ISO 27001.
Vybudujte systém řízení bezpečnosti informací, řiďte rizika a zvolte vhodný doklad pro zákazníky a smluvní partnery.
- ISO/IEC 27001:2022 + Amd 1:2024
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Doba čtení: 7 min
Stručná odpověď.
ISO 27001 je mezinárodní norma pro systémy řízení bezpečnosti informací, zkráceně ISMS. Popisuje, jak organizace na základě rizik organizují, provozují a zlepšují bezpečnost informací. ISO/IEC 27001:2022 je použitelná pro různé velikosti a odvětví. Nezávislý certifikační orgán může potvrdit shodu systému řízení ve vymezeném rozsahu; samotná ISO certifikáty nevydává.
ISO 27001 a ISMS.
ISO 27001 popisuje požadavky na řízení bezpečnosti informací. ISMS propojuje rozhodnutí vedení s nakládáním s informacemi, lidmi, procesy a technikou. Chrání důvěrnost, integritu a dostupnost: kdo smí informace vidět, jak zůstávají spolehlivé a kdy musí být použitelné? Veřejný popis ISO/IEC 27001:2022 staví do centra přístup založený na rizicích.
Zveřejněným základním vydáním je ISO/IEC 27001:2022, doplněné o Amd 1:2024. Změna doplňuje zohlednění klimatických témat v kontextu systému řízení. Podle společného komuniké ISO/IAF z února 2024 jde o posouzení jejich relevance pro příslušný systém řízení. Nevyplývá z toho shodný program opatření pro každou organizaci.
ISMS představuje průběžnou práci organizace, certifikace je možným externím dokladem této práce. Zavedený nástroj, vyplněný dotazník ani osvědčení o školení nenahrazují provoz systému řízení ani jeho nezávislé posouzení.
Pro koho je ISO 27001 vhodná.
ISO 27001 je podle veřejného popisu ISO vhodná pro organizace různých velikostí a odvětví. Rozhodující jsou informace a závislosti ve zvoleném rozsahu. Malý poskytovatel služeb proto může potřebovat jiné odpovědnosti a postupy než podnik s více lokalitami, aniž by se měnila základní úloha řízení bezpečnosti.
Požadavky zákazníků často určují potřebný rozsah certifikace. Vyjasněte, zda smluvní partner chce posoudit konkrétní službu, lokalitu nebo právnickou osobu. Vědomě vymezený rozsah musí zohlednit relevantní rozhraní. Externě zajišťovaná činnost nezmizí z bezpečnostního posouzení pouze tím, že ji provádí dodavatel.
Požadavky ISO 27001.
Požadavky ISO 27001 spojují řízení ISMS s provozem vhodných bezpečnostních opatření. Následujících šest pracovních oblastí vlastními slovy orientačně shrnuje kapitoly 4 až 10 ISO/IEC 27001:2022.
Stanovit kontext a rozsah.
Organizace vymezí, které činnosti a informace její ISMS zahrnuje. Patří sem relevantní požadavky zainteresovaných stran a závislosti na jiných oblastech. Pro zavedení je vhodný popis srozumitelný odborně odpovědným osobám i externím čtenářům: samotný název služby ještě nevysvětluje její podpůrné systémy a rozhraní.
Ukotvit vedení a odpovědnost.
Vedení dává bezpečnostní práci směr, pravomoci a zdroje. Odpovědné osoby musí mít možnost přijímat rozhodnutí odpovídající jejich úkolům. Centrální koordinátor může udržovat přehled; nepřebírá tím automaticky všechny úkoly personálního oddělení, nákupu, IT nebo vývoje.
Posuzovat a ošetřovat rizika.
Posuzování a ošetřování rizik určuje, které problémy se řeší jako první. Hodnoticí kritéria, odpovědné osoby a dohledatelná rozhodnutí propojují analýzu s konkrétní prací. Prohlášení o aplikovatelnosti, také Statement of Applicability neboli SoA, zaznamenává výběr opatření a jeho odůvodnění. Příloha A přitom slouží jako reference pro bezpečnostní opatření.
Organizovat zdroje a dokumentaci.
Kompetence, komunikace a udržované dokumentované informace podporují provoz. Prakticky stanovte, kdo předpis schvaluje, kdo jej používá a kde je dostupná platná verze. Rozsáhlá sbírka dokumentů příliš nepomůže, pokud se její obsah liší od skutečné práce nebo odpovědné osoby neznají své úkoly.
Provozovat opatření v každodenní praxi.
Bezpečnostní opatření musí ve zvoleném rozsahu skutečně fungovat. Organizační, personální, fyzická a technická opatření se vzájemně doplňují. Praktickou pomůckou může být, když odpovědné osoby u každého zvoleného opatření zaznamenají, který proces chrání a jaké záznamy dokládají provoz. Blog o příloze A se výběru a provozu opatření věnuje podrobněji.
Hodnotit a zlepšovat.
Interní audity, přezkoumání vedením a řešení odchylek udržují ISMS v pohybu. Organizace ověřuje, zda její způsob práce odpovídá požadavkům a podporuje zamýšlené výsledky. Pro každodenní praxi je užitečné již při nápravě stanovit, podle čeho bude později rozpoznatelný její účinek.
Cesta k certifikaci ISO 27001.
Dohodnout cíl a rozsah.
Jako praktický první krok vyjasněte, jaký doklad je pro kterou činnost potřebný, a popište rozsah včetně jeho relevantních závislostí.
Stanovit odpovědnost a kapacitu.
Určete vedení s rozhodovací pravomocí, koordinaci a vlastníky procesů a vyhraďte čas na zavedení i průběžnou údržbu.
Pracovat s riziky a opatřeními.
Použijte dohledatelný postup hodnocení, rozhodněte o ošetření rizik a zdokumentujte výběr opatření v prohlášení o aplikovatelnosti.
Propojit provoz a důkazy.
Zaveďte vybraná opatření a uchovávejte vhodné záznamy ze skutečného provozu namísto pouhého vyplňování šablon dokumentů.
Interně hodnotit a napravovat.
Využijte interní audit a přezkoumání vedením k vyřešení otevřených rozhodnutí, odchylek a potřeb zdrojů před externím posouzením.
Naplánovat externí posouzení a další provoz.
Dohodněte s vhodným certifikačním orgánem rozsah a program auditů a po rozhodnutí o certifikaci pokračujte v provozu ISMS s požadovanými přezkumy.
Co vypovídá certifikát ISO 27001.
Certifikát ISO 27001 potvrzuje posouzenou shodu systému řízení v uvedeném rozsahu. Posuzujte proto společně rozsah, vydání normy, vydávající orgán, datum platnosti a aktuální stav. Certifikát nezaručuje, že byly zahrnuty všechny části podniku nebo že v budoucnu nemůže nastat bezpečnostní incident.
Certifikaci provádějí externí certifikační orgány; samotná ISO certifikáty nevydává. ISO/IEC 27006-1:2024 doplňuje požadavky na tyto orgány pro certifikaci ISMS. Akreditace se týká jejich odborné způsobilosti a je třeba ji odlišovat od certifikátu posuzované organizace. Veřejná stránka ISO o certifikaci vysvětluje, jak ověřovat stav certifikace a akreditace.
Plánování nekončí prvním vydáním. Nechte si od svého certifikačního orgánu vysvětlit program auditů, podmínky udržování a postup obnovy. Pro rozhodnutí o rozpočtu se počítají tyto opakované služby spolu s interním provozem, nikoli pouze první nabídka.
Další čtení na blogu.
- Co je ISMS?Propojte bezpečnostní práci s rozhodnutími organizace.
- Příprava certifikace ISO 27001Podrobně naplánujte přípravu, náročnost a ověřování.
- ISO 27001, příloha AUkotvěte zvolená opatření v provozu.
- Interní audit ISO 27001Uspořádejte auditní kritéria, důkazy a nápravy.
- Kontrolní seznam ISO 27001Předběžně utřiďte pracovní oblasti a dostupné pomůcky pro začátek.
Zařazení dalších rámců.
ISO 27002 doplňuje ISO 27001 pokyny pro zavádění opatření bezpečnosti informací. IT-Grundschutz popisuje metodiku BSI pro bezpečnostní práci a vlastní postup certifikace. NIS2 zakládá pro dotčené subjekty samostatné zákonné povinnosti; certifikát ISO 27001 nenahrazuje jejich posouzení. TISAX využívá pro automobilový dodavatelský řetězec vlastní postup posuzování a sdílení výsledků.
V Secani.
Secani nabízí vlastní redakční kontrolní katalog k ISO/IEC 27001:2022 se změnou Amendment 1:2024. V pracovním prostoru lze společně zpracovávat opatření, důkazy a úkoly. Katalog obsahuje vlastní pokyny pro zavedení a nenahrazuje licencované znění normy; odborné posouzení a rozhodnutí o certifikaci zůstávají samostatnými úkoly.
Začněte konkrétním rozsahem.
Vyberte službu, pro kterou potřebujete průkazný doklad o bezpečnosti. Zaznamenejte, které informace, zapojené týmy a dodavatelé k ní patří a kdo smí rozhodovat o rizicích. Na tomto základě lze projednat rozsah zavedení a očekávání od certifikátu.
Poté požádejte o nabídku auditu vycházející ze stejného rozsahu. Oddělte přitom interní úsilí, potřebná zlepšení a náklady na externí ověření. Nabídky tak budou lépe porovnatelné, aniž by se předem sliboval termín certifikace nebo výsledek.
Časté dotazy.
Ne, neexistuje obecná povinnost certifikace ISO 27001 pro každý podnik. Požadavek na konkrétní doklad závisí na použitelných zákonných, smluvních nebo odvětvových požadavcích.
Bez znalosti rozsahu a výchozího stavu nelze uvést spolehlivou jednotnou cenu. Plánujte odděleně interní úsilí, potřebná zlepšení, náklady na externí audit a průběžné udržování.
Výběr se řídí riziky a relevantními požadavky. Prohlášení o aplikovatelnosti dokumentuje potřebná opatření, stav jejich zavedení a odůvodněná vyloučení referenčních opatření.
Ano. Zavedení ISMS a jeho certifikace externím orgánem jsou dvě odlišná rozhodnutí; ISO popisuje certifikaci jako volitelný doklad.
Ne. Certifikáty vydávají externí certifikační orgány; ISO vyvíjí a zveřejňuje normy.
Vyjasněte rozsah.
Proberte, jak můžete v Secani pracovat s požadavky, opatřeními a důkazy.
Tato stránka popisuje ISO 27001 vlastními slovy a nenahrazuje licencované znění normy ani odborné posouzení. Rozhodující jsou původní publikace a použitelný postup certifikace.