Na kratko
Certifikat ISO/IEC 27001 velja tri leta z letnimi nadzornimi presojami, zato je treba sistem ves čas vzdrževati. Vzdrževanje izvajamo v letnem ciklu, vCISO pa je stalno vodenje informacijske varnosti v naročniškem modelu – brez zaposlitve CISO. Formalne odločitve še naprej sprejema vaše vodstvo.
Kako poteka letni cikel vzdrževanja certificiranega SUVI?
| Obdobje | Aktivnosti |
|---|---|
| 1.–3. mesec | korektivni ukrepi po zadnji presoji |
| 4.–6. mesec | ponovna ocena tveganj in posodobitev Izjave o uporabnosti (SoA) |
| 7.–9. mesec | usposabljanje zaposlenih in notranja presoja |
| 10.–12. mesec | cilji varovanja informacij, vodstveni pregled in nadzorna presoja |
Kateri obseg vzdrževanja izbrati?
| Storitev | Vzdrževanje sistema | Vzdrževanje s svetovalno podporo |
|---|---|---|
| Notranja presoja SUVI s poročilom in predlogom korektivnih ukrepov (9.2) | 1× letno | 1× letno |
| Vhodni podatki in zapisnik vodstvenega pregleda (9.3) | 1× letno | 1× letno |
| Priprava na nadzorno presojo oz. presojo za ponovno certifikacijo, sodelovanje na presoji in odzivno poročilo | vključeno | vključeno |
| Ocena tveganj ter posodobitev registra tveganj, načrta obravnavanja tveganj in Izjave o uporabnosti (6.1.2, 6.1.3, 8.2) | 1× letno | 1× letno in ob pomembnih spremembah |
| Vzdrževanje dokumentacije SUVI ob spremembah procesov, sistemov in zakonodaje (7.5) | vključeno | vključeno |
| Usposabljanje in ozaveščanje zaposlenih (7.2, 7.3) | 1× letno | 2× letno |
| Spremljanje ciljev in kazalnikov varovanja informacij (6.2, 9.1) | 1× letno | četrtletno |
| Obveščanje o spremembah zakonodaje in standardov | vključeno | vključeno |
| Pregled varnosti dobaviteljev (Priloga A, 5.19–5.22) | – | 1× letno |
| Četrtletni pregled stanja SUVI z vodstvom | – | vključeno |
| Svetovalna podpora: varnostni dogodki in incidenti, nove storitve in sistemi, varnostni vprašalniki naročnikov | – | dogovorjeno število ur mesečno |
| Podpora pri obveznostih po ZInfV-1 (za zavezance): ukrepi za obvladovanje tveganj, postopki prijave incidentov, usposabljanje odgovornih oseb | – | vključeno |
Notranjo presojo izvede presojevalec, ki ni sodeloval pri pripravi in vzdrževanju dokumentacije, kar zagotavlja objektivnost in nepristranskost presoje (točka 9.2.2 standarda).
Kaj je vCISO in kdaj se splača?
vCISO je stalno vodenje informacijske varnosti v naročniškem modelu: redni pregledi, registri, poročanje vodstvu ter priprava na presoje in nadzor – brez zaposlitve CISO. Splača se, ko potrebujete kontinuiteto in dokazljivost skozi vse leto.
4–6 ur mesečno
Osnovno vodenje sistema in poročanje vodstvu.
8–12 ur mesečno
Redno vodenje programa in redno poročanje vodstvu.
16+ ur mesečno
Večja kompleksnost, tudi IT/OT-okolja, ter priprava na presoje in nadzor.
Kaj naredimo v prvih 30 dneh?
Začetni register sredstev in tveganj
Pregled ključnih sistemov, podatkov in dobaviteljev ter največjih tveganj.
Pregled dokazil
Kaj že obstaja, kaj manjka in kaj bi zahteval presojevalec ali nadzor.
Prioritetni načrt ukrepov
Ukrepi z nosilci in roki, usklajeni z vodstvom.
Poročanje vodstvu
Dogovorjen način in pogostost poročanja o stanju in tveganjih.
Pogosta vprašanja o vCISO in vzdrževanju
Kakšna je razlika med vCISO in svetovanjem?
vCISO je stalen naročniški model: vodenje programa informacijske varnosti, redni pregledi, registri, naloge, poročila vodstvu in sled potrditev. Svetovanje je praviloma enkratno ali projektno. vCISO zagotavlja kontinuiteto in dokazljivost skozi vse leto.
Ali vCISO prevzame odgovornost namesto vodstva?
Ne. vCISO vodi izvedbo in pripravi predloge politik, ukrepov in poročil, formalne odločitve – sprejem politik, sprejem preostalih tveganj, pragove v analizi vpliva na poslovanje in potrditev poročil – pa sprejme vodstvo organizacije.
Kako hitro lahko začnemo?
Začnemo z oceno obsega (tip zavezanca, sektor, obseg) in načrtom prvih 30 dni: začetni register sredstev in tveganj, pregled dokazil, prioritetni načrt ukrepov in vzpostavitev poročanja vodstvu.
Kdo izvede notranjo presojo, če sistem vzdržujete vi?
Notranjo presojo izvede presojevalec, ki ni sodeloval pri pripravi dokumentacije (točka 9.2.2 standarda). Tako je presoja objektivna, tudi če sistem vzdržujemo mi.
Viri
- ISO/IEC 27001:2022 – Information security management systems – Requirements (ISO)
- URSIV – Pojasnila k ZInfV-1, različica 1.4 (januar 2026)
Zadnja posodobitev: · Pripravila ekipa Regulus Ai
Želite predlog obsega vzdrževanja ali vCISO?
Dogovorite uvodni posvet