Što je ISO 27001? Certifikat, kontrole, postupak i trošak

ISO/IEC 27001 je međunarodna norma sa zahtjevima za sustav upravljanja informacijskom sigurnošću (ISMS). Propisuje kako organizacija utvrđuje rizike za svoje informacije, odabire i provodi kontrole, mjeri njihovu učinkovitost i poboljšava sustav. Certifikat izdaje neovisno certifikacijsko tijelo nakon audita i njime potvrđuje da ISMS u navedenom opsegu ispunjava zahtjeve norme.

Važeće je treće izdanje, ISO/IEC 27001:2022, objavljeno 25. listopada 2022., uz Amandman 1:2024 o klimatskim promjenama. Hrvatski zavod za norme preuzeo ga je na izvornom engleskom jeziku kao HRN EN ISO/IEC 27001:2023. Vodič prikazuje stanje na 4. studenoga 2026.

Ukratko

• Dobrovoljna norma: Zakon o kibernetičkoj sigurnosti ne traži ISO 27001 certifikat. NCSC-HR navodi da subjekt koji već ima ISMS može koristiti postojeću dokumentaciju i mapiranje mjera iz Uredbe o kibernetičkoj sigurnosti na normu.
• Sadržaj: obvezni zahtjevi nalaze se u točkama 4 do 10, a Prilog A navodi 93 kontrole u četiri teme: organizacijske (37), kadrovske (8), fizičke (14) i tehnološke (34).
• Kontrole se biraju prema riziku i obrazlažu u izjavi o primjenjivosti. Nijedna kontrola nije obvezna sama po sebi.
• Certifikat vrijedi tri godine, uz nadzorni audit svake kalendarske godine i ponovnu certifikaciju prije isteka.
• Izdanje iz 2013.: certifikati prema tom izdanju nisu valjani od 31. listopada 2025.
• Trajanje i trošak ovise o opsegu, broju zaposlenika i lokacija te zrelosti postojećih kontrola. Norma ih ne propisuje.

Što je ISO 27001 i ISMS

ISO/IEC 27001 zajednički objavljuju Međunarodna organizacija za normizaciju (ISO) i Međunarodna elektrotehnička komisija (IEC). Oznaka „ISO/IEC” zato je službeni naziv, a „ISO 27001” uobičajena kratica. Norma pripada obitelji 27000, koja obuhvaća informacijsku sigurnost, kibernetičku sigurnost i zaštitu privatnosti.

ISMS (engl. information security management system) skup je politika, uloga, procesa, procjena rizika i kontrola kojima organizacija upravlja informacijskom sigurnošću. Cilj je očuvati tri svojstva informacija:

• povjerljivost: informacijama pristupaju samo ovlaštene osobe;
• cjelovitost: informacije su točne i nisu neovlašteno izmijenjene ni izbrisane;
• dostupnost: informacije su dostupne kada ih poslovanje i klijenti trebaju.

ISMS obuhvaća ljude, procese i tehnologiju, a odnosi se na informacije u svakom obliku: na papiru, u vlastitim sustavima i u oblaku.

ISO ne certificira organizacije. Certifikat izdaje certifikacijsko tijelo, a vrijednost mu daje akreditacija: nacionalno akreditacijsko tijelo potvrđuje da je certifikacijsko tijelo stručno i neovisno. U Hrvatskoj akreditaciju provodi Hrvatska akreditacijska agencija (HAA).

Zašto tvrtke uvode ISO 27001

Najčešći razlozi su ugovorni i regulatorni:

• Zahtjev kupca ili natječaja. Banke, osiguratelji, javni naručitelji i veliki kupci od IT dobavljača traže certifikat ili drugi dokaz o sigurnosnim kontrolama.
• Lanac opskrbe NIS2 subjekata. Uredba o kibernetičkoj sigurnosti traži da ključni i važni subjekti u ugovore s izravnim dobavljačima uključe pravo na reviziju kibernetičke sigurnosti ili dokaz o posjedovanju odgovarajućih jednakovrijednih certifikata (Prilog II., mjera 8.3.).
• DORA. Banke i drugi financijski subjekti procjenjuju rizik pružatelja IKT usluga prije ugovaranja i tijekom cijele suradnje.
• Upravljanje rizikom. Norma daje okvir u kojem uprava odlučuje o ulaganjima u sigurnost na temelju rizika, umjesto na temelju pojedinačnih incidenata.
• Jedan sustav za više propisa. Isti procesi za rizike, dobavljače, incidente i kontinuitet poslovanja podupiru NIS2, DORA-u, GDPR i ugovorne obveze.

ISO/IEC 27001:2022: što se promijenilo

Izdanje iz 2022. zamijenilo je izdanje iz 2013. Prema dokumentu IAF MD 26, kojim je Međunarodni akreditacijski forum uredio prijelaz, glavne su promjene:

• Prilog A preuzima kontrole iz ISO/IEC 27002:2022. Broj kontrola smanjen je sa 114 u 14 poglavlja na 93 u četiri teme: 11 kontrola je novo, 24 su nastale spajanjem, a ostale su ažurirane.
• Točka 4.2 c): organizacija utvrđuje koji se zahtjevi zainteresiranih strana ispunjavaju kroz ISMS.
• Točka 6.3: promjene ISMS-a planiraju se i provode na planiran način.
• Usklađena struktura sa zajedničkom strukturom normi sustava upravljanja, što olakšava povezivanje s ISO 9001, ISO 22301 ili ISO/IEC 42001.

Novih 11 kontrola:

Amandman 1:2024 dodaje u točku 4.1 zahtjev da organizacija utvrdi jesu li klimatske promjene relevantno pitanje, a u točku 4.2 napomenu da zainteresirane strane mogu imati zahtjeve povezane s klimatskim promjenama.

Prijelaz: od 30. travnja 2024. početne certifikacije i ponovne certifikacije provode se samo prema izdanju iz 2022., a svi certificirani klijenti morali su prijeći na novo izdanje do 31. listopada 2025. Certifikat prema izdanju iz 2013. danas nije valjan.

Struktura norme: točke 4 do 10

Točke 0 do 3 su uvodne. Zahtjevi koje auditor provjerava nalaze se u točkama 4 do 10:

Norma ne propisuje koliko politika organizacija mora napisati. Traži dokumentirane informacije koje su potrebne kao dokaz. Auditor redovito traži sljedeće:

• opseg ISMS-a i politiku informacijske sigurnosti;
• metodologiju procjene rizika, rezultate procjene i plan obrade rizika;
• izjavu o primjenjivosti;
• ciljeve informacijske sigurnosti i rezultate njihova praćenja;
• dokaze o kompetencijama zaposlenika;
• program i rezultate internog audita;
• zapisnik upravine ocjene;
• evidenciju nesukladnosti i korektivnih radnji.

Prilog A: 93 kontrole

Izjava o primjenjivosti (engl. Statement of Applicability) za svaku kontrolu navodi je li primijenjena, zašto je uključena ili isključena i kakav je status provedbe. To je ključni dokument certifikacijskog audita, jer povezuje procjenu rizika s odabranim kontrolama. Izjava preuzeta iz druge organizacije ne odgovara vlastitim rizicima i auditor to brzo uoči.

ISO/IEC 27002:2022 prateća je norma sa smjernicama za provedbu svake kontrole. Uz svaku kontrolu navodi atribute: vrstu kontrole (preventivna, detektivna, korektivna), sigurnosna svojstva, koncepte kibernetičke sigurnosti (prepoznaj, zaštiti, otkrij, odgovori, oporavi se), operativne sposobnosti i sigurnosne domene. Prema normi ISO/IEC 27002 ne izdaje se certifikat.

Vodič ne prenosi tekst norme, koji je zaštićen autorskim pravom. Za provedbu je potreban zakonito pribavljen primjerak norme.

Koraci do certifikacije

1. Svrha i opseg. Utvrdite poslovni razlog (zahtjev kupca, natječaj, NIS2, DORA) i odredite opseg: usluge, lokacije, organizacijske jedinice, sustave i dobavljače. Preuzak opseg kupcu ne znači ništa, a preširok produljuje projekt.
2. Upravljanje. Uprava odobrava politiku, uloge, ciljeve, kriterije prihvaćanja rizika i resurse.
3. Procjena i obrada rizika. Odaberite dosljednu metodologiju. Svaki rizik treba vlasnika, odluku o obradi, kontrolu, rok i dokaz. Preostali rizik prihvaća vlasnik rizika.
4. Provedba kontrola i dokazi. Politika nije dokaz provedbe. Potrebni su zapisi: odobrenja pristupa, testovi povrata sigurnosnih kopija, evidencija edukacija, pregledi dobavljača, obrada incidenata i ranjivosti.
5. Interni audit i upravina ocjena. Interni audit provjerava sukladnost i učinkovitost sustava, a provodi ga osoba koja ne auditira vlastiti rad. Uprava na temelju rezultata donosi odluke o poboljšanjima.
6. Prva faza certifikacijskog audita. Certifikacijsko tijelo provjerava dokumentaciju, opseg i spremnost za drugu fazu.
7. Druga faza certifikacijskog audita. Auditori razgovaraju sa zaposlenicima, pregledavaju zapise i provjeravaju provode li se kontrole u praksi. Nesukladnosti se moraju otkloniti prije odluke o certifikaciji.
8. Održavanje. Prvi nadzorni audit provodi se najkasnije 12 mjeseci od odluke o certifikaciji, zatim svake kalendarske godine, a ponovna certifikacija prije isteka trogodišnjeg ciklusa.

Koliko traje certifikacija

Norma ne propisuje trajanje. Prije druge faze audita sustav mora raditi dovoljno dugo da postoje zapisi o provedbi kontrola, proveden interni audit i održana upravina ocjena. Ubrzano pisanje dokumenata ne skraćuje to vrijeme.

Trajanje najviše ovisi o:

• broju usluga, lokacija i pravnih osoba u opsegu;
• tome postoje li popis imovine, vlasnici sustava i procjena rizika;
• broju otvorenih tehničkih nedostataka, primjerice bez višefaktorske autentifikacije ili bez testiranih sigurnosnih kopija;
• ugovorima s dobavljačima koje treba dopuniti sigurnosnim odredbama;
• raspoloživosti vlasnika procesa i uprave;
• terminima certifikacijskog tijela.

Organizacija koja već provodi mjere iz Uredbe o kibernetičkoj sigurnosti ili DORA-e ima velik dio kontrola i treba ih uglavnom povezati u sustav upravljanja.

O čemu ovisi trošak

Norma i propisi ne određuju cijenu certifikacije. Ukupni trošak čine četiri stavke:

1. interni rad: vrijeme uprave, vlasnika procesa i IT-a za procjenu rizika, dokumentaciju i provedbu;
2. korektivne mjere: tehničke, organizacijske i ugovorne promjene koje proizlaze iz procjene rizika;
3. vanjska stručna pomoć, ako je organizacija koristi za izgradnju sustava, interni audit ili edukaciju;
4. certifikacijsko tijelo: početni audit u dvije faze, godišnji nadzorni auditi i ponovna certifikacija.

Trajanje audita certifikacijsko tijelo određuje prema pravilima za certifikaciju ISMS-a iz norme ISO/IEC 27006, ponajprije prema broju osoba koje rade u opsegu, broju lokacija i složenosti sustava. Ponude zato uspoređujte prema opsegu, broju auditorskih dana za cijeli trogodišnji ciklus i akreditaciji. Najniža ponuda za prvu godinu ne govori ništa o ukupnom trošku ciklusa.

Kako odabrati certifikacijsko tijelo i provjeriti certifikat

Za certifikat koji kupci i nadzornici prihvaćaju birajte certifikacijsko tijelo akreditirano za ISO/IEC 27001. U Hrvatskoj akreditaciju provodi HAA, a strana tijela akreditiraju njihova nacionalna akreditacijska tijela, potpisnici sporazuma o međusobnom priznavanju. Akreditaciju provjerite u registru HAA-e ili kod akreditacijskog tijela navedenog na certifikatu.

Kada certifikat dostavlja dobavljač, provjerite:

• puni naziv i OIB ili drugi identifikator certificirane pravne osobe;
• normu i izdanje: ISO/IEC 27001:2022;
• opis opsega i lokacije, posebno je li u opsegu usluga koju ugovarate;
• broj certifikata, datum izdavanja i datum isteka;
• certifikacijsko tijelo i akreditacijsko tijelo;
• valjanost u bazi IAF CertSearch ili na stranici izdavatelja.

IAF CertSearch je globalna baza akreditiranih certifikata sustava upravljanja, u koju certifikacijska tijela unose izdane certifikate, a vodi je partner ISO-a i globalne mreže akreditacijskih tijela. Od 2025. ISO na temelju te baze izrađuje i godišnji pregled broja certifikata (ISO Survey).

Certifikat ne zamjenjuje procjenu dobavljača. Ako usluga koju ugovarate nije u opsegu certifikata, certifikat za taj odnos pruža malo sigurnosti.

ISO 27001 i NIS2 u Hrvatskoj

Zakon o kibernetičkoj sigurnosti (NN 14/2024) i Uredba o kibernetičkoj sigurnosti (NN 135/2024) hrvatska su provedba Direktive NIS2. Veza s normom ISO 27001:

• Certifikat nije obvezan. NCSC-HR u odgovorima kategoriziranim subjektima navodi da Zakon ne propisuje certifikaciju po ISO 27001:2022, već provedbu mjera iz Priloga II. Uredbe. Certifikacija može biti korisna za usklađivanje.
• Norme se uzimaju u obzir. Mjere se provode uz primjenu europskih i međunarodnih normi i najbolje prakse (čl. 28. Zakona).
• Mapiranje mjera. Središnje državno tijelo za kibernetičku sigurnost izrađuje i objavljuje korelacijski pregled mjera iz Priloga II. na najvažnije europske i međunarodne norme (čl. 49. Uredbe). Subjekt s ISMS-om tako povezuje postojeću dokumentaciju s mjerama Uredbe.
• Samoprocjena. Važni subjekti provode samoprocjenu najmanje jednom u dvije godine (čl. 51. Uredbe). Osoba koja je provodi mora poznavati provedbu međunarodnih normi iz područja informacijske ili kibernetičke sigurnosti, imati potvrdu o edukaciji za internog auditora po jednoj od tih normi i godinu dana iskustva u sličnim internim revizijama (čl. 56. Uredbe).
• Revizija. Ključni subjekti provode reviziju kibernetičke sigurnosti najmanje jednom u dvije godine (čl. 34. Zakona). Provode je revizori s nacionalnim sigurnosnim certifikatom za reviziju kibernetičke sigurnosti, koji izdaje Zavod za sigurnost informacijskih sustava, ili s odgovarajućim europskim certifikatom (čl. 32. i 33. Zakona). Certifikacijski audit prema ISO 27001 ne zamjenjuje tu reviziju.

ISO 27001 certifikat sam po sebi ne dokazuje da je subjekt pravilno kategoriziran, da provodi razinu mjera iz obavijesti o kategorizaciji, da prijavljuje incidente u nacionalnim rokovima ni da je uprava ispunila svoje zakonske obveze. Za povezivanje ISMS-a s hrvatskim zahtjevima pogledajte uslugu NIS2 usklađenosti i vodič NIS2 i ISO 27001: usporedba i mapiranje.

ISO 27001, DORA, GDPR i druge norme

Najčešće pogreške

• Certifikat kao cilj. Projekt završi danom audita, a nitko ne održava sustav do prvog nadzornog audita.
• Prepisani registar rizika. Rizici nisu povezani sa stvarnim uslugama, sustavima i odlukama.
• Opseg koji skriva ovisnosti. Zajednička infrastruktura, matično društvo ili ključni dobavljač ostaju izvan opsega bez obrazloženja.
• Sve kontrole označene kao primijenjene. Izjava o primjenjivosti nema vezu s procjenom rizika.
• Uprava izvan sustava. Politiku potpisuje direktor, ali upravina ocjena ne postoji ili je formalna.
• Savjetnik auditira vlastiti rad. Interni audit provodi ista osoba koja je izgradila sustav, pa nije neovisan.
• Certifikat kao NIS2 ili GDPR potvrda. Komunikacija prema kupcima tvrdi više od onoga što je certifikacijsko tijelo ocijenilo.

Česta pitanja

Sljedeći korak

Procjenu rizika, izjavu o primjenjivosti, politike, interni audit i pripremu za certifikacijski audit radimo u sklopu usluge ISO 27001 savjetovanja. Edukacija za interne auditore i zaposlenike opisana je na stranici ISO 27001 edukacije.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim primarnim izvorima. Opisi zahtjeva ne prenose tekst norme.

• ISO: ISO/IEC 27001:2022, Information security management systems
• ISO: ISO/IEC 27701:2025, Privacy information management systems
• ISO: The ISO Survey
• IAF MD 26:2023, prijelaz na ISO/IEC 27001:2022
• IAF CertSearch
• HZN: HRN EN ISO/IEC 27001:2023
• HAA: registar akreditacija
• Zakon o kibernetičkoj sigurnosti, NN 14/2024
• Uredba o kibernetičkoj sigurnosti, NN 135/2024
• NCSC-HR: Pitanja kategoriziranih subjekata
• Uredba (EU) 2022/2554 (DORA)

Ovaj vodič daje opće informacije prema stanju na datum pregleda. Trajanje audita, ciklus i uvjete valjanosti certifikata određuje odabrano certifikacijsko tijelo prema akreditacijskim pravilima.