Norma ISO/IEC 27001 jest dobrowolna. Rozporządzenie o Krajowych Ramach Interoperacyjności uznaje wymagania dotyczące systemu zarządzania bezpieczeństwem informacji za spełnione, jeżeli system opracowano na podstawie normy PN-ISO/IEC 27001 (§19 ust. 3).
Kiedy norma może być pomocna
- W urzędzie gminy lub starostwie, gdzie system zarządzania bezpieczeństwem informacji obejmuje wiele procesów i systemów.
- W centrum usług wspólnych, które obsługuje kilka jednostek, w tym szkoły.
- W organizacji, która chce uzyskać certyfikat, np. na potrzeby współpracy z partnerami.
W pojedynczej szkole podstawą jest zwykle załącznik nr 4 do ustawy o krajowym systemie cyberbezpieczeństwa. Norma może służyć jako uporządkowany punkt odniesienia przy jego wdrażaniu.
Zakres wsparcia
Paweł Modzelewski jest audytorem wiodącym ISO/IEC 27001:2022 z akredytacjami PCA, ERCA i CeCert. Prowadzimy audyt zerowy, przygotowujemy dokumentację i analizę ryzyka, szkolimy pracowników, przeprowadzamy audyt wewnętrzny i wspieramy organizację podczas audytu certyfikującego.
Pytania, które dostajemy najczęściej
Czy szkoła albo urząd muszą mieć certyfikat ISO/IEC 27001?
Nie. Ani ustawa o krajowym systemie cyberbezpieczeństwa, ani rozporządzenie o Krajowych Ramach Interoperacyjności nie wymagają certyfikatu.
Czy certyfikat według wersji normy z 2013 r. jest nadal ważny?
Nie. Okres przejściowy na wersję ISO/IEC 27001:2022, określony w dokumencie IAF MD 26, zakończył się, a certyfikaty według wersji z 2013 r. wygasły lub zostały wycofane.
Czy wystawiacie certyfikaty?
Nie. Przygotowujemy organizację do certyfikacji. Certyfikat wystawia niezależna jednostka certyfikująca, którą wybiera organizacja.
Podstawa prawna i źródła
- Rozporządzenie o Krajowych Ramach Interoperacyjności, §19 ust. 3 (Dz.U. 2024 poz. 773)
- IAF MD 26: Transition requirements for ISO/IEC 27001:2022
Treść ma charakter informacyjny. W konkretnej sprawie rozstrzyga aktualne brzmienie przepisów i stanowisko właściwego organu.