ISO 27001.
Bygg ett ledningssystem för informationssäkerhet, styr risker och välj lämpliga underlag för kunder och avtalspartner.
- ISO/IEC 27001:2022 + Amd 1:2024
- Av Jonathan Bezdek
- Aktuellt per: 2026-10-22
- Lästid: 6 min.
Kort svar.
ISO 27001 är den internationella standarden för ledningssystem för informationssäkerhet, ISMS. Den beskriver hur organisationer organiserar, driver och förbättrar informationssäkerheten utifrån risker. ISO/IEC 27001:2022 gäller för olika storlekar och branscher. Ett oberoende certifieringsorgan kan bekräfta ledningssystemets överensstämmelse inom den fastställda omfattningen. ISO utfärdar själv inga certifikat.
ISO 27001 och ISMS.
ISO 27001 beskriver krav på ledning av informationssäkerhet. Ett ISMS kopplar ledningens beslut till hantering av information, människor, processer och teknik. Konfidentialitet, integritet och tillgänglighet skyddas: vem får se information, hur förblir den tillförlitlig och när måste den kunna användas? Den offentliga beskrivningen av ISO/IEC 27001:2022 sätter ett riskbaserat arbetssätt i centrum.
Den publicerade grundutgåvan är ISO/IEC 27001:2022, kompletterad med Amd 1:2024. Tillägget innebär att klimatrelaterade frågor beaktas i ledningssystemets sammanhang. Enligt det gemensamma ISO/IAF-kommunikén från februari 2024 handlar det om att pröva deras relevans för respektive ledningssystem. Detta innebär inget identiskt åtgärdsprogram för alla organisationer.
ISMS är organisationens löpande arbete och certifieringen ett möjligt externt intyg om det. Ett infört verktyg, ett ifyllt frågeformulär eller ett utbildningsintyg ersätter varken driften av ledningssystemet eller dess oberoende bedömning.
Vem ISO 27001 passar för.
Enligt ISO:s offentliga beskrivning passar ISO 27001 organisationer av olika storlek och i olika branscher. Avgörande är informationen och beroendena inom vald omfattning. En liten tjänsteleverantör kan därför behöva andra ansvarsfördelningar och rutiner än ett företag med flera anläggningar, utan att säkerhetsledningens grunduppgift förändras.
Kundkrav avgör ofta vilken certifieringsomfattning som behövs. Klargör om en avtalspartner vill få en viss tjänst, en anläggning eller en juridisk person bedömd. En medvetet avgränsad omfattning måste beakta relevanta gränssnitt. En utlagd verksamhet försvinner inte ur säkerhetsbedömningen enbart för att en leverantör utför den.
Kraven i ISO 27001.
ISO 27001-kraven förenar styrning av ISMS med drift av lämpliga säkerhetsåtgärder. Följande sex arbetsområden sammanfattar kapitel 4–10 i ISO/IEC 27001:2022 med egna ord som orientering.
Fastställ sammanhang och omfattning.
Organisationen avgränsar vilka verksamheter och vilken information dess ISMS omfattar. Relevanta krav från intressenter och beroenden till andra områden ingår. Vid genomförandet rekommenderas en beskrivning som både verksamhetsansvariga och externa läsare förstår: ett tjänstenamn förklarar i sig inte stödjande system och gränssnitt.
Förankra ledarskap och ansvar.
Ledningen ger säkerhetsarbetet riktning, befogenheter och resurser. Ansvariga måste kunna fatta beslut som motsvarar deras uppgifter. En central samordnare kan behålla överblicken men övertar därmed inte automatiskt alla uppgifter från personalavdelning, inköp, IT eller utveckling.
Bedöm och behandla risker.
Riskbedömning och riskbehandling avgör vilka problem som hanteras först. Bedömningskriterier, ansvariga personer och spårbara beslut kopplar analysen till konkret arbete. Uttalandet om tillämplighet, även kallat Statement of Applicability eller SoA, dokumenterar valda åtgärder och deras motivering. Bilaga A fungerar som referens för säkerhetsåtgärder.
Organisera resurser och dokumentation.
Kompetens, kommunikation och uppdaterad dokumenterad information bär upp driften. Fastställ praktiskt vem som godkänner en regel, vem som tillämpar den och var gällande version finns. En omfattande dokumentsamling hjälper föga om innehållet avviker från det faktiska arbetet eller ansvariga inte känner till sina uppgifter.
Driv åtgärderna i vardagen.
Säkerhetsåtgärderna måste faktiskt fungera inom vald omfattning. Organisatoriska, personrelaterade, fysiska och tekniska åtgärder samverkar. Som praktiskt stöd kan ansvariga för varje vald åtgärd ange vilken process den skyddar och vilken dokumentation som visar driften. Bloggartikeln om bilaga A fördjupar urval och drift av åtgärder.
Utvärdera och förbättra.
Interna revisioner, ledningens genomgångar och hantering av avvikelser håller ISMS i rörelse. Organisationen prövar om arbetssättet motsvarar kraven och stöder avsedda resultat. I vardagen är det värdefullt att redan vid en korrigering bestämma hur effekten senare ska kunna urskiljas.
Vägen till ISO 27001-certifiering.
Kom överens om mål och omfattning.
Börja praktiskt med att klargöra vilket underlag som behövs för vilken verksamhet och beskriv omfattningen med relevanta beroenden.
Fastställ ansvar och kapacitet.
Utse beslutsbehörig ledning, samordning och processansvariga och avsätt tid för införande och löpande underhåll.
Arbeta med risker och åtgärder.
Tillämpa ett spårbart bedömningsförfarande, besluta om riskbehandlingen och dokumentera åtgärdsvalet i uttalandet om tillämplighet.
Koppla samman drift och underlag.
Genomför valda åtgärder och bevara lämplig dokumentation från den faktiska driften i stället för att enbart fylla i dokumentmallar.
Utvärdera och korrigera internt.
Använd intern revision och ledningens genomgång för att hantera öppna beslut, avvikelser och resursbehov före en extern granskning.
Planera extern granskning och fortsatt drift.
Kom överens med ett lämpligt certifieringsorgan om omfattning och revisionsprogram och fortsätt driva ISMS med nödvändiga kontroller efter certifieringsbeslutet.
Vad ISO 27001-certifikatet säger.
ISO 27001-certifikatet bekräftar den bedömda överensstämmelsen för ledningssystemet inom angiven omfattning. Kontrollera därför omfattning, standardutgåva, utfärdare, giltighetsdatum och aktuell status tillsammans. Certifikatet garanterar inte att varje del av företaget omfattas eller att inga framtida säkerhetsincidenter kan inträffa.
Externa certifieringsorgan genomför certifieringen. ISO utfärdar själv inga certifikat. ISO/IEC 27006-1:2024 kompletterar kraven på sådana organ för ISMS-certifieringar. Ackreditering gäller organens kompetens och ska skiljas från den granskade organisationens certifikat. ISO:s offentliga sida om certifiering förklarar hur certifierings- och ackrediteringsstatus kan kontrolleras.
Planeringen slutar inte vid det första utfärdandet. Be certifieringsorganet förklara revisionsprogrammet, villkoren för att upprätthålla certifieringen och förnyelseförfarandet. Vid budgetbeslutet räknas dessa återkommande tjänster tillsammans med den interna driften, inte enbart den första offerten.
Läs vidare i bloggen.
- Vad är ett ISMS?Koppla säkerhetsarbetet till organisationens beslut.
- Förbered ISO 27001-certifieringPlanera förberedelser, arbetsinsats och granskningar i detalj.
- ISO 27001 bilaga AFörankra valda åtgärder i driften.
- Intern ISO 27001-revisionOrganisera revisionskriterier, underlag och korrigeringar.
- ISO 27001-checklistaSortera arbetsområden och befintliga starthjälpmedel.
Förhållandet till andra ramverk.
ISO 27002 kompletterar ISO 27001 med vägledning för att genomföra informationssäkerhetsåtgärder. IT-Grundschutz beskriver en BSI-metod för säkerhetsarbete och en egen certifieringsväg. NIS2 medför självständiga lagstadgade skyldigheter för de verksamhetsutövare som omfattas. Ett ISO 27001-certifikat ersätter inte prövningen av dessa. TISAX använder ett eget bedömnings- och utbytesförfarande för fordonsindustrins leveranskedja.
I Secani.
Secani erbjuder en egen redaktionell granskningskatalog för ISO/IEC 27001:2022 med Amendment 1:2024. I arbetsytan kan åtgärder, underlag och uppgifter hanteras i sitt sammanhang. Katalogen innehåller egna genomförandeanvisningar och ersätter inte den licensierade standardtexten. Sakkunnig bedömning och certifieringsbeslut förblir separata uppgifter.
Börja med en konkret omfattning.
Välj en tjänst som behöver spårbara säkerhetsunderlag. Dokumentera vilken information, vilka medverkande team och leverantörer som ingår och vem som får besluta om risker. Med denna grund kan ni diskutera genomförandets omfattning och förväntningarna på ett certifikat.
Begär därefter en offert för revision baserad på samma omfattning. Skilj mellan intern arbetsinsats, nödvändiga förbättringar och kostnaden för extern granskning. Då blir offerterna mer jämförbara utan att ett certifieringsdatum eller resultat redan utlovas.
Källor.
- ENX: TISAX deltagarhandbok
- ISO/IEC 27001:2022 – offentlig standardsida
- ISO/IEC 27001:2022/Amd 1:2024
- ISO/IAF-kommuniké om klimatrelaterade tillägg, februari 2024
- ISO – certifiering och ackreditering
- ISO/IEC 27006-1:2024 – krav på certifieringsorgan
- ISO/IEC 27002:2022 – kompletterande genomförandevägledning
Vanliga frågor.
Nej, det finns ingen allmän skyldighet för alla företag att vara ISO 27001-certifierade. Om ett konkret underlag krävs beror på tillämpliga lagkrav, avtalskrav eller branschspecifika krav.
Ett tillförlitligt enhetspris kan inte anges utan omfattning och utgångsläge. Planera separat för intern arbetsinsats, nödvändiga förbättringar, externa revisionskostnader och löpande upprätthållande.
Urvalet styrs av risker och relevanta krav. Uttalandet om tillämplighet dokumenterar nödvändiga åtgärder, deras genomförandestatus och motiverade undantag från referensåtgärder.
Ja. Att införa ett ISMS och att låta ett externt organ certifiera det är olika beslut. ISO beskriver certifieringen som ett valbart intyg.
Nej. Externa certifieringsorgan utfärdar certifikat. ISO utvecklar och publicerar standarderna.
Klargör omfattningen.
Diskutera hur ni kan arbeta med krav, åtgärder och underlag i Secani.
Denna sida beskriver ISO 27001 med egna ord och ersätter inte den licensierade standardtexten eller sakkunnig granskning. Originalpublikationerna och det tillämpliga certifieringsförfarandet är avgörande.