ISO/IEC 27001:2022 · Bosna i Hercegovina
Implementacija ISO 27001 standarda u Bosni i Hercegovini
Oznaka u BiH: BAS EN ISO/IEC 27001:2023
ISO/IEC 27001 je vodeći međunarodni standard za sistem menadžmenta sigurnošću informacija (ISMS). Definira kako organizacija identificira rizike po informacije i sistematski njima upravlja — kroz ljude, procese i tehnologiju.
Šta je ISO/IEC 27001:2022?
ISO 27001 štiti tri svojstva informacija: povjerljivost, integritet i dostupnost. Revizija 2022 donijela je modernizovan Aneks A sa 93 kontrole u četiri teme (organizacione, kadrovske, fizičke i tehnološke), uključujući nove kontrole za cloud servise, prijetnje obavještavanje i sigurno kodiranje.
Certifikat je danas praktično ulaznica za ozbiljne B2B ugovore u IT sektoru, finansijama i radu sa javnim sektorom — klijenti njime skraćuju sopstvene provjere dobavljača. Uz to, ISMS je prirodna osnova za usklađivanje sa NIS2 direktivom, GDPR-om i sektorskim propisima o informacionoj sigurnosti.
Aneks A — sigurnosne kontrole po kategorijama
93 kontrole u 4 teme, birane na osnovu procjene rizika i dokumentirane u Izjavi o primjenljivosti (SoA):
Organizacione kontrole — 37
Politike sigurnosti informacija, uloge i odgovornosti, upravljanje informacionom imovinom i dobavljačima, kontinuitet sigurnosti i usklađenost sa propisima.
Kadrovske kontrole — 8
Provjera prije zapošljavanja, uslovi rada i povjerljivosti, obuka i podizanje svijesti zaposlenih, disciplinski postupak za povrede sigurnosti.
Fizičke kontrole — 14
Fizički obezbijeđene zone, kontrola pristupa prostorijama, zaštita opreme od otkaza i prijetnji, sigurno uklanjanje ili ponovna upotreba medija.
Tehnološke kontrole — 34
Kontrola pristupa sistemima, kriptografija, redovan bekap, logovanje i praćenje, zaštita od malvera i siguran razvoj softvera.
ISO/IEC 27001 i propisi o informacionoj sigurnosti u BiH
Nije zakonska obaveza — traže je kupci
U Bosni i Hercegovini nema državnog zakona koji prenosi EU NIS2 direktivu. Nacrt zakona o informacionoj sigurnosti, utvrđen u Federaciji BiH krajem 2022, povučen je iz parlamentarne procedure, a u Republici Srpskoj važi Zakon o informacionoj bezbjednosti („Službeni glasnik Republike Srpske“, broj 70/11) — stariji od direktive, pa je i ne prenosi. Materija je inače podijeljena između države, entiteta i Brčko distrikta.
Zato BAS EN ISO/IEC 27001 ostaje dobrovoljan — traže ga kupci, banke i partneri iz EU, i najbrži je način da se dokaže da su podaci zaštićeni. Firme koje posluju sa EU tržištem standard uvode i zbog zahtjeva iz ugovora, ne zbog inspekcije.
Ako niste sigurni šta se od vas traži u konkretnom poslu ili tenderu, javite nam se — besplatno ćemo proceniti obim posla.
Faze implementacije
Stvarne faze kroz koje vodimo svaki projekat uvođenja ISO/IEC 27001 standarda — od pripreme do certifikata, koji dolazi tek na kraju:
Poboljšavanje i korektivne mjere
Koraci prate strukturu klauzula 4–10 samog standarda, pa je napredak projekta ujedno i dokaz usaglašenosti na auditu. Niste sigurni da li ste usaglašeni sa ovim zahtjevima? Provjerite kroz kratku samoprocjenu na dnu stranice.
Kontekst organizacije i obim ISMS-a
Analiziramo interna i eksterna pitanja i zainteresovane strane, i precizno definiramo obim — koje lokacije, procesi i sistemi ulaze u ISMS.
Liderstvo i politika sigurnosti
Rukovodstvo usvaja Politiku sigurnosti informacija, dodjeljuju se uloge i odgovornosti i obezbjeđuju resursi.
Procjena i tretman rizika
Srce standarda: popis informacione imovine, identifikacija prijetnji i ranjivosti, ocjena rizika i izbor kontrola iz Aneksa A. Rezultat su Plan tretmana rizika i Izjava o primjenljivosti (SoA).
Podrška: resursi, kompetencije, dokumentacija
Procedure i zapisi, obuke i podizanje svijesti — od phishing testova do pravila čistog stola i upravljanja lozinkama.
Operativna primjena kontrola
Kontrole iz SoA ulaze u praksu: upravljanje pristupom, kriptografija, bekap, incidenti, sigurnost dobavljača, kontinuitet.
Praćenje, mjerenje i interni audit
Pokazatelji efektivnosti, interni audit cijelog ISMS-a i pregled od strane rukovodstva — obavezni dokazi za certifikaciju.
Poboljšavanje i korektivne mjere
Neusaglašenosti se analiziraju i otklanjaju; sistem ulazi u PDCA ciklus stalnog poboljšavanja.
Put do certifikata
Certifikaciju sprovodi nezavisno akreditirano certifikacijsko tijelo, u dvije faze.
Preduslov svega: sistem je implementiran i primijenjen u praksi — svi zahtjevi standarda ispunjeni, sproveden interni audit i preispitivanje rukovodstva.
Provjera da li je ISMS dokumentiran u skladu sa standardom i spreman za Fazu 2. Intervjui sa zaposlenima i pregled dokaza da kontrole zaista funkcionišu. Nakon zatvaranja nalaza izdaje se certifikat sa važenjem od 3 godine.
Prve godine nakon certifikacije nadzorni audit provjerava da se sistem i dalje primjenjuje i unapređuje.
Druge godine slijedi još jedan nadzorni audit, uz provjeru da su nalazi sa prethodnog nadzora otklonjeni.
Prije isteka treće godine resertifikacioni audit obnavlja certifikat na naredne tri godine.
Prednosti uvođenja standarda
Međunarodno priznat dokaz da ozbiljno štitite podatke — sve češće uslov za ugovore i tendere.
Rizici se tretiraju prije incidenta, što smanjuje vjerovatnoću skupih curenja podataka.
Solidna osnova za NIS2, GDPR i zakone o informacionoj sigurnosti.
Izdvajanje na tržištu, posebno u IT, finansijskom i telekomunikacionom sektoru.
Ilustrativan, tipičan scenario koji često čujemo od klijenata — ne predstavlja konkretnog, imenovanog klijenta.
“Prije ISO/IEC 27001 nismo ni znali koliko informacione imovine zapravo imamo — serveri, baze, ugovori, pristupi zaposlenih, sve razbacano bez evidencije. Kroz implementaciju smo napravili registar imovine, klasifikovali podatke po povjerljivosti, procijenili informacione rizike i napisali plan kontinuiteta poslovanja za slučaj da nam padne sistem. Certifikat je bio povod, ali danas znamo tačno šta štitimo i od čega.”
— čest scenario naših klijenata
Obuke za ISO/IEC 27001 na bosanskom, srpskom i hrvatskom jeziku — od osnovnog razumijevanja standarda do obuke za internog auditora. Držimo ih online za cijelu Bosnu i Hercegovinu, a uživo po dogovoru.
Česta pitanja o ISO/IEC 27001:2022
Koliko traje implementacija ISO 27001?
Prije svega zavisi od pristupa implementaciji i od toga koliko je vaša organizacija već usaglašena — za male i srednje organizacije obično 4 do 8 mjeseci, zavisno od zrelosti procesa, obima sistema i raspoloživosti tima. Kod velikih sistema — preko 500 zaposlenih, više lokacija ili integrirani sistem od više standarda — projekat realno traje i preko godinu dana; i takve klijente vodimo. Ispod na ovoj stranici možete provjeriti vaš trenutni nivo spremnosti kroz kratku samoprocjenu.
Da li je ISO 27001 obavezan?
U Bosni i Hercegovini nema državnog zakona koji prenosi EU NIS2 direktivu. Nacrt zakona o informacionoj sigurnosti, utvrđen u Federaciji BiH krajem 2022, povučen je iz parlamentarne procedure, a u Republici Srpskoj važi Zakon o informacionoj bezbjednosti („Službeni glasnik Republike Srpske“, broj 70/11) — stariji od direktive, pa je i ne prenosi. Materija je inače podijeljena između države, entiteta i Brčko distrikta. Za razliku od Crne Gore, gdje zakon certifikat traži od ključnih subjekata, u BiH ISO/IEC 27001 ostaje dobrovoljan — traže ga kupci, banke, partneri iz EU i tenderi, a ne inspekcija. Šta NIS2 znači za firme u BiH koje rade sa kupcima iz EU, objašnjavamo na stranici NIS2 i informaciona sigurnost.
Šta je Aneks A?
93 sigurnosne kontrole u 4 teme: organizacione, kadrovske, fizičke i tehnološke. Biraju se na osnovu procjene rizika i dokumentiraju u Izjavi o primjenljivosti (SoA).
Koja je razlika između ISO 27001 i NIST CSF?
ISO 27001 je certifikacijski standard za sistem menadžmenta; NIST CSF je dobrovoljni okvir najboljih praksi. Odlično se dopunjuju i međusobno mapiraju.
Koliko važi certifikat?
Tri godine, uz obavezne godišnje nadzorne provjere, a zatim recertifikacija.
Koliko košta implementacija ISO 27001?
Ne postoji fiksna cijena koja važi za sve — trošak zavisi od oblasti (djelatnosti) organizacije, njene veličine i broja zaposlenih, izabranog standarda i postojećeg stanja sistema. Pošaljite nam kratak opis vaše organizacije i besplatno ćemo pripremiti okvirnu ponudu prilagođenu vama.
📋 Provjerite tačnu cijenu za vašu organizaciju →BAS EN ISO/IEC 27001 certifikat — šta znači?
Kada se traži BAS EN ISO/IEC 27001 certifikat (odnosno ISO/IEC 27001:2022 certifikat), misli se na potvrdu koju nezavisna akreditirana certifikacijska kuća izdaje organizaciji čiji je sistem usaglašen sa svim zahtjevima ovog standarda. Nacionalno izdanje standarda u Bosni i Hercegovini nosi identičan sadržaj kao međunarodno izdanje — isti zahtjevi, iste klauzule, samo pod domaćom oznakom — zato se na tenderima sreću obje oznake za isti standard.
Zašto se oznake razlikuju, a standard je isti?
Svaka zemlja članica evropskog i međunarodnog sistema standardizacije preuzima isti standard u sopstveni nacionalni katalog i dodaje mu nacionalni prefiks — u Bosni i Hercegovini je to BAS. Sadržaj, struktura, klauzule i svi zahtjevi koje auditor provjerava na certifikaciji ostaju potpuno identični bez obzira na to koja oznaka piše na dokumentu. Zato certifikat izdat po jednoj oznaci u potpunosti pokriva i drugu — ne radi se o dva standarda, već o jednom te istom, samo pod dva imena.
Naša primarna djelatnost je implementacija i uvođenje standarda: pripremamo vašu organizaciju tako da certifikacijski audit prođe bez iznenađenja, a pojmove „ISO/IEC 27001:2022 certifikacija“ i „certifikat BAS EN ISO/IEC 27001“ objašnjavamo jer ih klijenti upravo tako i traže. Šta sve podrazumijeva certifikacija, akreditacija, IAF i nadzorni auditi — pročitajte na stranici Certifikacija / ISO certifikat, a o oznakama na tenderima na stranici ISO standardi na tenderima.
Veza sa srodnim standardima
NIST Cybersecurity Framework (CSF) i ISO 27001 se odlično dopunjuju: NIST funkcije (Govern, Identify, Protect, Detect, Respond, Recover) mapiraju se direktno na kontrole Aneksa A, pa organizacije koje posluju sa američkim tržištem često koriste oba. ISO 27701 proširuje ISMS na privatnost, ISO 22301 produbljuje kontinuitet poslovanja, a ISO 42001 pokriva upravljanje vještačkom inteligencijom na istim principima. Standardi se uklapaju kao saće — kliknite na heksagon da otvorite taj standard.
Više o integriranom sistemu menadžmenta
Integrirani sistem menadžmenta (IMS) spaja dva ili više ISO standarda — na primjer ISO/IEC 27001 sa ISO 9001 ili ISO 14001 — u jedan zajednički okvir dokumentacije, ciljeva i internih provjera, umjesto da svaki standard živi u svojoj paralelnoj proceduri.
Jedinstvena struktura (visok nivo strukture — HLS) koju dijele svi moderni ISO standardi. Zahvaljujući njoj, politika kvaliteta, upravljanje rizicima, interni auditi i preispitivanje rukovodstva mogu biti zajednički za više standarda odjednom.
Svaki standard pojedinačno rješava jedan dio poslovanja — kvalitet, okolinu, sigurnost, informacije. Kad organizacija uvodi više njih, razdvojeni sistemi brzo dupliraju istu dokumentaciju i iste auditore.
Manje dupliranja procedura, jednostavnije upravljanje, jači nadzor nad procesima, efikasnije korišćenje resursa i lakša priprema za kombinovani certifikacijski audit.
ISO/IEC 27001 se može implementirati samostalno ili kao dio integriranog sistema — odluka zavisi od broja standarda koje ciljate i toga da li ih uvodite istovremeno ili postepeno.
Provjerite spremnost vaše organizacije
Odgovorite na nekoliko pitanja i dobit ćete okvirnu procjenu trenutnog nivoa spremnosti vaše organizacije za ISO/IEC 27001.
Ova samoprocjena pruža isključivo okviran (indikativan) rezultat spremnosti. Ne predstavlja certifikaciju, zvaničan audit niti formalnu potvrdu usaglašenosti sa standardom.
Neke od naših referenci
Više od 400 organizacija u Crnoj Gori i regionu prošlo je kroz implementaciju s nama — od banaka i državnih organa do proizvodnje, IT-a, laboratorija i ugostiteljstva.
Ovo su samo neki od naših klijenata. Više o nama →
Zatražite besplatnu konsultaciju
Procijenit ćemo obim posla i predložiti realan plan i budžet za vašu organizaciju. Pozovite nas ili pošaljite upit — odgovaramo u roku od 24h.