Wdrożenie ISO 27001 Barlinek

Kiedy odradzamy ten projekt firmie z Barlinka

Zacznijmy od tego, bo to najuczciwsza część rozmowy. Pełne wdrożenie z drogą do certyfikatu jest projektem na kilka miesięcy i na kwotę, która w zakładzie zatrudniającym piętnaście osób odpowiada rocznemu budżetowi na całe IT. W takiej firmie rzadko się broni i mówimy to, mimo że jest to dla nas największe zlecenie w tej kategorii.

Odradzamy, gdy powodem jest chęć posiadania certyfikatu na stronie albo to, że ma go konkurencja. Odradzamy, gdy firma nie zamierza utrzymywać systemu przez kolejne trzy lata, bo audyty nadzoru odbywają się co roku i certyfikat bez utrzymania po prostu przepada. Odradzamy też wtedy, gdy podstawy nie są zrobione: nie ma testowanej kopii, uprawnień nikt nie przeglądał, a dostęp zdalny wystawiono kiedyś na szybko. Wtedy pierwszym krokiem jest technika, opisana przy audycie IT, a nie system zarządzania.

Kiedy ma sens mimo skali

Gdy wymaga go umowa albo przetarg i gdy wartość tego kontraktu wielokrotnie przekracza koszt projektu. Widujemy to w regionie w kilku sytuacjach: dostawca wchodzący do większego łańcucha produkcyjnego, firma usługowa startująca w postępowaniu publicznym, podmiot obsługujący dane powierzone przez klienta z zagranicy, spółka przygotowywana do sprzedaży udziałów.

Wspólna cecha jest zawsze ta sama: papieru żąda ktoś z zewnątrz i ma to policzalną wartość. Wtedy rozmawiamy nie o tym, czy warto, tylko o tym, jak zrobić to najtaniej i zdążyć na termin.

Trzy warianty, które kładziemy na stół

Wariant	Co dostajecie	Kiedy wybrać
Badanie zgodności	raport z brakami i planem	odbiorca pyta, ale nie żąda certyfikatu
Zgodność bez certyfikatu	dokumentacja, zabezpieczenia, przeglądy	chcecie porządku i odpowiedzi na ankiety
Pełne wdrożenie z certyfikacją	wszystko powyżej plus badanie jednostki	certyfikat jest warunkiem umowy albo przetargu

Środkowy wiersz jest w firmach tej wielkości wybierany najczęściej i najrzadziej proponowany przez rynek, bo jest mniejszym zleceniem. Daje ten sam poziom uporządkowania, bez opłaty jednostki i bez corocznych audytów nadzoru.

Jak rozkłada się czas

Etap	Typowy czas	Ile godzin po Waszej stronie
Audyt zerowy i harmonogram	2 do 4 tygodni	kilka godzin rozmów
Ocena ryzyka	3 do 6 tygodni	dwa albo trzy warsztaty
Dokumentacja i zabezpieczenia	4 do 6 tygodni	konsultacje i decyzje
Działanie systemu i zbieranie dowodów	2 do 3 miesięcy	prowadzenie rejestrów na bieżąco
Audyt wewnętrzny i zamknięcie uwag	2 do 3 tygodni	dostępność osób do rozmów
Badanie jednostki, dwa etapy	4 do 6 tygodni	obecność właściciela i kluczowych osób

Etapy częściowo się nakładają, więc suma wierszy jest dłuższa niż realny kalendarz. Sam upływ czasu nie podnosi ceny: płacicie za wykonaną pracę, a nie za miesiące. Koszt rośnie wtedy, gdy rośnie zakres.

Zawężenie zakresu, czyli decyzja o największym wpływie na budżet

Norma pozwala objąć systemem część działalności. Firma handlowa może objąć obsługę zamówień i dane kontrahentów, zostawiając poza zakresem magazyn i transport. Zakład produkcyjny może objąć procesy, których dotyczy wymaganie odbiorcy, a nie całą halę z parkiem maszynowym.

To jedna decyzja podejmowana na starcie i potrafi ona zmienić budżet o połowę, a czas badania jednostki o kilka dni. Warunkiem jest sensowne uzasadnienie granicy, bo audytor pyta, dlaczego akurat tak, i odpowiedź „bo taniej” nie przechodzi. Odpowiedź „bo wymaganie klienta dotyczy tych procesów” przechodzi bez problemu.

Za co płacicie nam, a za co komu innemu

Pozycja	Kto wystawia	Rząd wielkości
Praca doradcza	my	od 24 900 zł netto
Badanie i certyfikat	jednostka certyfikująca	liczone od osób i lokalizacji
Brakujące zabezpieczenia	dostawcy sprzętu i my	wynik audytu zerowego
Czas Waszych ludzi	Wasza firma	kilkadziesiąt godzin
Utrzymanie przez trzy lata	jednostka i my	audyty nadzoru co roku

Ostatni wiersz jest tym, który znika z większości ofert, a w małej firmie waży najwięcej przy decyzji. Certyfikat, którego nie ma za co utrzymać, wygasa razem z już wydanymi pieniędzmi, więc te trzy lata liczymy razem z Wami na starcie, zanim cokolwiek podpiszecie.

Co przyspiesza projekt w małej firmie

Jedna osoba z realnym czasem, wczesna decyzja o granicach systemu, zgoda właściciela na kilka godzin warsztatów w pierwszym miesiącu oraz uporządkowane IT, bo wtedy odpada nadrabianie techniki w trakcie. Pomaga też start poza sezonem: w pensjonacie i w handlu warsztaty w szczycie sprzedaży po prostu się nie odbywają, a projekt stoi.

Spowalnia jedna rzecz, prawie zawsze ta sama. Właściciel jest w tej firmie potrzebny do wszystkiego naraz, więc terminy warsztatów przesuwają się o tydzień, potem o kolejny. Dlatego harmonogram budujemy z zapasem i umawiamy daty z wyprzedzeniem, zamiast ustalać je na bieżąco.

Skąd biorą się dowody, gdy nikt nie prowadzi segregatora

Z rzeczy, które i tak się dzieją, tylko dotąd nie były zapisywane. Przekazanie konta nowemu pracownikowi, odebranie dostępu przy odejściu, comiesięczna próba odtworzenia kopii, rozmowa o phishingu na zebraniu, przegląd uprawnień przy zmianie stanowiska. Zamiast dokładać firmie nowych zadań, dopinamy krótką kartę do zadań, które już istnieją.

Zapisy prowadzone w ten sposób przeżywają projekt. Rejestry wymyślone osobno, w oderwaniu od codziennej pracy, kończą się z ostatnim dniem naszej obecności.

Co robić, gdy odbiorca czeka, a terminu nie da się dotrzymać

Powiedzieć mu prawdę i pokazać harmonogram. W większości przypadków wystarcza oświadczenie o rozpoczętym wdrożeniu razem z raportem z badania zgodności i planem z terminami. Dla kupującego jest to często mocniejszy sygnał niż certyfikat zdobyty na skróty, który przy pierwszym audycie nadzoru okazuje się nie do utrzymania.

Zakres samych dokumentów opisujemy przy dokumentacji, a wymagania normy przy ISO 27001.

Treść sprawdzona i zaktualizowana: 1 sierpnia 2026