Wdrożenie i certyfikacja ISO 27001 Gorzów Wielkopolski

Wdrożenie to kalendarz, nie jednorazowa usługa

Audyt da się zrobić w trzy dni. Wdrożenie systemu zarządzania bezpieczeństwem informacji trwa u firmy do pięćdziesięciu osób zwykle od czterech do ośmiu miesięcy i przez ten czas ktoś od nas musi bywać u Was regularnie. To zmienia wszystko w rachunku, także w rachunku Waszego czasu.

Etap	Ile spotkań u Was	Co się na nich dzieje
Ustalenie zakresu systemu	1 do 2	rozmowa z zarządem, granice systemu, decyzja o certyfikacji
Analiza ryzyka	3 do 5	warsztaty z osobami znającymi procesy, aktywa, zagrożenia, plan
Dokumentacja	2 do 3	wywiady o procesach, przegląd projektów dokumentów
Zabezpieczenia techniczne	2 do 4	prace w serwerowni, kontrola dostępu, kopie, segmentacja
Szkolenia pracowników	1 do 2	godzina z zespołem, osobno z kierownictwem
Audyt wewnętrzny	2	badanie i omówienie listy rzeczy do domknięcia
Audyt jednostki	2 do 4 dni	jesteśmy obecni przez cały czas badania

Suma wychodzi kilkanaście spotkań. Dla firmy dojeżdżającej z Poznania czy Wrocławia każde z nich to pół dnia w drodze, więc naturalnym odruchem jest łączenie ich w dłuższe zjazdy raz na trzy tygodnie. Projekt zaczyna wtedy biec w rytmie tych zjazdów, a nie w rytmie firmy.

Co dla gorzowskiej firmy zmienia bliskość doradcy

Trzy rzeczy, wszystkie praktyczne.

Pierwsza to długość spotkania. Warsztat z ryzyka trwa dwie godziny i po przejechaniu dwustu kilometrów nikt nie kończy go po dwóch godzinach, tylko dokłada kolejne tematy, żeby wyjazd się opłacił. Ludzie wychodzą z pięciu godzin narady wyczerpani, a jakość rejestru ryzyk na tym cierpi.

Druga to reagowanie na drobiazgi. W trakcie wdrożenia pojawiają się pytania, które przez telefon zajmują kwadrans, a przy stole trzy minuty, bo wystarczy zobaczyć, o którym systemie mowa. Jedziemy kilkanaście minut, więc pytania nie czekają na kolejny termin.

Trzecia to obecność przy audycie jednostki. Badanie trwa od dwóch do czterech dni i trudno przewidzieć, kiedy audytor zapyta o rzecz, przy której jesteśmy potrzebni. Bycie na miejscu przez cały czas nie wymaga u nas rezerwowania tygodnia w kalendarzu i osobnego budżetu.

Z czego składa się koszt i czego w nim nie ma

Praca doradcza zaczyna się od 24 900 zł netto i jest to jedyna pozycja, którą fakturujemy my. Poza nią w projekcie występują trzy inne, o których warto wiedzieć od początku.

Opłata jednostki certyfikującej zależy od liczby pracowników i lokalizacji, bo od nich liczony jest czas audytu. Wycenę bierzecie bezpośrednio od jednostki, a my pomagamy porównać oferty i przygotować dane do wyceny. Nie pośredniczymy w tej płatności i nie mamy w niej udziału.

Brakujące zabezpieczenia to koszt wynikający z badania stanu wyjściowego. Firma z uporządkowanym IT potrzebuje głównie procesu, firma bez działających kopii musi najpierw nadrobić technikę. W drugim przypadku warto zacząć od audytu IT w Gorzowie, bo wychodzi taniej niż nadrabianie tego samego w środku projektu wdrożeniowego.

Trzecia pozycja to czas Waszych ludzi. Kilkadziesiąt godzin rozłożonych na pół roku, skupionych na początku projektu.

Czwartej pozycji nie ma i to jest różnica, o której piszemy tu wprost: nie doliczamy dojazdów ani noclegów, bo przy projekcie liczonym w kilkunastu wizytach byłaby to zauważalna kwota.

Czego nie da się przyspieszyć

Zbierania dowodów. Norma wymaga, żeby system działał, a nie żeby zadziałał raz, tydzień przed audytem. Audytor jednostki prosi o zapisy z przeglądów uprawnień, o rejestr incydentów i o protokoły, i sprawdza ich daty. Komplet dokumentów z jednego tygodnia mówi mu dokładnie to, co ma powiedzieć.

Dlatego harmonogram planujemy od końca: ustalamy, kiedy chcecie mieć certyfikat, odejmujemy czas audytu jednostki, czas na dowody i czas na wdrożenie. Jeśli z tego rachunku wychodzi termin nierealny, mówimy to na pierwszym spotkaniu, a nie w piątym miesiącu.

Co zostaje po odebraniu certyfikatu

System, który da się utrzymać własnymi siłami, i osoba w firmie, która wie, co i kiedy trzeba zrobić. Certyfikat jest ważny trzy lata, ale audyty nadzoru odbywają się co roku, więc utrzymanie jest częścią decyzji o certyfikacji, a nie dodatkiem do niej.

Firmom, które kończą projekt bez własnych zasobów na utrzymanie, zostawiamy harmonogram przeglądów i wracamy przed każdym nadzorem. Sam zakres dokumentów opisuje dokumentacja ISO 27001 w Gorzowie, a sprawdzenie, ile Wam brakuje na starcie, to audyt zgodności.

Kiedy odradzamy certyfikację

Gdy nikt jej od Was nie wymaga, a chodzi o realne podniesienie bezpieczeństwa. Te same pieniądze wydane na kopie odporne na skasowanie, kontrolę dostępu i monitoring dadzą Wam więcej niż papier w ramce. Odradzenie kosztuje nas większe zlecenie i mimo to odradzamy, bo za trzy lata nie chcemy wracać do firmy, która straciła certyfikat przy pierwszym audycie nadzoru.

Treść sprawdzona i zaktualizowana: 31 lipca 2026