ISO/IEC 27001:2022 to obecnie obowiązująca wersja normy systemu zarządzania bezpieczeństwem informacji (SZBI). Organizacje posiadające certyfikat na wersji 2013 miały czas do 31 października 2025 roku na przejście do nowej wersji. Norma stanowi dziś standardową odpowiedź rynkową na pytania klientów korporacyjnych dotyczące ochrony powierzanych danych.
Struktura — sekcje 4–10 + 93 kontrole z Załącznika A
ISO 27001 ma dwie warstwy. Sekcje 4–10 opisują wymagania systemu zarządzania (kontekst, przywództwo, planowanie, wsparcie, działania, ocena, doskonalenie) — identycznie jak w ISO 9001/14001/45001.
Załącznik A to katalog 93 kontroli bezpieczeństwa pogrupowanych w cztery kategorie:
| Kategoria | Liczba kontroli | Przykłady |
|---|---|---|
| Organizacyjne | 37 | Polityki SZBI, role i odpowiedzialności, klasyfikacja informacji, zarządzanie dostępem, analiza zagrożeń (ENISA) |
| Ludzie | 8 | Weryfikacja kandydatów, szkolenia z bezpieczeństwa informacji, umowy o poufności, postępowanie dyscyplinarne |
| Fizyczne | 14 | Strefy bezpieczne, kontrola dostępu fizycznego, ochrona sprzętu i nośników |
| Technologiczne | 34 | Kryptografia, kopie zapasowe, logowanie, bezpieczne tworzenie oprogramowania, ochrona przed złośliwym oprogramowaniem, MFA, EDR |
Organizacja sama decyduje, które kontrole stosuje (na podstawie analizy ryzyk) — to dokumentuje w Deklaracji Stosowania (SoA).
ISO 27001 vs SOC 2 vs ISO 27017/27018 — które dla mojej firmy
| Norma / standard | Zakres | Wydawca | Akredytacja PL | Typowy klient |
|---|---|---|---|---|
| ISO/IEC 27001:2022 | Pełen SZBI (organizacyjny + techniczny) | ISO | PCA | Klienci EU, B2B korporacyjny |
| SOC 2 Type II | Trust Services Criteria (security/availability/processing/privacy/confidentiality) | AICPA | Audytor CPA (USA) | Klienci USA, fundusze VC |
| ISO/IEC 27017 | Bezpieczeństwo usług chmurowych (rozszerzenie 27001) | ISO | PCA + zakres chmurowy | Dostawcy usług chmurowych, SaaS |
| ISO/IEC 27018 | Ochrona PII w chmurze publicznej | ISO | PCA + zakres chmurowy | Procesory danych w chmurze |
| ISO/IEC 27701 | PIMS (system zarządzania informacjami o prywatności) — pomost do RODO | ISO | PCA + zakres prywatności | Administratorzy/procesory danych pod RODO |
Cykl wdrożenia: 6–12 miesięcy
Etap 1 — analiza ryzyk i polityki (2–3 mies.): inwentaryzacja aktywów informacyjnych, identyfikacja zagrożeń i podatności, ocena ryzyk, wybór kontroli z Załącznika A, opracowanie polityk SZBI.
Etap 2 — wdrożenie kontroli (3–6 mies.): konfiguracja IT (firewall, MFA, EDR, SIEM, backup), szkolenia z bezpieczeństwa informacji, procedury reagowania na incydent, klasyfikacja danych, kontrola dostępu fizycznego.
Etap 3 — audyt wewnętrzny + przegląd zarządzania (1 mies.): obowiązkowe przed audytem certyfikacyjnym.
Etap 4 — certyfikacja (1–2 mies.): audyt etapu 1 (dokumentacja), etap 2 (na miejscu), wystawienie certyfikatu.
Koszt certyfikacji ISO 27001
Pełen koszt składa się z dwóch komponentów — analogicznie jak przy ISO 9001:
- Koszt wdrożenia — analiza ryzyk, polityki SZBI, wdrożenie kontroli technicznych (MFA, EDR, backup, logowanie), szkolenia. Realizowane samodzielnie lub z konsultantem; w organizacjach z dojrzałą infrastrukturą IT znacząco niższy.
- Koszt certyfikacji — opłata jednostki certyfikującej: audyt etapu 1 i 2, decyzja certyfikacyjna, audyty nadzoru po roku 1 i 2, recertyfikacja w roku 3. Czas audytu SZBI jest regulowany normą ISO/IEC 27006 (załącznik B) — zależy od liczby pracowników, liczby lokalizacji i złożoności środowiska IT, dlatego wszystkie akredytowane jednostki kalkulują go według tych samych zasad. Zakres i przebieg audytu przedstawia strona certyfikacji ISO 27001 w LL-C Polska.
Na cenę wpływa również zakres certyfikacji (cała organizacja czy wybrane usługi) oraz łączenie norm: audyt zintegrowany ISO 9001 + 27001 obniża łączny koszt o 20–30% względem dwóch osobnych postępowań. Wycena jest sporządzana indywidualnie po analizie zgłoszenia — formularz wyceny, pisemna oferta w 2 godziny w godzinach pracy.
ISO 27001 jako baza dla NIS2 i RODO
Dyrektywa NIS2 (UE 2022/2555) wymaga od podmiotów kluczowych i ważnych wdrożenia środków zarządzania ryzykiem cyberbezpieczeństwa (art. 21). RODO (art. 32) wymaga „odpowiednich środków technicznych i organizacyjnych” ochrony danych osobowych. ISO 27001 jest najczęstszą udokumentowaną odpowiedzią na obie regulacje — nie jest formalnie wymagany, ale jest najlepiej uznawanym standardem spełniającym te wymagania.
Rozszerzenia: 27017, 27018, 27701
Organizacje świadczące usługi chmurowe często rozszerzają certyfikację o ISO 27017 (bezpieczeństwo usług chmurowych) oraz ISO 27018 (ochrona danych osobowych w chmurze publicznej). Organizacje przetwarzające duże ilości danych osobowych dodają ISO 27701 (PIMS — system zarządzania informacjami o prywatności) jako pomost do wymagań RODO.
Szczegóły procesu: certyfikacja ISO 27001.
Powiązane artykuły:
- ISO 27001 dla małej firmy IT i startupu SaaS
- ISO/IEC 27017 — kontrole bezpieczeństwa dla usług chmurowych
- ISO/IEC 21964 — niszczenie nośników danych
- ISO 42001 i EU AI Act 2026-2027 — wymagania zgodności
- Nowa-stara norma ISO 27001:2022
- Transfer certyfikatu ISO między jednostkami — IAF MD 2
Najczęstsze pytania
Czym jest ISO 27001? +
Czy ISO 27001 jest wymagany przez NIS2 i RODO? +
Jakie są główne zmiany w ISO 27001:2022? +
Ile trwa wdrożenie ISO 27001? +
Czy można certyfikować ISO 27001 łącznie z ISO 9001? +
Ile kosztuje certyfikacja ISO 27001? +
Autor artykułu
Zespół Multicert
Redakcja Multicert · Akredytacja PCA AC 210
Artykuły przygotowuje zespół audytorów i specjalistów Multicert z wieloletnim doświadczeniem w certyfikacji systemów ISO, wyrobów CE oraz regulacjach UE.