Sytuacja
Kontrahent wymaga certyfikatu w przetargu. Spółka matka chce jednolitego standardu. Albo zarząd uznał, że certyfikat uporządkuje temat raz na zawsze. Pojawiają się oferty “ISO w 6 tygodni” i pytanie, dlaczego u nas miałoby to trwać dłużej.
Co to naprawdę znaczy
ISO/IEC 27001 certyfikuje system zarządzania, nie dokumenty. Jednostka certyfikująca sprawdza, czy analiza ryzyka jest wasza, czy role są obsadzone, czy przeglądy się odbywają i czy są na to dowody z kilku miesięcy. System, który powstał w 6 tygodni i nie działał ani dnia, przechodzi audyt certyfikacyjny rzadko, a recertyfikację prawie nigdy.
Dobra wiadomość: jeśli podlegacie NIS2 lub uoKSC, większość wymagań ISO 27001 i tak musicie spełnić. Certyfikat to wtedy formalność, nie osobny projekt.
Co robimy w takiej sytuacji
- Cyber Audyt gotowości: sprawdzamy, ile wymagań normy już spełniacie, i wskazujemy luki z priorytetami. Często okazuje się, że brakuje 30% systemu, nie 100%.
- Cyber SZBI: wdrażamy brakujące elementy w 4-10 tygodni, warsztatowo, na waszych realiach. Analiza ryzyka, polityka, procedury, rejestry, plan ciągłości, szkolenie zespołu. System jest gotowy do audytu certyfikacyjnego.
- Cyber Care: Zgodność 24/7 utrzymuje system między audytami: przeglądy, audyty wewnętrzne, aktualizacja pod nowe wersje normy. Recertyfikacja przestaje być projektem.
Dlatego w FortCyber
Sami działamy w systemie ISO/IEC 27001 i wiemy, co audytor sprawdza w drugim roku, nie tylko w pierwszym. Wdrożenie planujemy pod utrzymanie, więc koszt po certyfikacji jest przewidywalny, a nie odkrywany przy recertyfikacji.