Wdrożenie ISO 27001 Rzeszów

Który termin ustawia harmonogram tego projektu?

Nie data podpisania umowy z nami i nie koniec roku, tylko najbliższy audyt u Was po stronie odbiorcy albo termin z aneksu, w którym pojawiło się wymaganie. Od niego liczymy wstecz, bo to jedyna data, której nikt nie przesunie przez telefon. Wszystko inne w tym projekcie jest elastyczne, łącznie z kolejnością etapów technicznych.

Liczenie wstecz zmienia praktyczną decyzję na starcie. Jeśli do audytu zostaje pół roku, celem nie jest certyfikat, tylko system, który da się pokazać jako działający, razem z raportem z audytu wewnętrznego i planem prac. Jeśli zostaje rok albo więcej, wchodzi pełna droga z badaniem jednostki. Firmy, które robią odwrotnie, czyli najpierw zamawiają certyfikację, a potem sprawdzają terminy, płacą za przyspieszanie etapów, których przyspieszyć się nie da, bo zapisy muszą powstać w czasie rzeczywistym.

Ile z tego macie już zrobione pod inną nazwą?

Zwykle więcej, niż zakłada zarząd, i mniej, niż twierdzi dostawca szablonów. Zakład utrzymujący system jakości ma gotową mechanikę: nadzór nad dokumentami, rejestr niezgodności, działania korygujące, audyty wewnętrzne, przeglądy zarządzania, szkolenia z zapisem obecności. Tego nie piszemy od nowa, tylko rozszerzamy o obszar bezpieczeństwa informacji, co bywa różnicą kilku tygodni w harmonogramie.

Czego nie ma nigdy, to warstwy merytorycznej. Ocena ryzyka informacyjnego jest czymś innym niż analiza ryzyka procesu. Wykaz aktywów informacyjnych nie wynika z ewidencji środków trwałych. Klasyfikacja informacji, zasady dostępu i obsługa incydentów bezpieczeństwa nie mają odpowiednika w systemie jakości, bo ten pilnuje zgodności wyrobu, a nie tego, kto widział rysunek.

Co zwykle już macie	Czego wymaga norma	Ile pracy zostaje
Nadzór nad dokumentacją	ta sama zasada, inny zbiór dokumentów	rozszerzenie zakresu, kilka dni
Audyty wewnętrzne	program audytów obejmujący bezpieczeństwo	przeszkolenie audytora, kilka dni
Działania korygujące	ten sam mechanizm dla incydentów	wpięcie nowej kategorii zdarzeń
Analiza ryzyka procesu	ocena ryzyka dla informacji	osobny warsztat, praca od zera
Ewidencja środków trwałych	wykaz aktywów informacyjnych	osobny spis z właścicielami
Kontrola dostępu do stref	także dostęp logiczny do danych	przegląd uprawnień w systemach
Wymagania wobec dostawców	zapisy o bezpieczeństwie w umowach	przegląd i aneksowanie umów

Jak przygotować się na zmianę wymagań w trakcie projektu?

Trzeba założyć, że nastąpi. W łańcuchu dostaw wymagania wobec dostawców zmieniają się razem z kwestionariuszami odbiorcy, a te potrafią przyjść w połowie projektu, z nowym pytaniem o rzecz, o którą nikt wcześniej nie pytał. Projekt zbudowany wokół jednej listy odpowiedzi rozsypuje się wtedy na kwartał.

Zabezpieczamy to na dwa sposoby. Po pierwsze, budujemy system wokół oceny ryzyka, a nie wokół cudzej ankiety, bo wtedy nowe pytanie zwykle trafia w obszar, który już jest opisany, i wymaga tylko wskazania dowodu. Po drugie, prowadzimy rejestr wymagań zewnętrznych z podaniem źródła, czyli od kogo pochodzi i którego kontraktu dotyczy. Kolejna ankieta wchodzi wtedy jako nowy wiersz, a nie jako wywrócenie planu. Skalę pierwszego dystansu mierzy audyt zgodności, a samą treść wymagań opisuje ISO 27001.

Co się zmienia w hali, gdy system rusza?

Mniej niż w biurze, ale to właśnie te zmiany decydują, czy system przeżyje. Pojawia się ewidencja nośników wnoszonych na stanowiska, bo pendrive z programem przestaje być prywatną sprawą operatora. Dokumentacja na hali dostaje oznaczenie i zasadę, co się z nią dzieje po zakończeniu zlecenia, zamiast leżeć na stanowisku do następnej serii. Pulpity dostają blokadę ekranu z sensownym czasem, uzgodnionym tak, żeby nie przeszkadzała przy obróbce.

Zmienia się też sposób zgłaszania rzeczy dziwnych. Operator, który zauważy, że program na maszynie różni się od tego z karty, albo że ktoś obcy chodzi po hali z telefonem, ma dokąd to zgłosić i zgłoszenie zostawia ślad. To jest jedyny sposób, żeby rejestr incydentów miał w ogóle jakiekolwiek wpisy, bo incydenty zgłoszone wyłącznie przez dział informatyki opisują wyłącznie to, co widać w logach.

Gdzie kończy się nasza odpowiedzialność?

Na przygotowaniu Was do badania i na obecności przy nim. Certyfikatu nie wydajemy i nie możemy wydać, bo robi to niezależna jednostka akredytowana, a firma doradzająca przy wdrożeniu nie może jednocześnie certyfikować. Nie gwarantujemy też wyniku badania, bo zależy on od zapisów powstałych w Waszej firmie i od pracy ludzi między naszymi wizytami.

Nie prowadzimy za Was systemu po zakończeniu projektu, choć możemy przejąć audyty wewnętrzne w kolejnych latach jako osobne zlecenie. Sam komplet dokumentów, jeśli potrzebujecie wyłącznie jego, opisuje dokumentacja ISO 27001, a rozmowę o zakresie projektu umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026