Wdrożenie i certyfikacja ISO 27001

Jak prowadzimy wdrożenie

Zaczynamy od audytu zerowego, żeby wiedzieć, ile brakuje, i żebyście Wy wiedzieli, na co się piszecie. Dopiero po nim powstaje harmonogram i budżet.

Potem analiza ryzyka, prowadzona w formie warsztatów z osobami, które znają procesy. To jedyny etap, który wymaga realnego czasu Waszego zespołu, i zarazem ten, który decyduje o jakości całego systemu.

Dalej dokumentacja i zabezpieczenia, wdrażane równolegle w kolejności wynikającej z ryzyka. Zabezpieczenia techniczne wdrażamy sami: kopie, kontrolę dostępu, szyfrowanie, monitoring, segmentację. Na końcu audyt wewnętrzny, usunięcie niezgodności i przygotowanie do audytu jednostki.

Ile trwa wdrożenie i z czego składa się harmonogram

Etap	Typowy czas
Audyt zerowy i harmonogram	2 do 4 tygodni
Analiza ryzyka	3 do 6 tygodni
Dokumentacja i zabezpieczenia	4 do 6 tygodni
Działanie systemu i zbieranie dowodów	2 do 3 miesięcy
Audyt wewnętrzny i usunięcie uwag	2 do 3 tygodni
Audyt jednostki, dwa etapy	4 do 6 tygodni

Etapy częściowo się nakładają, dlatego sumarycznie wychodzi zwykle od czterech do ośmiu miesięcy, a nie suma wszystkich wierszy. Sam czas nie podnosi ceny: płacicie za pracę, a nie za kalendarz. Koszt rośnie wtedy, gdy rośnie zakres.

Dlaczego nie da się tego skrócić do miesiąca

Bo certyfikacja nie ocenia dokumentów, tylko działanie. Audytor pyta o zapisy z przeglądów, o rejestr incydentów, o ślady przeglądu uprawnień. Jeśli wszystkie mają tę samą datę sprzed tygodnia, wniosek jest oczywisty.

Firmy, które próbują zdążyć w sześć tygodni, zwykle wychodzą z audytu z listą niezgodności i drugą wizytą w kalendarzu. Najczęstszym hamulcem nie jest zresztą tempo pracy doradcy, tylko dostępność ludzi po Waszej stronie i zwlekanie z decyzją o zakresie systemu.

Co przyspiesza projekt

Jedna osoba po Waszej stronie z realnym czasem na to zadanie. Wczesna decyzja o zakresie systemu. Zgoda zarządu na kilka godzin warsztatów w pierwszym miesiącu. Uporządkowane IT, bo wtedy odpada nadrabianie techniki.

Z czego składa się koszt certyfikacji

Na koszt składają się cztery pozycje i tylko pierwsza jest naszą fakturą.

Pozycja	Kto wystawia	Rząd wielkości
Praca doradcza	my	od 24 900 zł netto
Audyt i certyfikat	jednostka certyfikująca	zależnie od wielkości firmy
Brakujące zabezpieczenia	dostawcy i my	wynik audytu zerowego
Czas zespołu	Wasza firma	kilkadziesiąt godzin

Piąta pozycja to utrzymanie: audyty nadzoru co roku przez trzy lata ważności certyfikatu, plus praca przy przeglądach i aktualizacji analizy ryzyka. Warto policzyć te trzy lata z góry, bo certyfikat, którego nie ma za co utrzymać, wygasa razem z pieniędzmi już wydanymi.

Skąd biorą się różnice w ofertach

Zakres pracy doradczej. Jedni piszą dokumentację i znikają, inni prowadzą analizę ryzyka, wdrażają zabezpieczenia i są przy audycie. To dwie różne usługi pod tą samą nazwą.

Gotowe pakiety dokumentów. Najtańsze oferty to zwykle wzorce z podmienioną nazwą firmy. Wyglądają dobrze do pierwszego pytania audytora o proces, którego w tej firmie nie ma.

Ukryta opłata jednostki. Część ofert nie mówi wprost, że audyt certyfikujący jest osobnym kosztem. To zwykle największa niespodzianka na końcu projektu.

Szerokość widełek bierze się z zakresu: liczby lokalizacji, procesów i osób oraz tego, ile zabezpieczeń już macie. Firma z uporządkowanym IT potrzebuje głównie dokumentacji i procesu, firma bez kopii i bez kontroli dostępu musi najpierw nadrobić technikę.

Jak obniżyć koszt bez psucia efektu

Zacząć od audytu zerowego, bo pokazuje, ile naprawdę brakuje, i często okazuje się, że mniej, niż zakładano. Wziąć część pracy do siebie, zwłaszcza zbieranie dowodów i szkolenia. Zawęzić zakres systemu do procesów, których faktycznie dotyczy wymaganie klienta, zamiast obejmować całą firmę.

Ostatni punkt potrafi zmienić budżet o połowę i jest w pełni zgodny z normą.

Jak wygląda audyt jednostki certyfikującej

My wdrażamy system i przygotowujemy firmę. Jednostka bada i wydaje certyfikat. Te role muszą być rozdzielone, bo inaczej papier nie ma wartości dla nikogo poza Wami. Spotykamy oferty, w których jedna firma robi wszystko. Warto wtedy zapytać, kto konkretnie wydaje certyfikat i czy ma akredytację.

Audyt ma dwa etapy. Pierwszy dotyczy dokumentacji i gotowości: audytor sprawdza, czy system w ogóle istnieje i czy da się go badać, a kończy się listą uwag i terminem drugiego etapu. Drugi to audyt na miejscu, czyli rozmowy z ludźmi, przegląd zapisów i sprawdzenie zabezpieczeń, zwykle od dwóch do czterech dni.

Drobne niezgodności usuwa się w wyznaczonym terminie i przedstawia dowody, bez ponownego audytu. Duże wymagają sprawdzenia, czasem kolejnej wizyty. Dlatego audyt wewnętrzny robimy wcześniej.

Czego audytor oczekuje najbardziej

Dowodów i spójności. Jeśli polityka mówi, że przegląd uprawnień odbywa się co kwartał, musi istnieć zapis z ostatnich kwartałów. Jeśli rejestr ryzyk ma jedną datę sprzed roku, system nie działa, niezależnie od tego, jak dobrze jest opisany.

Dlatego terminu audytu nie wyznacza się od gotowości dokumentów, tylko od tego, kiedy będą dowody.

Co robić, gdy klient czeka na certyfikat

Powiedzieć mu prawdę i pokazać harmonogram. W większości przypadków wystarcza oświadczenie o rozpoczętym wdrożeniu wraz z raportem z audytu zgodności, zwłaszcza gdy zawiera plan z terminami.

To rozwiązanie działa lepiej niż certyfikat zdobyty na skróty, który przy pierwszym audycie nadzoru okazuje się nie do utrzymania.

Co zostaje po zakończeniu

System, który da się utrzymać: dokumentacja, rejestr ryzyk, harmonogram przeglądów i osoba w firmie, która wie, co i kiedy trzeba zrobić. Certyfikat jest ważny trzy lata, ale audyty nadzoru odbywają się co roku, więc utrzymanie jest częścią decyzji, nie dodatkiem. Firma, która przestaje utrzymywać system po odebraniu papieru, traci go przy pierwszym nadzorze.

Zakres samych dokumentów opisaliśmy przy dokumentacji ISO 27001, a wymagania normy przy ISO 27001.

Kiedy odradzamy certyfikację

Gdy nikt jej od Was nie wymaga, a chodzi o realne bezpieczeństwo. Wtedy te same pieniądze wydane na kopie, kontrolę dostępu i monitoring dadzą więcej niż papier. Mówimy to wprost, mimo że certyfikacja jest dla nas większym zleceniem.

Treść sprawdzona i zaktualizowana: 7 września 2026