i poparta dowodami	rzadko, częściej wpływa na składkę
Klient po incydencie u siebie	pewność, że nie jesteście słabym ogniwem	plan naprawczy z terminami	gdy trwa to dłużej niż jeden kwartał
Prawnik drugiej strony	zapisy do umowy o poufności i dostępach	procedury, które da się załączyć	prawie nigdy
Zarząd po własnym zdarzeniu	proces zamiast improwizacji	wdrożona zgodność bez certyfikacji	tylko jeśli dochodzi wymóg handlowy

Wiersz pierwszy jest najczęstszy i jednocześnie najczęściej źle rozumiany. Kwestionariusz zakupowy pyta o stan faktyczny, a nie o dokument, więc firma z uporządkowanym systemem odpowiada na niego lepiej niż firma z certyfikatem i bez dowodów.

Czym ta norma jest dla firmy, której produktem jest usługa

Opisem sposobu postępowania. Mówi: ustal, jakie informacje chronisz, oszacuj ryzyko, dobierz do niego środki, zbieraj dowody, poprawiaj to, co nie działa. Nie wskazuje żadnego narzędzia i nie porównuje Was z konkurencją.

Dlatego dwie spółki z tym samym dokumentem mogą mieć zupełnie inne zabezpieczenia i obie być w porządku, o ile potrafią uzasadnić swoje decyzje. Firma z prostszymi środkami i dobrym uzasadnieniem wypada w badaniu lepiej niż firma z drogim wyposażeniem kupionym bez związku z jakąkolwiek analizą.

Dwa rodzaje wymagań i granica między nimi

Pierwszy rodzaj to rozdziały od czwartego do dziesiątego, czyli sam system: kontekst organizacji, przywództwo, planowanie, wsparcie, działanie, ocena wyników i doskonalenie. Nie da się ich pominąć ani zawęzić, niezależnie od wielkości spółki.

Drugi to załącznik A, czyli katalog środków dobieranych do ryzyka. Decyzja o wyborze jest Wasza, a rezygnacja z któregokolwiek środka wymaga powodu zapisanego w deklaracji stosowania. To ona rozstrzyga wynik badania częściej niż jakikolwiek inny dokument, bo pokazuje sposób myślenia, a nie stan wyposażenia.

Co w spółce z warszawskiej centrali bywa już zrobione

Więcej, niż zakłada zarząd przy pierwszej rozmowie. Uprawnienia nadaje się przez zgłoszenia, więc istnieje historia. Umowy o poufności są podpisywane, bo wymagają tego klienci. Kopie działają, bo bez nich nie dałoby się pracować. Wejście do biura jest kontrolowane, bo tego wymaga zarządca budynku.

Brakuje zwykle trzech rzeczy: nazwania tego zasadą, wskazania osoby odpowiedzialnej oraz rytmu. Zapis powstający przypadkiem nie jest dowodem, dopóki nie wiadomo, kto i jak często ma go tworzyć. To dobra wiadomość, bo skraca projekt o kilka tygodni.

Czego norma wymaga poza informatyką

Trzech obszarów, które w spółce usługowej sprawiają najwięcej pracy i pojawiają się w rozmowie najpóźniej.

Pierwszy to ludzie: co dzieje się przy zatrudnieniu i odejściu, kto nadaje dostęp pierwszego dnia, kto go odbiera ostatniego i czy jest to gdziekolwiek odnotowane. Przy pracy projektowej dochodzą jeszcze osoby współpracujące krótkoterminowo.

Drugi to dostawcy i podwykonawcy. Norma pyta o wymagania stawiane w umowach i o to, czy ktoś sprawdza ich spełnienie. W firmie kupującej narzędzia w kilkunastu usługach chmurowych sam wykaz bywa pierwszym brakiem.

Trzeci to praca poza biurem, w tym u klienta. Miejsce wykonywania pracy jest częścią zakresu, więc trzeba opisać zasady dla sprzętu, dokumentów i sieci, z których korzysta się poza własnym adresem.

Od czego zacząć w praktyce

Od odpowiedzi na dwa pytania: kto tego od Was oczekuje i do kiedy. Jeżeli wskazujecie konkretną umowę i konkretny kwartał, zaczynamy od audytu zerowego i harmonogramu liczonego wstecz od tej daty.

Jeżeli chodzi o realne bezpieczeństwo bez zewnętrznego wymogu, tańszym pierwszym krokiem bywa audyt IT i uporządkowanie kopii, uprawnień oraz podziału sieci. Spółka, która najpierw nadrobi technikę, wchodzi we wdrożenie z krótszą listą braków, więc płaci za mniej pracy doradczej.

Odległość do zgodności pokazuje audyt zgodności, przez cały projekt prowadzi wdrożenie, komplet polityk powstaje przy dokumentacji, a zestawienie z obowiązkami z dyrektywy daje ISO 27001 a NIS 2. Pierwszą rozmowę umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026