ISO 27001.
Uspostavite sustav upravljanja informacijskom sigurnošću, upravljajte rizicima i odaberite odgovarajući dokaz za klijente i ugovorne partnere.
- ISO/IEC 27001:2022 + Amd 1:2024
- Autor: Jonathan Bezdek
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 7 min.
Kratak odgovor.
ISO 27001 međunarodna je norma za sustave upravljanja informacijskom sigurnošću, odnosno ISMS. Opisuje kako organizacije organiziraju, provode i poboljšavaju informacijsku sigurnost na temelju rizika. ISO/IEC 27001:2022 primjenjiv je na različite veličine i sektore. Neovisno certifikacijsko tijelo može potvrditi sukladnost sustava upravljanja u utvrđenom području primjene; sam ISO ne izdaje certifikate.
ISO 27001 i ISMS.
ISO 27001 opisuje zahtjeve za upravljanje informacijskom sigurnošću. ISMS povezuje odluke uprave s postupanjem s informacijama, ljudima, procesima i tehnologijom. Štite se povjerljivost, cjelovitost i dostupnost: tko smije vidjeti informacije, kako one ostaju pouzdane i kada moraju biti uporabive? Javni opis norme ISO/IEC 27001:2022 pritom u središte stavlja pristup temeljen na rizicima.
Objavljeno osnovno izdanje jest ISO/IEC 27001:2022, uz dopunu Amd 1:2024. Dopuna dodaje razmatranje klimatskih tema u kontekstu sustava upravljanja. Prema zajedničkom priopćenju ISO-a i IAF-a iz veljače 2024. potrebno je provjeriti njihovu relevantnost za pojedini sustav upravljanja. Iz toga ne proizlazi jednak program mjera za svaku organizaciju.
ISMS predstavlja trajan rad organizacije, a certifikacija jedan od mogućih vanjskih dokaza o njemu. Uvedeni alat, ispunjen upitnik ili potvrda o osposobljavanju ne zamjenjuju ni rad sustava upravljanja ni njegovu neovisnu ocjenu.
Kome je ISO 27001 namijenjen.
Prema javnom opisu ISO-a, ISO 27001 primjeren je organizacijama različitih veličina i sektora. Presudne su informacije i ovisnosti u odabranom području primjene. Malom pružatelju usluga zato mogu trebati drukčije odgovornosti i postupci nego poduzeću s više lokacija, pri čemu temeljna zadaća upravljanja sigurnošću ostaje ista.
Zahtjevi klijenata često određuju potreban opseg certifikacije. Razjasnite želi li ugovorni partner ocjenu određene usluge, lokacije ili pravne osobe. Svjesno određen opseg mora uzeti u obzir relevantna sučelja. Izdvojena djelatnost ne nestaje iz sigurnosnog razmatranja samo zato što je obavlja dobavljač.
Zahtjevi norme ISO 27001.
Zahtjevi ISO 27001 povezuju upravljanje ISMS-om s primjenom odgovarajućih sigurnosnih mjera. Sljedećih šest radnih područja vlastitim riječima sažima poglavlja 4 do 10 norme ISO/IEC 27001:2022 radi orijentacije.
Odredite kontekst i područje primjene.
Organizacija određuje koje djelatnosti i informacije obuhvaća njezin ISMS. To uključuje relevantne zahtjeve zainteresiranih strana i ovisnosti o drugim područjima. Za provedbu se preporučuje opis razumljiv stručnim odgovornim osobama i vanjskim čitateljima: sam naziv usluge još ne objašnjava njezine potporne sustave i sučelja.
Učvrstite vodstvo i odgovornost.
Uprava sigurnosnom radu daje smjer, ovlasti i resurse. Odgovorne osobe moraju moći donositi odluke koje odgovaraju njihovim zadacima. Središnja koordinacijska osoba može održavati pregled, ali time ne preuzima automatski sve zadatke ljudskih resursa, nabave, IT-a ili razvoja.
Procjenjujte i obrađujte rizike.
Procjena i obrada rizika određuju koji se problemi rješavaju prvi. Kriteriji procjene, nadležne osobe i sljedive odluke povezuju analizu s konkretnim radom. Izjava o primjenjivosti, odnosno Statement of Applicability ili SoA, bilježi odabir mjera i njegovo obrazloženje. Prilog A pritom služi kao referenca za sigurnosne mjere.
Organizirajte resurse i dokumentaciju.
Kompetencije, komunikacija i održavane dokumentirane informacije podupiru rad. Praktično odredite tko odobrava pravilo, tko ga primjenjuje i gdje se nalazi važeća verzija. Opsežna zbirka dokumenata malo pomaže ako njezine tvrdnje odstupaju od stvarnog rada ili odgovorne osobe ne poznaju svoje zadatke.
Primjenjujte mjere u svakodnevnom radu.
Sigurnosne mjere moraju stvarno funkcionirati u odabranom opsegu. Organizacijske, kadrovske, fizičke i tehničke mjere međusobno su povezane. Kao praktično pomagalo odgovorne osobe mogu za svaku odabranu mjeru zabilježiti koji proces štiti i koji zapisi pokazuju njezinu primjenu. Blog o Prilogu A produbljuje odabir i primjenu mjera.
Ocjenjujte i poboljšavajte.
Interne revizije, upravine ocjene i obrada odstupanja održavaju ISMS aktivnim. Organizacija provjerava odgovara li njezin način rada zahtjevima i podupire li namjeravane rezultate. U svakodnevnom radu korisno je već pri određivanju ispravka utvrditi po čemu će se naknadno prepoznati njegov učinak.
Put do certifikacije ISO 27001.
Dogovorite cilj i opseg.
Kao praktičan početak razjasnite koji je dokaz potreban za koju djelatnost i opišite područje primjene s relevantnim ovisnostima.
Odredite odgovornosti i kapacitete.
Imenujte upravu s ovlastima odlučivanja, koordinaciju i vlasnike procesa te predvidite vrijeme za uvođenje i trajno održavanje.
Obradite rizike i mjere.
Primijenite sljediv postupak procjene, odlučite o obradi i dokumentirajte odabir mjera u izjavi o primjenjivosti.
Povežite rad i dokaze.
Provedite odabrane mjere i čuvajte odgovarajuće zapise iz stvarnog rada, umjesto da samo popunjavate predloške dokumenata.
Interno ocijenite i ispravite.
Internom revizijom i upravinom ocjenom obradite otvorene odluke, odstupanja i potrebe za resursima prije vanjske provjere.
Planirajte vanjsku provjeru i nastavak rada.
Dogovorite opseg i program revizije s odgovarajućim certifikacijskim tijelom te nakon odluke o certifikaciji nastavite voditi ISMS uz potrebne provjere.
Što potvrđuje certifikat ISO 27001.
Certifikat ISO 27001 potvrđuje ocijenjenu sukladnost sustava upravljanja u navedenom području primjene. Zato zajedno provjerite opseg, izdanje norme, izdavatelja te datum valjanosti i trenutačni status. Certifikat nije jamstvo da je obuhvaćeno svako područje poduzeća ili da u budućnosti neće biti sigurnosnih incidenata.
Certifikaciju provode vanjska certifikacijska tijela; sam ISO ne izdaje certifikate. ISO/IEC 27006-1:2024 dopunjuje zahtjeve za takva tijela pri certifikaciji ISMS-a. Akreditacija se odnosi na njihovu kompetentnost i razlikuje se od certifikata provjerene organizacije. Javna ISO-ova stranica o certifikaciji objašnjava kako provjeriti status certifikacije i akreditacije.
Planiranje ne završava prvim izdavanjem. Zatražite da vam certifikacijsko tijelo objasni program revizije, uvjete održavanja i postupak obnove. Pri odluci o proračunu računaju se te ponavljajuće usluge zajedno s internim radom, a ne samo prva ponuda.
Daljnje čitanje na blogu.
- Što je ISMS?Povežite sigurnosni rad s odlukama organizacije.
- Priprema certifikacije ISO 27001Detaljno planirajte pripremu, potreban rad i provjere.
- ISO 27001 Prilog AUgradite odabrane mjere u poslovanje.
- Interna revizija ISO 27001Organizirajte revizijske kriterije, dokaze i ispravke.
- Kontrolni popis ISO 27001Unaprijed razvrstajte radna područja i postojeću početnu pomoć.
Razumijevanje drugih okvira.
ISO 27002 dopunjuje ISO 27001 smjernicama za provedbu mjera informacijske sigurnosti. IT-Grundschutz opisuje BSI-jevu metodologiju sigurnosnog rada i zaseban put certifikacije. NIS2 za obuhvaćene subjekte uspostavlja samostalne zakonske obveze; certifikat ISO 27001 ne zamjenjuje njihovu provjeru. TISAX za automobilski lanac opskrbe koristi vlastiti postupak procjene i razmjene rezultata.
U Secaniju.
Secani pruža vlastiti urednički katalog provjere za ISO/IEC 27001:2022 s dopunom Amendment 1:2024. U radnom prostoru mjere, dokazi i zadaci mogu se obrađivati povezano. Katalog sadrži vlastite smjernice za provedbu i ne zamjenjuje licencirani tekst norme; stručna ocjena i odluka o certifikaciji ostaju zasebne zadaće.
Počnite s konkretnim područjem primjene.
Odaberite uslugu za koju je potreban sljediv dokaz sigurnosti. Zabilježite koje informacije, uključeni timovi i dobavljači joj pripadaju i tko smije odlučivati o rizicima. Na toj se osnovi mogu razmotriti opseg provedbe i očekivanja od certifikata.
Zatim zatražite ponudu za reviziju na temelju istog opsega. Pritom odvojite interni rad, nužna poboljšanja i troškove vanjske provjere. Tako ponude postaju usporedivije bez prethodnog obećanja datuma certifikacije ili rezultata.
Izvori.
- ENX: priručnik za sudionike TISAX-a
- ISO/IEC 27001:2022 – javna stranica norme
- ISO/IEC 27001:2022/Amd 1:2024
- Priopćenje ISO-a i IAF-a o klimatskim dopunama, veljača 2024.
- ISO – certifikacija i akreditacija
- ISO/IEC 27006-1:2024 – zahtjevi za certifikacijska tijela
- ISO/IEC 27002:2022 – dopunske smjernice za provedbu
Česta pitanja.
Ne, ne postoji opća obveza certifikacije ISO 27001 za svako poduzeće. Zahtijeva li se konkretan dokaz ovisi o primjenjivim zakonskim, ugovornim ili sektorskim zahtjevima.
Bez područja primjene i početnog stanja nije moguće navesti pouzdanu jedinstvenu cijenu. Zasebno planirajte interni rad, nužna poboljšanja, vanjske troškove revizije i trajno održavanje.
Odabir se temelji na rizicima i relevantnim zahtjevima. Izjava o primjenjivosti dokumentira potrebne mjere, njihov stupanj provedbe i obrazložena isključenja referentnih mjera.
Da. Provedba ISMS-a i njegova certifikacija kod vanjskog tijela različite su odluke; ISO opisuje certifikaciju kao opcionalan dokaz.
Ne. Certifikate izdaju vanjska certifikacijska tijela; ISO razvija i objavljuje norme.
Razjasnite područje primjene.
Razgovarajte o tome kako u Secaniju obrađivati zahtjeve, mjere i dokaze.
Ova stranica vlastitim riječima objašnjava ISO 27001 i ne zamjenjuje licencirani tekst norme ili stručnu provjeru. Mjerodavne su izvorne publikacije i primjenjivi postupak certifikacije.