Na kratko
ISO/IEC 27001:2022 je mednarodni standard z zahtevami za sistem upravljanja varovanja informacij. Uvedba pri nas poteka v petih fazah – od analize vrzeli do podpore na certifikacijski presoji –, certifikat pa izda neodvisen akreditiran certifikacijski organ. Za zavezance po ZInfV-1 je sistem sistematična in dokazljiva podlaga za večino ukrepov za obvladovanje tveganj.
Za koga je uvedba ISO 27001 smiselna?
- za podjetja, ki jih k certifikatu vodijo kupci, razpisi ali zavarovalnice;
- za zavezance po ZInfV-1, ki potrebujejo dokazljiv sistem upravljanja tveganj;
- za razvojna podjetja in ponudnike storitev v oblaku;
- za proizvodna podjetja s prepletenim IT- in OT-okoljem.
Kako poteka uvedba ISO 27001?
Projekt teče v petih fazah. Vsaka se zaključi s predajo opredeljenih rezultatov; delavnice izvajamo na vaši lokaciji, vmes potekajo redni usklajevalni sestanki.
-
Analiza obstoječega stanja
Pregled dokumentacije, procesov in sistemov, intervjuji z vodstvom in ključnimi zaposlenimi, kontekst organizacije, deležniki in obseg sistema.
Rezultat: poročilo o analizi vrzeli z akcijskim načrtom ter opredeljen kontekst in obseg SUVI.
-
Procesi in popis sredstev
Popis poslovnih procesov in informacijskih sredstev (strojna in programska oprema, podatki, storitve, ljudje, lokacije), določitev lastnikov, vrednotenje po zaupnosti, celovitosti in razpoložljivosti ter tehnični pregled.
Rezultat: register sredstev, popis procesov in povzetek ugotovitev tehničnega pregleda.
-
Ocena tveganj
Metodologija ocenjevanja, ocena verjetnosti in vplivov, določitev sprejemljive ravni tveganj in izbira kontrol iz Priloge A.
Rezultat: metodologija, register tveganj, načrt obravnavanja tveganj in Izjava o uporabnosti (SoA).
-
Dokumentacija
Krovna politika, poslovnik sistema, cilji in kazalniki ter pravilniki in postopki za kontrole iz Priloge A – od upravljanja dostopov do obvladovanja incidentov in dobaviteljev.
Rezultat: dokumentacija SUVI, pripravljena za potrditev vodstva.
-
Uvedba in priprava na certifikacijo
Uvedba kontrol, usposabljanje zaposlenih in vodstva, notranja presoja, vodstveni pregled, odprava neskladnosti in podpora na certifikacijski presoji (1. in 2. del).
Rezultat: poročilo o notranji presoji, zapisnik vodstvenega pregleda in pripravljenost na certifikacijsko presojo.
Kaj dobite?
| Rezultat | Faza |
|---|---|
| Poročilo o analizi vrzeli z akcijskim načrtom | 1 |
| Register informacijskih sredstev in popis procesov | 2 |
| Povzetek ugotovitev tehničnega pregleda | 2 |
| Metodologija ocenjevanja tveganj in register tveganj | 3 |
| Načrt obravnavanja tveganj in Izjava o uporabnosti (SoA) | 3 |
| Politike, pravilniki in postopki SUVI | 4 |
| Poročilo o notranji presoji in zapisnik vodstvenega pregleda | 5 |
| Podpora na certifikacijski presoji in odzivno poročilo | 5 |
Zakaj je del uvedbe tudi tehnični pregled?
Certifikacijski presojevalec ne preverja le dokumentov, temveč tudi, ali kontrole v praksi delujejo. Zato v drugi fazi izvedemo tehnični pregled: skeniranje ranljivosti, odkrivanje »shadow IT«, preverjanje konfiguracij omrežne opreme in segmentacije, varnostnih kopij in privilegiranih dostopov ter pregled pogodb z dobavitelji. Ugotovitve neposredno vplivajo na oceno tveganj in izbiro kontrol.
Kako se ISO 27001 povezuje z ZInfV-1, CRA in drugimi standardi?
- ZInfV-1 (NIS2): sistem po ISO/IEC 27001 pokrije večino ukrepov za obvladovanje tveganj; posebej je treba urediti samoregistracijo, prijavo pomembnih incidentov in odgovornost vodstva. Primerjava ISO 27001 in ZInfV-1
- CRA: kontrole za upravljanje tehničnih ranljivosti (A.8.8) in varen razvoj (A.8.25–A.8.29) so izhodišče za procese, ki jih akt o kibernetski odpornosti zahteva za izdelke. Več o CRA
- ISO 22301 in ISO 9001: enaka struktura zahtev omogoča en integriran sistem vodenja z eno notranjo presojo in enim vodstvenim pregledom.
- ISO/IEC 27701:2025: za upravljanje zasebnosti je od izdaje 2025 na voljo kot samostojen standard, ki ga je mogoče certificirati.
Kaj sledi po pridobitvi certifikata?
Certifikat velja tri leta. V tem obdobju certifikacijski organ najmanj enkrat letno izvede nadzorno presojo, pred iztekom veljavnosti pa presojo za ponovno certifikacijo. Sistem je treba ves čas vzdrževati: ponovno oceniti tveganja, izvesti notranjo presojo in vodstveni pregled ter usposabljati zaposlene. To lahko prevzamemo v okviru vzdrževanja ali vCISO.
Koliko stane uvedba ISO 27001?
Cena je odvisna od obsega sistema, trenutne zrelosti in razpoložljivosti vaših ljudi. Ponudbo s fazami, rezultati in časovnico pripravimo po uvodnem posvetu. Stroški certifikacijskega organa niso del naše ponudbe. Sestavo stroškov podrobno pojasnjujemo v članku Koliko stane ISO 27001 v Sloveniji.
Pogosta vprašanja o ISO 27001
Kdo izda certifikat ISO/IEC 27001?
Neodvisen akreditiran certifikacijski organ, ki ga izberete sami. Presoja poteka v dveh delih: v prvem organ preveri dokumentacijo in pripravljenost, v drugem pa delovanje sistema v praksi.
Ali je certifikat ISO 27001 za zavezance po ZInfV-1 obvezen?
Ne. ZInfV-1 ne zahteva certifikata, zahteva pa ukrepe za obvladovanje tveganj in njihovo dokazovanje. Sistem po ISO/IEC 27001 je za to sistematična podlaga, certifikat pa neodvisno potrdi, da sistem deluje.
Kaj je Izjava o uporabnosti (SoA)?
Dokument, ki za vsako kontrolo iz Priloge A standarda navede, ali se uporablja, zakaj je vključena ali izključena in ali je izvedena. Je eden ključnih dokumentov, ki jih pregleda certifikacijski presojevalec.
Kako dolgo velja certifikat ISO 27001?
Tri leta. V tem obdobju certifikacijski organ najmanj enkrat letno izvede nadzorno presojo, pred iztekom veljavnosti pa presojo za ponovno certifikacijo.
Ali moramo vso dokumentacijo pripraviti na novo?
Ne. Pregledamo obstoječe politike in postopke, na primer iz sistema ISO 9001 ali s področja varstva osebnih podatkov, jih vključimo v sistem in dopolnimo le, kar manjka.
Viri
- ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection – Information security management systems – Requirements (ISO)
- Zakon o informacijski varnosti (ZInfV-1), Uradni list RS
- URSIV – Pojasnila k ZInfV-1, različica 1.4 (januar 2026)
Zadnja posodobitev: · Pripravila ekipa Regulus Ai
Želite oceno obsega in časovnice za vašo organizacijo?
Dogovorite uvodni posvet