#iso/iec 27001

ISO/IEC 27001 to jedna z tych norm, o których każdy w branży słyszał, mało kto przeczytał, a jeszcze mniej osób potrafi w jednym zdaniu powiedzieć, co z niej dla firmy realnie wynika. W tym tekście rozkładam normę na czynniki pierwsze: czym jest, kogo dotyczy, jak wpina się w polskie regulacje, co siedzi w Załączniku A, ile kosztuje wdrożenie i kiedy ma sens.

📜 Czym właściwie jest ISO/IEC 27001

ISO/IEC 27001 to międzynarodowa norma określająca wymagania dla Systemu Zarządzania Bezpieczeństwem Informacji, w skrócie SZBI (po angielsku ISMS - Information Security Management System).

Brzmi sucho, ale logika jest prosta. Zamiast traktować bezpieczeństwo informacji jako zbiór luźnych narzędzi (firewall tu, antywirus tam, hasło zmieniane raz do roku), norma każe zbudować z tego spójny system zarządzany w sposób ciągły. Identyfikujesz aktywa informacyjne, oceniasz ryzyka, dobierasz zabezpieczenia, mierzysz ich skuteczność, poprawiasz, powtarzasz. ♻️

Norma została opracowana wspólnie przez ISO (International Organization for Standardization) i IEC (International Electrotechnical Commission), a jej pierwsza wersja ukazała się 14 października 2005 roku. Kolejne edycje to 2013 i obecnie obowiązująca ISO/IEC 27001:2022.

W Polsce norma funkcjonuje pod oznaczeniem PN-EN ISO/IEC 27001:2023, ale technicznie jest to ten sam dokument co wersja międzynarodowa z 2022 roku.

Co istotne i często pomijane: norma dotyczy każdej informacji, nie tylko cyfrowej. Obejmuje też dane papierowe, ustne i te przechowywane w przestrzeniach fizycznych. SZBI nie kończy się na firewallu - obejmuje też politykę czystego biurka, procedurę utylizacji dysków i NDA dla zleceniobiorców.

🔄 Co zmieniła wersja 2022 (i dlaczego ten temat już się sam domyka)

ISO/IEC 27001:2022 zastąpiła wersję z 2013 roku. Kluczowe zmiany dotyczą Załącznika A: liczba zabezpieczeń spadła ze 114 do 93, połączono 24 dotychczasowe, zaktualizowano 58, a dodano 11 zupełnie nowych. Dotychczasowe 14 grup zabezpieczeń zostało skonsolidowanych w cztery: organizacyjne, osobowe, fizyczne i technologiczne.

⏰ Termin przejścia organizacji posiadających certyfikaty z wersji 2013 minął 31 października 2025 roku - po tej dacie żaden certyfikat oparty na starszej wersji normy nie może być utrzymywany. Wszystkie audyty nadzoru i recertyfikacje muszą bazować na wersji 2022. Jeśli ktoś dziś zaczyna od zera, zaczyna oczywiście od 2022.

👥 Kogo norma dotyczy

Tu jest najwięcej nieporozumień. ISO 27001 nie jest powszechnie obowiązkowe w sensie prawnym dla każdej firmy. Ale dotyczy w trzech różnych rejestrach:

🏛️ Kto musi (de facto)

• Podmioty publiczne realizujące zadania publiczne - przez Krajowe Ramy Interoperacyjności (KRI). Rozporządzenie wprost mówi, że wymagania zarządzania bezpieczeństwem informacji uznaje się za spełnione, jeżeli SZBI został opracowany na podstawie Polskiej Normy PN-ISO/IEC 27001.
• Podmioty kluczowe i ważne wskazane przez NIS2 i znowelizowaną ustawę o KSC. Formalnie nie ma wymogu certyfikatu ISO 27001, ale zakres obowiązków pokrywa się z normą prawie 1:1.

📑 Kto powinien

• Firmy startujące w przetargach publicznych i dużych zamówieniach prywatnych, gdzie certyfikat bywa warunkiem wejścia.
• Dostawcy IT, SaaS, fintech, medtech - w tych branżach certyfikat staje się standardem rynkowym, klient enterprise bez niego nie podpisze umowy.
• Firmy przetwarzające dane osobowe na większą skalę. RODO nie wymaga ISO 27001 z nazwy, ale wdrożenie normy bardzo wyraźnie ułatwia wykazanie "odpowiednich środków technicznych i organizacyjnych" z art. 32 RODO.

🤔 Kto chce (czyli najciekawsza grupa)

• Firmy, które same z siebie chcą zaprowadzić porządek w bezpieczeństwie informacji, bez konieczności posiadania papieru. Norma działa nawet bez certyfikatu i to jest jej najbardziej niedoceniana funkcja.

🇵🇱 ISO 27001 a polskie regulacje

W praktyce norma żyje w trójkącie: KRI, NIS2/KSC, RODO. Warto zrozumieć, jak te elementy się ze sobą układają, bo to porządkuje całą rozmowę o tym, "co właściwie firma musi".

📋 KRI - Krajowe Ramy Interoperacyjności

Podstawą jest Rozporządzenie Rady Ministrów z 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, znowelizowane w 2020 i 2023 roku. Dotyczy wszystkich podmiotów realizujących zadania publiczne - urzędów, ministerstw, samorządów, szpitali, sądów, placówek edukacyjnych.

KRI nakłada obowiązek:

• Posiadania systemu zarządzania bezpieczeństwem informacji
• Przeprowadzania audytu bezpieczeństwa co najmniej raz w roku, zgodnie z §20 ust. 2 pkt 14 rozporządzenia
• Stosowania minimalnych wymagań dla systemów teleinformatycznych

Co istotne, rozporządzenie wskazuje wprost, że obowiązki w zakresie zarządzania bezpieczeństwem są spełnione, jeśli SZBI zbudowano na bazie PN-ISO/IEC 27001 (z normami towarzyszącymi 27002 i 27005). Czyli norma jest oficjalnie zaakceptowanym sposobem realizacji obowiązku ustawowego.

🛡️ NIS2 i ustawa o Krajowym Systemie Cyberbezpieczeństwa

Dyrektywa NIS2 z 14 grudnia 2022 r. wdrażana jest w Polsce przez nowelizację ustawy o KSC. Termin transpozycji przez państwa członkowskie upłynął 17 października 2024 r., a polskie przepisy dochodzą do pełnego stanu w 2026 roku.

NIS2 dzieli organizacje na:

• 🔴 Podmioty kluczowe - energetyka, transport, finanse, woda, zdrowie, infrastruktura cyfrowa
• 🟠 Podmioty ważne - m.in. dostawcy usług IT, producenci, przetwórstwo żywności, kurierzy

Obowiązki obejmują zarządzanie ryzykiem, plany ciągłości działania, raportowanie incydentów (24 godziny od wykrycia), kontrolę łańcucha dostaw, MFA, szyfrowanie. Kary mogą sięgać 10 mln EUR lub 2% rocznych obrotów dla podmiotów kluczowych, 7 mln EUR lub 1,4% dla ważnych. 💸

ISO 27001 nie jest formalnie wymagane przez NIS2, ale wdrożenie normy załatwia większość organizacyjnych wymogów dyrektywy. Audyt na bazie ISO 27001 to rozsądny sposób udokumentowania należytej staranności.

🔐 RODO

RODO i krajowa ustawa o ochronie danych osobowych z 10 maja 2018 r. nakładają obowiązek doboru "odpowiednich środków technicznych i organizacyjnych" do skali ryzyka. Norma ISO 27001 nie jest wymieniona z nazwy, ale Urząd Ochrony Danych Osobowych w decyzjach administracyjnych odwołuje się do norm ISO jako wskazówki konkretyzującej stan wiedzy technicznej.

W praktyce: wdrożone i utrzymywane SZBI to jeden z najmocniejszych argumentów obronnych w razie kontroli UODO lub naruszenia danych.

🏗️ Struktura normy: klauzule 4-10 i cykl PDCA

Norma ISO/IEC 27001:2022 składa się z dwóch zasadniczych części:

1. Część zasadnicza (klauzule 4-10) - wymagania, które trzeba bezwzględnie spełnić, żeby system był zgodny z normą
2. Załącznik A - wzorcowy katalog 93 zabezpieczeń

Klauzule 4-10 są ułożone według cyklu Deminga PDCA (Plan-Do-Check-Act):

📍 Klauzula 4. Kontekst organizacji Identyfikujesz wewnętrzne i zewnętrzne czynniki wpływające na SZBI, strony zainteresowane (klienci, regulatorzy, pracownicy) i określasz zakres systemu - co do niego wchodzi, a co zostaje na zewnątrz.

📍 Klauzula 5. Przywództwo Najwyższe kierownictwo musi formalnie wspierać SZBI, ustanowić politykę bezpieczeństwa informacji, przypisać role i odpowiedzialności. Jeśli zarząd traktuje to jak temat IT, system się nie utrzyma.

📍 Klauzula 6. Planowanie Tu wchodzi serce normy: identyfikacja ryzyk i szans, ocena ryzyka, plan postępowania z ryzykiem, ustalenie celów bezpieczeństwa informacji.

📍 Klauzula 7. Wsparcie Zasoby, kompetencje, świadomość pracowników, komunikacja, zarządzanie udokumentowanymi informacjami.

📍 Klauzula 8. Działania operacyjne Wdrażanie planów, ocena ryzyka w praktyce, postępowanie z ryzykiem.

📍 Klauzula 9. Ocena wyników Monitorowanie, pomiary, audyty wewnętrzne, przeglądy zarządzania.

📍 Klauzula 10. Doskonalenie Działania korygujące, ciągłe doskonalenie. Bez tego ISO 27001 zamienia się w martwą biurokrację.

🔁 PDCA w jednym zdaniu: planujesz (klauzule 4-6), realizujesz (7-8), sprawdzasz (9), poprawiasz (10) — i kręcisz to w pętli.

🛡️ Załącznik A: 93 zabezpieczenia w czterech grupach

Załącznik A to lista zabezpieczeń, z których wybierasz te adekwatne do zidentyfikowanych ryzyk. Nie musisz wdrożyć wszystkich 93 - musisz uzasadnić, które wdrażasz, a które pomijasz, w dokumencie nazywanym Statement of Applicability (SoA, Deklaracja Stosowania).

W wersji 2022 zabezpieczenia są podzielone na cztery grupy:

🏢 A.5 - Zabezpieczenia organizacyjne (37 kontroli)

Polityki, procedury, role, relacje z dostawcami, zarządzanie incydentami, ciągłość działania. Tutaj siedzi większość pracy "papierkowej", która jednak realnie definiuje, jak firma operuje.

Przykłady:

• A.5.1 Polityki bezpieczeństwa informacji
• A.5.7 Threat intelligence (NOWE w 2022)
• A.5.19-22 Bezpieczeństwo w relacjach z dostawcami
• A.5.23 Bezpieczeństwo informacji przy korzystaniu z usług w chmurze (NOWE)
• A.5.24-28 Zarządzanie incydentami bezpieczeństwa
• A.5.30 Gotowość ICT do zapewnienia ciągłości działania (NOWE)

👤 A.6 - Zabezpieczenia osobowe (8 kontroli)

Dotyczy ludzi: weryfikacja przed zatrudnieniem, warunki pracy, świadomość, dyscyplina, praca zdalna, zachowanie poufności po zakończeniu zatrudnienia.

Przykłady:

• A.6.3 Świadomość, edukacja i szkolenia z bezpieczeństwa informacji
• A.6.6 Umowy o zachowaniu poufności (NDA)
• A.6.7 Praca zdalna
• A.6.8 Zgłaszanie zdarzeń bezpieczeństwa informacji

To krótka grupa, ale właśnie ludzie są najczęstszym wektorem ataku. Phishing, social engineering, błędne nawyki - żaden firewall tego nie pokryje.

🏛️ A.7 - Zabezpieczenia fizyczne (14 kontroli)

Budynki, pomieszczenia, sprzęt, nośniki, kable. Często traktowane po macoszemu w firmach IT, które zakładają, że "wszystko jest w chmurze". A potem ktoś wynosi laptop z biura.

Przykłady:

• A.7.1 Granice obszaru bezpieczeństwa fizycznego
• A.7.4 Monitorowanie bezpieczeństwa fizycznego (NOWE)
• A.7.7 Czyste biurko i czysty ekran
• A.7.10 Nośniki przechowywania
• A.7.14 Bezpieczne wycofywanie lub ponowne użycie sprzętu

💻 A.8 - Zabezpieczenia technologiczne (34 kontrole)

Najbardziej znana grupa, czyli wszystko co kojarzy się z "cyberbezpieczeństwem" w potocznym sensie. Konfiguracja systemów, kontrola dostępu, kryptografia, sieci, oprogramowanie.

Przykłady:

• A.8.1 Urządzenia użytkownika końcowego
• A.8.2 Uprawnienia uprzywilejowane
• A.8.7 Ochrona przed złośliwym oprogramowaniem
• A.8.10 Usuwanie informacji (NOWE)
• A.8.11 Maskowanie danych (NOWE)
• A.8.12 Zapobieganie wyciekom danych — DLP (NOWE)
• A.8.16 Monitorowanie aktywności (NOWE)
• A.8.23 Filtrowanie WWW (NOWE)
• A.8.24 Kryptografia
• A.8.28 Bezpieczne kodowanie (NOWE)
• A.8.32 Zarządzanie zmianami

✨ Jedenaście nowych kontroli z 2022 - co tak naprawdę się zmienia

Spis w jednym miejscu, bo to one wyznaczają kierunek rozwoju normy:

1. 🎯 A.5.7 Threat intelligence - zbieranie i analiza informacji o zagrożeniach z wiarygodnych źródeł
2. ☁️ A.5.23 Bezpieczeństwo informacji w usługach chmurowych - kontrola nad korzystaniem z chmury
3. 🚨 A.5.30 Gotowość ICT do zapewnienia ciągłości działania - odporność systemów IT na zakłócenia
4. 📹 A.7.4 Monitorowanie bezpieczeństwa fizycznego - np. CCTV, systemy alarmowe
5. ⚙️ A.8.9 Zarządzanie konfiguracją - kontrola standardowych konfiguracji systemów
6. 🗑️ A.8.10 Usuwanie informacji - bezpieczne i trwałe usuwanie danych
7. 🎭 A.8.11 Maskowanie danych - anonimizacja, pseudonimizacja
8. 🛡️ A.8.12 Zapobieganie wyciekom danych (DLP)
9. 👁️ A.8.16 Monitorowanie aktywności - wykrywanie anomalii w sieci i systemach
10. 🌐 A.8.23 Filtrowanie stron internetowych
11. ✍️ A.8.28 Bezpieczne kodowanie - secure coding w cyklu wytwórczym oprogramowania

Patrząc na tę listę widać dokładnie, gdzie norma nadgania rzeczywistość: chmura, DLP, secure coding, monitoring. To nie są nowinki - to obszary, w których firmy od lat działały bez ramy. Teraz mają ją oficjalnie.

📋 Proces wdrożenia krok po kroku

Wdrożenie SZBI zgodnego z ISO 27001 to projekt na 4 do 12 miesięcy, w zależności od wielkości organizacji i poziomu dojrzałości procesów. Z grubsza dzieli się na osiem etapów:

1. Zaangażowanie kierownictwa i ustalenie zakresu Bez decyzji zarządu projekt umiera. Określacie, co jest w zakresie SZBI - cała firma, jedna lokalizacja, jeden produkt, jedna usługa.
2. Inwentaryzacja aktywów informacyjnych Co właściwie chronicie? Bazy danych, dokumenty, kod, know-how, dane osobowe. Bez tej listy reszta nie ma sensu.
3. Analiza ryzyka Dla każdego aktywa identyfikujecie zagrożenia i podatności, oceniacie prawdopodobieństwo i wpływ. To jądro normy - wszystko inne wynika z analizy ryzyka. Powiązana norma ISO/IEC 27005:2022, obowiązująca w Polsce jako PN-EN ISO/IEC 27005:2025-01, wprowadza scenariuszowe podejście do ryzyka, a nie tylko klasyczne pary "zasób-zagrożenie-podatność".
4. Plan postępowania z ryzykiem Dla każdego ryzyka decydujecie: redukujemy (wdrażamy zabezpieczenie), akceptujemy, transferujemy (np. ubezpieczenie), unikamy (rezygnujemy z aktywności).
5. Wybór zabezpieczeń i Statement of Applicability Z 93 kontroli z Załącznika A wybieracie te, które mają zastosowanie, i uzasadniacie te pominięte. SoA to dokument, na który audytor patrzy jako pierwszy.
6. Wdrożenie polityk, procedur i zabezpieczeń technicznych Tu robi się robota: piszecie polityki, konfigurujecie systemy, wdrażacie MFA, szyfrowanie, backupy, zarządzanie tożsamością, szkolenia.
7. Audyt wewnętrzny i przegląd zarządzania Sami sprawdzacie, czy wdrożenie działa. Wynik trafia do najwyższego kierownictwa, które podejmuje decyzję o gotowości do certyfikacji albo o dalszych poprawkach.
8. Audyt certyfikacyjny Akredytowana jednostka certyfikująca przeprowadza audyt w dwóch etapach: Etap 1 to przegląd dokumentacji, Etap 2 to weryfikacja, czy ISMS faktycznie działa w praktyce.

• Etap 1 - przegląd dokumentacji (zakres, polityki, ocena ryzyka, SoA, plan postępowania z ryzykiem). Audytor sprawdza, czy w ogóle jesteście gotowi do audytu właściwego.
• Etap 2 - audyt operacyjny. Audytor weryfikuje dowody: rozmowy z pracownikami, próbki logów i raportów, zapisy szkoleń, testy zabezpieczeń.

Po pozytywnym przejściu otrzymujecie certyfikat ważny przez 3 lata, pod warunkiem przeprowadzania raz w roku audytów okresowych. Po trzech latach - pełna recertyfikacja.

💰 Koszty w realnych scenariuszach

To zwykle pierwsze pytanie, na które trudno odpowiedzieć krótko, bo widełki są ogromne. Pokazuję trzy realne ścieżki, które widać dziś na polskim rynku.

Koszty dzielą się na trzy kategorie:

• 🛠️ Wdrożenie (jednorazowo) - konsulting, dokumentacja, szkolenia, narzędzia, czas pracy własnego zespołu
• 📜 Certyfikacja (cykl 3-letni) - audyt etap I i II oraz dwa audyty nadzoru
• 🔄 Utrzymanie (corocznie) - praca własnego zespołu nad SZBI, aktualizacje, audyty wewnętrzne, recertyfikacja co 3 lata

🥉 Scenariusz 1. Mała firma (do 30 osób), wdrożenie własnymi siłami

Mała firma usługowa lub IT z jasno określonym zakresem (np. sam dział produktowy lub jeden serwis SaaS).

• Wdrożenie własnymi siłami z minimalnym wsparciem konsultanta: od około 2 tysięcy do kilkunastu tysięcy złotych w zależności od branży, realnie 8 000 - 25 000 zł
• Audyt certyfikacyjny etap I + II: 8 000 - 14 000 zł netto
• Audyty nadzoru w roku 2 i 3: 3 500 - 5 000 zł netto rocznie
• Razem 3 lata (z certyfikacją): trzyletni cykl certyfikacji ISO/IEC 27001 to około 15 000 - 24 000 zł netto, plus wdrożenie — łącznie zwykle 23 000 - 50 000 zł
• Plus własna praca: jedna osoba na 0,2 - 0,3 etatu przez 4 - 6 miesięcy

🥈 Scenariusz 2. Średnia firma MŚP (50-200 osób), wdrożenie z konsultantem

Klasyczne MŚP z kilkoma procesami biznesowymi, własną infrastrukturą IT i kontrahentami wymagającymi certyfikatu.

• Wdrożenie z konsultantem (analiza ryzyka, dokumentacja, szkolenia, asysta): dla MŚP typowy przedział to 40 000 - 200 000 zł za pełne wdrożenie i audyt certyfikujący
• Audyt certyfikacyjny etap I + II: 15 000 - 30 000 zł netto
• Audyty nadzoru: 6 000 - 12 000 zł netto rocznie
• Razem 3 lata: 70 000 - 175 000 zł
• Czas wdrożenia: 6 - 9 miesięcy

🥇 Scenariusz 3. Duża organizacja (200-2000 osób) lub złożona infrastruktura

Wielooddziałowa firma, wiele procesów, integracje z systemami zewnętrznymi, regulowana branża (fintech, medtech, sektor publiczny).

• Pełne wdrożenie z konsultantami zewnętrznymi: w Polsce średni koszt certyfikacji dla średniej firmy to ok. 200-300 tys. zł, a w wariancie z zewnętrznymi ekspertami koszty mogą osiągnąć nawet 150-350 tys. zł
• Audyt certyfikacyjny etap I + II: dla większych organizacji (np. ok. 2 000 pracowników) koszt certyfikacji ISO/IEC 27001 w pierwszym roku może wynieść nawet 70 000 zł netto
• Audyty nadzoru: 15 000 - 25 000 zł netto rocznie
• Razem 3 lata: 210 000 - 470 000 zł
• Czas wdrożenia: 9 - 15 miesięcy

🧮 Co istotnie wpływa na koszt

• Liczba lokalizacji i pracowników (audytor liczy dni audytowe wg wytycznych IAF MD)
• Branża - sektor regulowany oznacza większy zakres zabezpieczeń i więcej dni audytu
• Punkt startowy - im więcej już macie wdrożone, tym taniej
• Wybór jednostki certyfikującej - różnice w ofertach różnych jednostek mogą sięgać nawet 30-40% przy tym samym zakresie certyfikacji
• Skorzystanie z konsultanta vs. wdrożenie własnymi siłami

Pułapka cenowa - tańsza jednostka certyfikująca z gorszą reputacją to ryzyko, że certyfikat nie zostanie uznany przez kontrahentów. Sprawdzajcie akredytację - w Polsce PCA, na świecie IAF.

⚖️ Kiedy ISO 27001 ma sens, a kiedy nie

✅ Wygrywa, gdy:

• 🏛️ Działacie w sektorze regulowanym lub w łańcuchu dostawcy podmiotu objętego NIS2.
• 📑 Wchodzicie w przetargi publiczne lub duże umowy B2B, gdzie certyfikat jest warunkiem wejścia.
• ☁️ Sprzedajecie SaaS lub przetwarzacie cudze dane na większą skalę. Klient enterprise tego oczekuje.
• 🧭 Macie chaos w bezpieczeństwie informacji i potrzebujecie zewnętrznej ramy, żeby zaprowadzić porządek.
• 💼 Chcecie zrobić firmę odporną na rotację kadrową. Udokumentowane procesy zostają, nawet kiedy ludzie odchodzą.

❌ Nie wygrywa, gdy:

• 🧍 Jesteście jednoosobową działalnością bez planów wzrostu i bez kontrahentów wymagających certyfikatu.
• 💸 Macie budżet, który pokryje audyt, ale nie pokryje wdrożenia. Efekt to papier bez treści, który spali się przy pierwszym poważnym incydencie.
• 🪧 Chcecie certyfikat "do reklamy", bez intencji utrzymywania systemu. Przy pierwszym audycie nadzoru wszystko wyjdzie.
• ⏳ Jesteście w trakcie głębokiej transformacji organizacyjnej (zmiana struktury, fuzja, migracja systemów). Lepiej poczekać, aż się ustabilizuje.

🚨 Typowe pułapki wdrożeniowe

Tym, co regularnie psuje wdrożenia ISO 27001:

• 📄 Dokumentacja oderwana od rzeczywistości Polityki kopiowane z szablonów, których nikt w firmie nie czyta i nie stosuje. Audytor wewnętrzny w trakcie próbkowania szybko wyłapuje, że "polityka kontroli dostępu" mówi co innego niż faktyczna konfiguracja Active Directory.
• 🎭 Certyfikacja "na pokaz" przed audytem Cała firma żyje normalnie, na trzy tygodnie przed audytem zaczyna się gorączka, generujemy dokumenty, robimy szkolenie zaliczkowe. Po audycie wszystko wraca do starego trybu. Pierwszy audyt nadzoru za rok wykrywa, że nic się nie dzieje.
• 🤐 Brak zaangażowania zarządu Klauzula 5 jest najczęściej naruszana z całej normy. Jeśli zarząd nie chodzi na przeglądy zarządzania i nie podejmuje decyzji w oparciu o dane z SZBI, system nie ma siły sprawczej.
• 🏚️ Pomijanie zabezpieczeń fizycznych Firmy "cloudowe" często ignorują grupę A.7. Tymczasem audytor pyta: gdzie laptopy z danymi są przechowywane po godzinach? Kto ma dostęp do biura w weekend? Jak utylizowane są stare nośniki?
• 🧪 Backupy bez testów odtwarzania Klasyk. Backupy są, harmonogram jest, ale nikt nigdy nie próbował z nich odtworzyć systemu. Norma wymaga regularnych testów odtwarzania, nie samego faktu istnienia kopii.
• 📊 Analiza ryzyka jako jednorazowy dokument Wykonana raz przed audytem, schowana do segregatora, otwierana ponownie 3 lata później przy recertyfikacji. Wersja 2022 wymaga ciągłego monitorowania ryzyka i aktualizacji przy istotnych zmianach (nowy system, nowy dostawca, nowy proces).
• 🔑 Zapomniany SoA Statement of Applicability bywa traktowany jako formalność. To pierwsza rzecz, na którą patrzy audytor, i pierwsza, na której wykładają się firmy. Każde "nie dotyczy" musi być uzasadnione, każde "wdrożone" musi być pokryte dowodami.

🏁 Podsumowanie

ISO/IEC 27001:2022 to nie magiczny papier. To framework, który zmusza organizację do uporządkowania bezpieczeństwa informacji według jednej, sprawdzonej logiki: kontekst → ryzyko → zabezpieczenia → mierzenie → poprawa.

W polskich realiach norma wpina się w trzy regulacje:

• 🏛️ KRI - gdzie norma jest oficjalnie zaakceptowanym sposobem realizacji obowiązku ustawowego dla podmiotów publicznych
• 🛡️ NIS2 / UKSC - gdzie norma nie jest wymagana z nazwy, ale praktycznie pokrywa wymogi dla podmiotów kluczowych i ważnych
• 🔐 RODO - gdzie wdrożone SZBI to mocny argument w wykazaniu należytej staranności

Wdrożenie kosztuje. W realnych scenariuszach od około 25 tys. zł dla małej firmy do nawet kilkuset tysięcy złotych dla większych organizacji w cyklu 3-letnim. Ale podstawowa wartość normy działa nawet bez certyfikatu - sama logika SZBI (analiza ryzyka, polityki, audyty wewnętrzne, doskonalenie) porządkuje firmę w sposób, na który większość organizacji nie zdobyłaby się sama.

Najlepiej traktować ISO 27001 nie jako cel sam w sobie, tylko jako zewnętrzną ramę, w której łatwiej myśleć o bezpieczeństwie informacji. Certyfikat jest miłym efektem ubocznym - ale nie tym, co zapobiega włamaniu w piątek o 2:00 w nocy. 🌙