Audyt ISO/IEC 27001 dla firm i instytucji

Sprawdzamy, czy Twój SZBI spełnia wymagania ISO/IEC 27001:2022 – przed certyfikacją, w audycie wewnętrznym lub u dostawcy. Otrzymujesz raport z niezgodnościami i planem działań.

Strona główna » Audyty IT » Audyt ISO/IEC 27001

Czym jest audyt ISO/IEC 27001?

Audyt ISO/IEC 27001 to niezależna ocena, czy system zarządzania bezpieczeństwem informacji (SZBI) działa zgodnie z wymaganiami normy i z polityką przyjętą w organizacji. Sprawdzamy dokumentację, rozmawiamy z osobami odpowiedzialnymi za poszczególne obszary i weryfikujemy, czy zabezpieczenia działają w praktyce, a nie tylko na papierze.

Nie jesteśmy jednostką certyfikującą, dlatego wskazujemy nie tylko niezgodności, ale też sposób ich usunięcia – zanim zrobi to audytor jednostki certyfikującej.

Obowiązuje wersja ISO/IEC 27001:2022 (w Polsce PN-EN ISO/IEC 27001:2023). Okres przejściowy zakończył się 31 października 2025 r. – certyfikaty według wersji z 2013 r. straciły ważność.

Jaki audyt ISO/IEC 27001 wykonujemy?

Audyt przed certyfikacją – ocena gotowości i lista luk do usunięcia przed audytem jednostki certyfikującej,
Audyt wewnętrzny SZBI – audyt wymagany przez pkt 9.2 normy, także jako stała usługa zewnętrzna,
Audyt dostawcy – sprawdzenie partnera lub podwykonawcy, który przetwarza Twoje informacje,
Audyt przejścia na wersję 2022 – weryfikacja nowych i zmienionych zabezpieczeń z Załącznika A.

Dla kogo jest audyt ISO/IEC 27001?

Audyt przyda się każdej organizacji, która ma wdrożony SZBI albo planuje certyfikację – niezależnie od branży i wielkości.

Firmy przed certyfikacją

Sprawdzisz gotowość SZBI przed audytem jednostki certyfikującej.

Organizacje z certyfikatem

Audyt wewnętrzny przed corocznym audytem nadzoru.

Podmioty kluczowe i ważne

SZBI pomaga spełnić wymagania ustawy o KSC (NIS2).

Sektor finansowy

Banki, ubezpieczyciele i firmy inwestycyjne objęte DORA.

Dostawcy IT i usług chmurowych

Klienci i przetargi coraz częściej wymagają ISO/IEC 27001.

Jednostki publiczne

Norma jest podstawą spełnienia wymagań § 19 KRI.

Co sprawdzamy podczas audytu ISO/IEC 27001?

Weryfikujemy wymagania z punktów 4–10 normy oraz 93 zabezpieczenia z Załącznika A – w zakresie, który obejmuje Twój SZBI i deklaracja stosowania.

1. Kontekst i zakres SZBI

Strony zainteresowane, granice i zakres systemu (pkt 4).

2. Przywództwo

Zaangażowanie zarządu, polityka bezpieczeństwa, role i odpowiedzialności (pkt 5).

3. Szacowanie ryzyka

Metodyka, kryteria akceptacji i aktualność oceny ryzyka (pkt 6.1 i 8.2).

4. Postępowanie z ryzykiem

Plan postępowania z ryzykiem i jego realizacja (pkt 6.1.3 i 8.3).

5. Deklaracja stosowania

Uzasadnienie wyboru i wyłączeń zabezpieczeń z Załącznika A.

6. Cele bezpieczeństwa

Mierzalne cele, plany ich osiągnięcia i planowanie zmian (pkt 6.2–6.3).

7. Kompetencje i świadomość

Kompetencje, świadomość pracowników i komunikacja (pkt 7.2–7.4).

8. Dokumentacja

Aktualność i nadzór nad udokumentowanymi informacjami (pkt 7.5).

9. Zabezpieczenia organizacyjne i osobowe

37 zabezpieczeń organizacyjnych i 8 dotyczących ludzi (A.5, A.6).

10. Zabezpieczenia fizyczne i technologiczne

14 zabezpieczeń fizycznych i 34 technologiczne (A.7, A.8).

11. Dostawcy i usługi chmurowe

Bezpieczeństwo w relacjach z dostawcami i w chmurze (A.5.19–A.5.23).

12. Ocena i doskonalenie

Monitorowanie, audyt wewnętrzny, przegląd zarządzania i działania korygujące (pkt 9–10).

Co otrzymujesz po audycie ISO/IEC 27001?

Każdy raport z audytu zawiera:

ocenę zgodności dla każdego punktu normy i obszaru zabezpieczeń,
listę ustaleń – niezgodności, obserwacje i szanse doskonalenia wraz z dowodami,
plan działań korygujących z priorytetami,
podsumowanie dla zarządu.

Wyniki omawiamy na spotkaniu zamykającym, a po audycie odpowiadamy na pytania dotyczące zaleceń.

Co zyskuje Twoja organizacja

obiektywną ocenę gotowości do certyfikacji,
listę niezgodności do usunięcia przed audytem jednostki certyfikującej,
spełnienie wymogu audytu wewnętrznego z pkt 9.2 normy,
potwierdzenie, że zabezpieczenia działają w praktyce,
mocniejszą pozycję w rozmowach z klientami i w przetargach.

Najczęstsze pytania o audyt ISO/IEC 27001

Czy po audycie otrzymam certyfikat ISO/IEC 27001?

Nie. Certyfikat wydaje akredytowana jednostka certyfikująca. Nasz audyt przygotowuje do certyfikacji: pokazuje, co poprawić, zanim przyjdzie audytor jednostki.

Czym różni się audyt wewnętrzny od audytu certyfikującego?

Audyt wewnętrzny (pkt 9.2 normy) zleca sama organizacja, aby sprawdzić, czy SZBI działa skutecznie. Audyt certyfikujący i coroczne audyty nadzoru prowadzi jednostka certyfikująca. Rzetelny audyt wewnętrzny zmniejsza ryzyko niezgodności podczas audytu zewnętrznego.

Jak często trzeba przeprowadzać audyt wewnętrzny?

Norma wymaga audytów w zaplanowanych odstępach czasu. W praktyce najczęściej raz w roku, przed audytem nadzoru, tak aby w cyklu certyfikacji objąć audytem cały zakres SZBI.

Ile trwa audyt ISO/IEC 27001?

Zwykle około tygodnia, łącznie z przygotowaniem raportu. Czas zależy od zakresu SZBI, liczby lokalizacji i rodzaju audytu.

Mamy certyfikat według wersji z 2013 r. – co teraz?

Okres przejściowy zakończył się 31 października 2025 r., więc certyfikaty według ISO/IEC 27001:2013 straciły ważność. Audyt przejścia pokazuje, co zmienić, m.in. 11 nowych zabezpieczeń w Załączniku A (np. analiza zagrożeń, bezpieczeństwo usług chmurowych, maskowanie danych) i zmiany w punktach 4–10 normy.

Czy ISO/IEC 27001 pomaga spełnić wymagania NIS2 (KSC) i DORA?

Tak, w dużej części. SZBI obejmuje zarządzanie ryzykiem, incydentami i dostawcami, czyli obszary wymagane przez ustawę o KSC i rozporządzenie DORA. Certyfikat nie zastępuje jednak oceny zgodności z tymi przepisami. Audyt NIS2 i KSC · Audyt DORA.