Wdrożenie ISO 27001 Toruń

Dlaczego harmonogram układamy wokół kampanii?

Bo wdrożenie stoi na czasie ludzi, którzy znają procesy, a w zakładzie sezonowym ci sami ludzie w szczycie pracują na dwie zmiany. Projekt zaplanowany bez tej wiedzy wygląda dobrze w kalendarzu i rozjeżdża się w praktyce: warsztat przesuwany trzy razy, analiza ryzyka robiona przez dwie osoby zamiast przez sześć i rejestr, w którym brakuje właśnie tych zagrożeń, które widać wyłącznie z hali.

Dlatego kolejność wygląda inaczej niż w firmie biurowej. Etapy wymagające Waszej obecności upychamy poza szczytem, a na okres kampanii planujemy prace robione po naszej stronie: dokumentację, konfigurację zabezpieczeń, zbieranie dowodów z systemów. Sam okres zbierania dowodów potrzebuje kalendarza, nie wysiłku, więc dobrze jest, gdy przypada właśnie na czas największej pracy.

Etap	Czego wymaga od Was	Kiedy planujemy
Audyt zerowy	dostęp i kilka rozmów	dowolnie, także w sezonie
Analiza ryzyka	warsztaty z kierownikami	po zakończeniu kampanii
Dokumentacja	opiniowanie i akceptacja	okres spokojniejszy
Zabezpieczenia techniczne	okna serwisowe	postoje technologiczne
Zbieranie dowodów	nic ponad normalną pracę	także w szczycie
Audyt wewnętrzny	obecność kierowników	przed badaniem jednostki
Badanie jednostki	dostępność zarządu i produkcji	poza szczytem, termin z jednostką

Jak zabezpieczyć budynek, w którym nie wolno ruszyć ściany?

Hala jest tu paradoksalnie prostsza. Ma już strefy, śluzy, kontrolę wejść i procedury dostępu wynikające z wymagań żywnościowych, więc część wymagań normy jest spełniona zanim ktokolwiek o nich pomyślał. Wystarcza zwykle uzupełnienie zapisu: kto wchodzi do pomieszczenia z szafą serwerową i czy zostaje po tym ślad.

Trudniejsze bywa biuro w kamienicy na starówce, objętej ochroną konserwatorską. Nie da się tam poprowadzić nowej trasy przez ścianę ani przebudować pomieszczenia na serwerownię, a część korytarzy jest wspólna z innymi najemcami. Rozwiązania dobieramy więc nieinwazyjne: zamek elektroniczny montowany bez naruszania stolarki, szafa z czujnikiem otwarcia i rejestrem zdarzeń, listwy zamiast bruzd, wydzielenie sieci logiczne zamiast fizycznego. Audytor pyta o skuteczność i o dowód, a nie o metodę montażu, więc taki zestaw broni się bez problemu, o ile jest opisany i sprawdzany.

Co w zakładzie zajmuje najwięcej czasu?

Trzy rzeczy, wszystkie organizacyjne. Pierwsza to uporządkowanie dostępów u dostawców zewnętrznych: serwisu wag, dostawcy systemu magazynowego, firmy obsługującej chłodnię, integratora linii. Każdy z nich ma zwykle połączenie zdalne uruchomione przy montażu i nikt nie prowadzi ich wykazu. Zebranie tego, ocena i podpisanie warunków współpracy trwa dłużej niż konfiguracja czegokolwiek.

Druga to obieg informacji papierowej. Receptury, wydruki parametrów i wyniki badań krążą po zakładzie od lat w ustalony sposób i zmiana tego obiegu jest projektem samym w sobie. Trzecia to szkolenia załogi, w tym pracowników sezonowych, których trzeba objąć krótszą wersją prowadzoną przy przyjęciu.

Z czego naprawdę składa się kwota tego projektu?

Z trzech strumieni, które warto rozdzielić na starcie, bo tylko pierwszy jest naszą fakturą. Praca doradcza zaczyna się od kwoty podanej wyżej i zależy od liczby procesów, budynków i zabezpieczeń wynikających z ryzyka. Opłata jednostki certyfikującej jest osobna, płacicie ją bezpośrednio, a jej wysokość liczy się z liczby osób, lokalizacji i zakresu.

Trzeci strumień to wydatki własne firmy: sprzęt albo zmiany w konfiguracji, które wyjdą z analizy ryzyka, oraz czas Waszych ludzi. Ten ostatni bywa pomijany w zestawieniach, a w zakładzie sezonowym potrafi być pozycją najdroższą, jeśli warsztaty wypadną w niewłaściwym miesiącu. Dlatego rozkład kosztu pokazujemy przed podpisaniem umowy, razem z harmonogramem.

Punktem wyjścia jest zawsze audyt zgodności, a jeśli potrzebujecie wyłącznie kompletu procedur i resztę prowadzicie sami, wystarczy dokumentacja ISO 27001.

Co zostaje po odebraniu certyfikatu?

Dokument ważny trzy lata z badaniami nadzoru w międzyczasie, a przede wszystkim działający cykl: przegląd ryzyk, audyt wewnętrzny, przegląd zarządzania i reakcja na incydenty. Zostaje też osoba po Waszej stronie, która to prowadzi, i zestaw dowodów zbieranych automatycznie, bo dokumentacja żywa jest jedyną odróżniającą się od pakietu kupionego w internecie.

Jeśli obowiązki przyszły z przepisów, a nie z umowy handlowej, sprawdźcie też, co certyfikat pokrywa, a czego nie zdejmuje: ISO 27001 a NIS 2. Rozmowę o zakresie i terminach umawiamy przez kontakt albo w biurze przy Grudziądzkiej 136 w Toruniu.

Kiedy odradzamy certyfikację?

Gdy nikt jej nie wymaga, a firma szuka sposobu na uporządkowanie bezpieczeństwa. Wtedy taniej wychodzi wdrożenie systemu bez certyfikatu: dostajecie tę samą strukturę i te same zabezpieczenia, a oszczędzacie opłatę jednostki oraz roczny nadzór.

Odradzamy też start w firmie, która właśnie zmienia siedzibę, przejmuje inny zakład albo wymienia system magazynowy. Zakres systemu zarządzania musi opisywać stan, który się utrzyma, a nie ten sprzed reorganizacji. Lepiej poczekać kwartał niż przepisywać dokumentację w trakcie badania.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026