standard
ISO 27001
Dobrowolna norma do prowadzenia bezpieczeństwa jako systemu zarządzania. Żaden przepis jej nie wymaga, ale klienci często proszą o certyfikat. Przeczytaj, jeśli ktoś o niego zapytał: dowiesz się, czy go potrzebujesz i co on dowodzi.
- czym jest
- Norma międzynarodowa ISO/IEC 27001:2022, z jedną poprawką wykazaną przez ISO.
- kogo dotyczy
- Tego, kto ją wybierze, albo tego, czyja umowa z klientem jej wymaga.
- kto sprawdza
- Jednostka certyfikująca, względem zakresu, który sam określasz.
- kary
- Brak z mocy prawa. Możesz stracić certyfikat lub kontrakt.
- waga prawna
- NIS2 każe brać normy pod uwagę. To nie czyni certyfikatu dowodem zgodności.
podstawa NIS2 art. 21(1)
kto o nią pyta i co dowodzi
Klienci pytają o certyfikat ISO 27001 w ankietach bezpieczeństwa. Dowodzi on, że jednostka certyfikująca sprawdziła Twój system zarządzania bezpieczeństwem, w zakresie, który wybrałeś, względem normy. Nie dowodzi zgodności z przepisem.
Prawo mówi, co ma być prawdą. Norma mówi, jak utrzymać to w przyszłym roku. Dla firmy, która robi to pierwszy raz, ten cykl jest główną wartością.
co dodaje norma: cykl
- 1zakresco wchodzi, co nie
- 2ocena ryzykai sposób postępowania z każdym ryzykiem
- 3zabezpieczeniawybrane z załącznika A, wyłączenia uzasadnione
- 4audyt wewnętrznyczy to działa?
- 5przegląd zarządzaniaco się zmienia
co roku, a jednostka certyfikująca sprawdza cykl
podstawa ISO/IEC 27001:2022, struktura w powszechnie publikowanym kształcie. Nie czytano ponownie w źródle.
podstawa ISO/IEC 27001:2022, struktura w postaci powszechnie publikowanej, nie odczytana ponownie w źródle
czy jest potrzebny
Prawdopodobnie nie dla prawa. Żaden przepis UE opisany na tej stronie nie wymaga certyfikatu. NIS2 wspomina o normach jako o czymś, co należy brać pod uwagę, a rozporządzenie wykonawcze każe ocenić skuteczność środków, nie wskazując certyfikatu. Zapytaj prawnika i swój organ nadzoru, jak traktuje to prawo krajowe.
Możliwie dla sprzedaży. Klienci pytają o to w ankietach. Zanim zobowiążesz się na rok, ustal, którzy klienci zaakceptowaliby coś mniej.
podstawa NIS2 art. 21(1); IR 2024/2690 załącznik 7
co daje już praca opisana na tej stronie
wykonaj pracę raz i kup dowód, o który proszą
- 1wykonaj pracę nad zabezpieczeniamidziewięć wierszy mapy
- 2zachowaj dowodydatowane, z właścicielem, w aktach
te same akta zasilają
- ISO 27001certyfikat dla zakresu
- SOC 2raport audytora za okres
- Twoją własną odpowiedźdla organu lub klienta
podstawa praktyka
Firma, która wykonała pracę opisaną na tej stronie, ma za sobą dużą część prac z załącznika A i wytworzyła większość tego, o co zapyta audytor. Zakres, audyt wewnętrzny i przegląd zarządzania to to, co dodajesz.
podstawa praktyka
czego certyfikat nie obejmuje
Certyfikat obejmuje tylko zakres, który wybrałeś, więc certyfikat na produkt nic nie mówi o Twoim systemie kadrowym. Gdy organ pyta o coś spoza zakresu, certyfikat nie odpowiada na to pytanie. Norma jest płatna i na potrzeby tej strony nie została ponownie przeczytana w całości, więc numery klauzul i zabezpieczeń sprawdź w swojej licencjonowanej kopii.
W Polsce komunikat Polskiego Centrum Akredytacji (PCA) potwierdza, że PCA ocenia jednostki certyfikujące systemy zarządzania bezpieczeństwem informacji względem ISO/IEC 27001:2022. Komunikat nie podaje daty publikacji, a listy akredytowanych jednostek i zakresów akredytacji nie otwarto. Zanim wybierzesz jednostkę, sprawdź jej akredytację w PCA.
podstawa praktyka
sprawdź sam
twój następny krok
Zanim cokolwiek zakreślisz, zapytaj trzech największych klientów, czy wymagają certyfikatu, czy zaakceptują Twoje dowody. Ich odpowiedzi rozstrzygną o najbliższym roku.