Zahtjevi za sustav upravljanja
Kontekst i opseg, vodstvo, planiranje i procjena rizika, podrška, provedba, vrednovanje i poboljšavanje. Nijedan od tih zahtjeva ne smije se izostaviti.
KIBERNETIČKA SIGURNOST · ISO/IEC 27001
ISO 27001 savjetovanje.
Uspostavljamo sustav upravljanja informacijskom sigurnošću prema normi ISO/IEC 27001:2022, od opsega i procjene rizika do izjave o primjenjivosti i internog audita. Pripremamo vas za certifikacijski audit, a certifikat izdaje akreditirano certifikacijsko tijelo koje sami odaberete.
300+ PROJEKATA U REGULIRANIM SEKTORIMA
- PBZ
- Fortenova
- Roche
- Inditex
- Končar
- Plodine
- Cromaris
ISO/IEC 27001:2022 · HRN EN ISO/IEC 27001:2023
Što norma ISO 27001 traži
ISO/IEC 27001 propisuje zahtjeve za uspostavu, provedbu, održavanje i stalno poboljšavanje sustava upravljanja informacijskom sigurnošću. Važeće izdanje objavljeno je u listopadu 2022., a u Hrvatskoj je prihvaćeno kao HRN EN ISO/IEC 27001:2023. Certifikati prema izdanju iz 2013. istekli su ili su povučeni nakon 31. listopada 2025.
93 kontrole u četiri skupine
Organizacijske kontrole, kontrole za ljude, fizičke i tehnološke kontrole. U izjavi o primjenjivosti obrazlažete koje primjenjujete.
Audit akreditiranog certifikacijskog tijela
Certifikat se izdaje nakon audita u dvije faze i vrijedi tri godine, uz godišnje nadzorne audite. Mi pripremamo sustav i dokumentaciju za audit.
ZAHTJEVI NORME
Kontekst organizacijetočka 4.Unutarnja i vanjska pitanja, zainteresirane strane i njihovi zahtjevi te opseg sustava.
Vodstvotočka 5.Predanost uprave, politika informacijske sigurnosti, uloge i odgovornosti.
Planiranjetočka 6.Procjena i obrada rizika, izjava o primjenjivosti i ciljevi informacijske sigurnosti.
Podrškatočka 7.Resursi, kompetencije, svijest zaposlenika, komunikacija i dokumentirane informacije.
Provedbatočka 8.Plan obrade rizika te procjena rizika u planiranim razmacima i nakon značajnih promjena.
Vrednovanjetočka 9.Praćenje i mjerenje, interni audit i upravina ocjena sustava.
Poboljšavanjetočka 10.Nesukladnosti, korektivne radnje i stalno poboljšavanje.
ROKOVI I CIKLUS
Važeće izdanjelistopad 2022.ISO/IEC 27001:2022 s izmjenom Amd 1:2024. U Hrvatskoj HRN EN ISO/IEC 27001:2023.
Kraj prijelaznog razdoblja31. 10. 2025.Certifikati prema izdanju iz 2013. istekli su ili su povučeni.
Valjanost certifikata3 godineUz nadzorne audite certifikacijskog tijela i recertifikacijski audit prije isteka.
Interni audit i upravina ocjenajednom godišnjeNorma ih traži u planiranim razmacima. Uobičajeno se provode prije svakog nadzornog audita.
SURADNJA
Načini suradnje
PRVI KORAK
Procjena stanja prema normi
Za organizacije koje žele znati koliko su daleko od certifikata.
- Pregled prema točkama 4. do 10. i Prilogu A
- Popis odstupanja po prioritetu
- Plan uspostave s rokovima i nositeljima
- Izvještaj za upravu
CJELOVITO
Uspostava sustava do certifikata
Za organizacije koje sustav uvode prvi put ili ga moraju obnoviti.
- Opseg sustava i politika informacijske sigurnosti
- Metodologija i procjena rizika
- Izjava o primjenjivosti i plan obrade rizika
- Politike i postupci za odabrane kontrole
- Interni audit, upravina ocjena i podrška na certifikacijskom auditu
SVAKE GODINE
Održavanje i nadzorni auditi
Za organizacije s certifikatom koje sustav trebaju održavati između audita.
- Godišnja procjena rizika i ažuriranje dokumentacije
- Interni audit i upravina ocjena
- Praćenje korektivnih radnji
- Priprema za nadzorni i recertifikacijski audit
OPSEG RADA
Što radimo u uspostavi sustava
01 / 04
Rizici i dokumentacija
- Opseg i kontekst organizacije
- Procjena i obrada rizika
- Izjava o primjenjivosti
- Politika informacijske sigurnosti
02 / 04
Kontrole iz Priloga A
- Kontrola pristupa i upravljanje imovinom
- Sigurnost dobavljača i usluga u oblaku
- Sigurnosne kopije i kontinuitet
- Upravljanje incidentima
03 / 04
Audit i certifikacija
- Interni audit
- Upravina ocjena
- Usporedba ponuda certifikacijskih tijela
- Podrška na certifikacijskom auditu
04 / 04
Povezani propisi
PITANJA
Česta pitanja o ISO 27001
Što je ISO 27001?
Međunarodna norma ISO/IEC 27001 propisuje zahtjeve za uspostavu, provedbu, održavanje i stalno poboljšavanje sustava upravljanja informacijskom sigurnošću. Važeće izdanje je iz 2022., a u Hrvatskoj je prihvaćeno kao HRN EN ISO/IEC 27001:2023. Primjenjiva je na organizacije svih veličina i djelatnosti.
Je li ISO 27001 certifikat obvezan?
Zakon o kibernetičkoj sigurnosti ne propisuje certifikat ISO 27001. Nalaže da se pri provedbi mjera uzimaju u obzir europske i međunarodne norme (članak 28.). Certifikat često traže kupci, natječaji i ugovori.
Zamjenjuje li ISO 27001 reviziju ili samoprocjenu po Zakonu o kibernetičkoj sigurnosti?
Ne zamjenjuje. Usklađenost s mjerama iz Uredbe provjerava se revizijom kibernetičke sigurnosti, a kod važnih subjekata i samoprocjenom (članak 31. Zakona). Sustav uspostavljen prema ISO 27001 pokriva velik dio istih mjera, pa olakšava i reviziju i samoprocjenu.
Koliko traje priprema za certifikaciju?
Ovisi o opsegu sustava, broju lokacija i postojećoj dokumentaciji. Nakon procjene stanja dobivate plan s rokovima.
Tko izdaje certifikat?
Akreditirano certifikacijsko tijelo, nakon certifikacijskog audita. Certifikacijsko tijelo birate sami. Mi pripremamo sustav i sudjelujemo na auditu uz vaš tim.
Koliko vrijedi certifikat?
Tri godine. U tom razdoblju certifikacijsko tijelo provodi nadzorne audite, a prije isteka recertifikacijski audit.
Što je izjava o primjenjivosti?
Dokument koji za svaku kontrolu iz Priloga A navodi primjenjuje li se, zašto i je li provedena. Obvezan je prema točki 6.1.3 norme.
Što se promijenilo u izdanju iz 2022.?
Kontrole iz Priloga A preustrojene su u četiri skupine, s 93 kontrole umjesto ranijih 114, uz nove kontrole poput obavještajnih podataka o prijetnjama i sigurnosti usluga u oblaku. Certifikati prema izdanju iz 2013. istekli su ili su povučeni nakon 31. listopada 2025.
Možete li provesti interni audit?
Možemo. Interni audit mora biti objektivan i nepristran, pa ga provodi auditor koji nije radio na uspostavi vašeg sustava.
Kako se ISO 27001 povezuje s NIS2 i GDPR-om?
Zakon o kibernetičkoj sigurnosti i članak 32. GDPR-a traže upravljanje rizicima i odgovarajuće tehničke i organizacijske mjere. Sustav prema ISO 27001 daje okvir u kojem se te mjere provode i dokumentiraju. Usporedbu po mjerama donosi vodič o NIS2 i ISO 27001.
POVEZANO
Vodiči i povezane usluge
- ISO 27001 certifikat za tvrtke VODIČSustav upravljanja, procjena rizika, kontrole iz Priloga A i certifikacijski audit.
- NIS2 i ISO 27001 VODIČKoje mjere iz Zakona o kibernetičkoj sigurnosti pokriva sustav prema normi.
- ISO 27001 edukacija EDUKACIJAOsposobljavanje tima koji uspostavlja i održava sustav.
- NIS2 savjetovanje i usklađivanje USLUGAMjere iz Uredbe o kibernetičkoj sigurnosti za ključne i važne subjekte.
- Samoprocjena kibernetičke sigurnosti USLUGASlužbena samoprocjena za važne subjekte, najmanje jednom u dvije godine.
- Usluge kibernetičke sigurnosti USLUGAVanjski CISO, procjena rizika, testiranje i edukacija.
KONTAKT
Zatražite besplatnu konzultaciju
Pošaljite nam djelatnost, broj zaposlenika i lokacija. Javit ćemo se s prijedlogom za procjenu stanja prema normi ISO 27001.
- ODGOVOR U 1 RADNOM DANU
- UGOVOR O POVJERLJIVOSTI NA ZAHTJEV
- BEZ OBVEZE