Wdrożenie ISO 27001 w Szczecinie

Wdrożenie to kalendarz, a nie jedno zlecenie

Firma zamawiająca wdrożenie spodziewa się zwykle usługi z terminem odbioru. Tutaj termin odbioru wyznacza audytor jednostki certyfikującej, a warunkiem przystąpienia do jego badania jest to, żeby system przez kilka miesięcy faktycznie pracował. Nie da się tego kupić szybciej, bo dowodów nie wytwarza się wstecz.

Projekt rozpisujemy więc od końca. Ustalamy realny termin badania jednostki, odejmujemy czas potrzebny na zebranie zapisów, odejmujemy audyt wewnętrzny i dopiero wtedy wiadomo, kiedy zacząć. W firmie pracującej ciągle dochodzi do tego jeszcze jedno ograniczenie: warsztaty da się robić tylko wtedy, gdy kierownicy mają dwie godziny z rzędu, a takich okien w kalendarzu jest mniej, niż wygląda na papierze.

Cztery do ośmiu miesięcy to typowa rozpiętość. Dolna granica dotyczy firm, które przeszły już audyt zgodności i zamknęły część braków. Górna dotyczy takich, które zaczynają od zera i mają zakres obejmujący magazyn oraz plac.

Co dzieje się w każdym z siedmiu etapów

Etap	Co powstaje	Kto pracuje najwięcej
Audyt zerowy	lista braków i harmonogram	my
Analiza ryzyka	rejestr ryzyk i plan postępowania	wspólnie, na warsztatach
Dokumentacja	polityki, procedury, karty przy stanowisku	my, na podstawie wywiadów
Zabezpieczenia	zmiany w konfiguracji i w organizacji	my i Wasz administrator
Zbieranie dowodów	zapisy z kolejnych miesięcy	Wasz zespół, codziennie
Audyt wewnętrzny	lista niezgodności do zamknięcia	my
Badanie jednostki	raport i decyzja o certyfikacie	jednostka, my jesteśmy obok

Największy nakład po Waszej stronie leży w piątym wierszu i jest rozłożony na miesiące. To dlatego formularze skracamy do minimum, a część zapisów wiążemy z czynnościami, które i tak wykonujecie przy przekazaniu zmiany.

Za co płacicie nam, a za co komu innemu

Nasza kwota obejmuje pracę doradczą: badanie, warsztaty, dokumenty, przygotowanie zabezpieczeń organizacyjnych, audyt wewnętrzny i obecność przy badaniu jednostki. Nie obejmuje trzech rzeczy i mówimy o nich na pierwszym spotkaniu, żeby nie pojawiły się później jako niespodzianka.

Pierwsza to opłata jednostki certyfikującej, liczona od liczby osób i lokalizacji, płacona bezpośrednio jej. Druga to licencje i sprzęt, jeśli z oceny ryzyka wyjdzie potrzeba dołożenia narzędzi, na przykład repozytorium kopii z blokadą zapisu. Trzecia to czas Waszych ludzi, którego nie widać na żadnej fakturze, a bez którego projekt nie ruszy.

Rozbicie na te pozycje dostajecie przed podpisaniem umowy, razem z harmonogramem płatności rozłożonym na etapy. Jedna pozycja na fakturze brzmiąca „wdrożenie” jest wygodna wyłącznie dla wystawiającego.

Co przyspiesza projekt, a co go zatrzymuje

Przyspiesza jedna osoba po Waszej stronie z realnym mandatem i wpisanymi godzinami w kalendarzu. Nie musi być informatykiem, częściej sprawdza się kierownik operacyjny, bo zna procesy i ma autorytet, żeby wymóc wypełnianie zapisów na zmianach.

Przyspiesza też wcześniejszy porządek techniczny. Firma, która ma kopie odporne na skasowanie i drugi składnik przy logowaniu, wchodzi w projekt kilka tygodni dalej niż firma zaczynająca od zera. Te dwa elementy opisują ochrona przed ransomware oraz logowanie wieloskładnikowe.

Zatrzymuje projekt brak decyzji o zakresie. Dopóki nie wiadomo, czy magazyn i plac są w środku, nie da się prowadzić ani oceny ryzyka, ani dokumentacji. Drugą częstą przyczyną postoju jest sezon: dwa tygodnie ciszy w połowie projektu potrafią przesunąć badanie jednostki o kwartał, bo dowody muszą być ciągłe.

Kiedy odradzamy certyfikację

Gdy nikt jej od Was nie wymaga, a firma ma pilniejsze braki. Certyfikat nie naprawia środowiska, tylko potwierdza sposób zarządzania nim, więc wydawanie na niego pieniędzy przy niesprawdzonych kopiach jest odwróceniem kolejności. Wtedy proponujemy zacząć od audytu IT w Szczecinie.

Gdy jedynym powodem jest jedna ankieta jednego odbiorcy. Odpowiada na nią zwykle audyt zgodności, a różnica w koszcie jest kilkukrotna.

Gdy podlegacie przepisom i macie termin ustawowy. Wtedy najpierw zamykamy obowiązki, o czym mówi porównanie normy z NIS 2, a decyzję o certyfikacie odkładamy o kwartał. Rozmowę o zakresie zaczniemy przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026