Wdrożenie ISO 27001 Gdańsk

Dlaczego o terminie decyduje tu tempo drugiej strony

W większości projektów harmonogram zależy od dwóch rzeczy: od dostępności ludzi i od kolejności prac technicznych. Obie da się planować, bo obie leżą wewnątrz firmy. W przedsiębiorstwie działającym w łańcuchu wokół portu dochodzi trzecia zmienna i to ona zwykle decyduje o tym, czy termin z kontraktu jest realny.

Znaczna część wymagań normy dotyczy relacji z podmiotami zewnętrznymi: podwykonawcami, agentami w portach docelowych, przewoźnikami, dostawcami systemów i kontrahentami, którzy nadali Waszym ludziom dostęp do swoich środowisk. Zamknięcie takiej pozycji wymaga odpowiedzi od kogoś, kto nie ma w kalendarzu Waszego projektu i nie ma powodu, żeby się spieszyć.

Wniosek jest prosty i wpływa na całą kolejność prac. Wszystko, co zależy od drugiej strony, uruchamiamy w pierwszym tygodniu, jeszcze zanim powstanie pierwszy dokument. Prace wykonalne własnymi siłami idą wtedy równolegle, zamiast czekać na odpowiedzi.

Czego i od kogo potrzebujecie, zanim ruszy badanie

Podmiot	Czego od niego potrzebujecie	Ile to zwykle trwa	Co robimy w razie ciszy
Podwykonawca stały	aneks z wymaganiami bezpieczeństwa	dwa do sześciu tygodni	wpis do rejestru ryzyk z terminem przeglądu
Agent w porcie docelowym	potwierdzenie zasad postępowania z dokumentami	zależy od strefy czasowej i sezonu	zawężenie zakresu przekazywanych danych
Przewoźnik	wykaz osób z dostępem do jego systemu	kilka dni, gdy jest kontakt techniczny	przegląd po naszej stronie i zgłoszenie różnic
Dostawca systemu spedycyjnego	opis zabezpieczeń i lista dalszych dostawców	dwa do ośmiu tygodni	oświadczenie o wystąpieniu i data ponowienia
Operator obiektu	zasady obowiązujące firmy wpuszczane na teren	zwykle szybko, mają je gotowe	przeniesienie ich do własnej procedury
Dostawca chmury	informacja o miejscu przetwarzania danych	dostępna od ręki w dokumentacji	odczytujemy sami z materiałów dostawcy
Firma serwisująca sprzęt	zakres dostępu i tryb wizyt	jedna rozmowa	zasada wpuszczania spisana jednostronnie
Klient, który nadał Wam konta	droga zgłaszania zmian kadrowych	tygodnie, bo wymaga decyzji u niego	własny wykaz kont i cykliczny przegląd

Kolumna czwarta jest tą, o którą warto zapytać przed podpisaniem umowy na wdrożenie. Projekt zatrzymujący się przy każdej niedostarczonej odpowiedzi kończy się w tym samym miejscu co brak projektu, a badający nie wymaga kompletu potwierdzeń, tylko dowodu, że firma wie, czego jej brakuje.

Co robimy, gdy druga strona milczy

Zapisujemy to jako pozycję w rejestrze ryzyk, z właścicielem, datą wystąpienia i terminem ponowienia. Taki wpis jest pełnoprawnym postępowaniem z ryzykiem, ponieważ pokazuje, że firma temat rozpoznała, podjęła działanie i zaplanowała kolejne. Pusta rubryka pokazuje coś przeciwnego.

Równolegle zawężamy to, co zależy wyłącznie od Was. Jeżeli nie da się uzyskać oświadczenia od dostawcy, ograniczamy zakres przekazywanych mu danych. Jeżeli kontrahent nie ustali drogi zgłaszania zmian kadrowych, prowadzimy własny wykaz kont i przeglądamy go cyklicznie. Efekt dla badającego jest ten sam, a osiąga się go bez czekania.

Które prace możecie wykonać sami i w jakiej kolejności

Trzy grupy, wykonalne bez udziału kogokolwiek z zewnątrz, i warto je zacząć pierwszego dnia.

Uporządkowanie własnych dostępów. Kto ma administratora, kto ma dostęp do skrzynki wspólnej, kto zachował uprawnienia po zmianie stanowiska. Praca na kilka dni, a zamyka kilkanaście pozycji naraz.

Sprzęt wyjeżdżający z biura. Szyfrowanie dysków, blokada ekranu, konsola pozwalająca unieruchomić urządzenie oraz ustalenie, co wolno na nim trzymać lokalnie. Ostatni punkt wymaga rozmowy z zespołem, więc trwa dłużej niż część techniczna.

Kopie i próba powrotu. Sam harmonogram zwykle działa, brakuje natomiast zapisu z odtworzenia. Jedna przeprowadzona próba z mierzonym czasem zamyka wymaganie, o które badający pyta w każdym projekcie.

Jak układamy harmonogram

Od tyłu, od daty wskazanej przez kontrahenta. Odliczamy najpierw dwa etapy badania jednostki, potem audyt wewnętrzny razem z zamknięciem uwag, a na końcu okres, przez który system musi pracować, żeby wytworzyć zapisy. To, co zostaje, jest miejscem na warsztaty i dokumentację.

Na tę oś nakładamy drugą, czyli terminy oczekiwania na odpowiedzi z zewnątrz. Jeżeli po obu rachunkach data okazuje się nierealna, mówimy o tym po audycie zerowym i przygotowujemy oświadczenie o rozpoczętych pracach razem z harmonogramem, co w większości postępowań wystarcza na czas ich trwania.

Co zostaje w firmie, gdy dokument już wisi na ścianie

System opisany przez role, a nie przez nazwiska, więc znoszący zmiany w zespole. Wykaz podmiotów zewnętrznych, który przy każdym kolejnym kontrakcie oszczędza tydzień ustaleń. Kalendarz przeglądów wpięty w rytm, który firma już ma, oraz osoba wiedząca, co i kiedy trzeba zrobić.

Certyfikat jest ważny przez trzy lata, ale audytor jednostki odwiedza Was co roku, więc koszt utrzymania systemu policzcie od razu razem z kosztem dojścia do niego. Same wymagania normy przybliża ISO 27001. Punkt wyjścia mierzy audyt zgodności. Zawartość polityk i wykazów opisuje dokumentacja. Rozmowę o granicach systemu umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026