ISO/IEC 27001:2022 · Hrvatska
Implementacija ISO 27001 standarda u Hrvatskoj
Oznaka u Hrvatskoj: HRN EN ISO/IEC 27001:2023
ISO/IEC 27001 je vodeći međunarodni standard za sustav upravljanja informacijskom sigurnošću (ISMS). Definira kako organizacija identificira rizike za informacije i sustavno njima upravlja — kroz ljude, procese i tehnologiju.
Što je ISO/IEC 27001:2022?
ISO 27001 štiti tri svojstva informacija: povjerljivost, cjelovitost i dostupnost. Revizija iz 2022. donijela je moderniziran Aneks A s 93 kontrole u četiri teme (organizacijske, kadrovske, fizičke i tehnološke), uključujući nove kontrole za cloud usluge, obavještajne podatke o prijetnjama i sigurno kodiranje.
Certifikat je danas praktički ulaznica za ozbiljne B2B ugovore u IT sektoru, financijama i radu s javnim sektorom — klijenti njime skraćuju vlastite provjere dobavljača. Uz to, ISMS je prirodna osnova za usklađivanje s NIS2 direktivom, GDPR-om i sektorskim propisima o informacijskoj sigurnosti.
Aneks A — sigurnosne kontrole po kategorijama
93 kontrole u 4 teme, odabrane na temelju procjene rizika i dokumentirane u Izjavi o primjenjivosti (SoA):
Organizacijske kontrole — 37
Politike sigurnosti informacija, uloge i odgovornosti, upravljanje informacijskom imovinom i dobavljačima, kontinuitet sigurnosti i usklađenost s propisima.
Kadrovske kontrole — 8
Provjera prije zapošljavanja, uvjeti rada i povjerljivosti, edukacija i podizanje svijesti zaposlenika, disciplinski postupak za povrede sigurnosti.
Fizičke kontrole — 14
Fizički zaštićene zone, kontrola pristupa prostorijama, zaštita opreme od kvarova i prijetnji, sigurno uklanjanje ili ponovna uporaba medija.
Tehnološke kontrole — 34
Kontrola pristupa sustavima, kriptografija, redovita izrada sigurnosnih kopija, bilježenje i praćenje događaja, zaštita od zlonamjernog softvera i siguran razvoj softvera.
ISO/IEC 27001 i Zakon o kibernetičkoj sigurnosti
Zakonska obveza — mjere, a ne certifikat
Zakon o kibernetičkoj sigurnosti („Narodne novine“, br. 14/24) na snazi je od 15. veljače 2024. i prenosi EU NIS2 direktivu, a Uredba o kibernetičkoj sigurnosti (NN 135/24) razrađuje kriterije razvrstavanja subjekata i mjere upravljanja rizicima. Ključni i važni subjekti provode mjere upravljanja rizicima i prijavu značajnih incidenata, uz reviziju kibernetičke sigurnosti kod ključnih i samoprocjenu kod važnih subjekata; nadzor provodi nadležno tijelo prema sektoru — u većini sektora Nacionalni centar za kibernetičku sigurnost (NCSC-HR) pri SOA-i kao središnjem državnom tijelu, a u bankarstvu, na financijskom tržištu i u elektroničkim komunikacijama HNB, HANFA odnosno HAKOM.
Certifikat prema ISO/IEC 27001 nije propisan kao obveza — ali standard daje gotovu strukturu kojom se te mjere postavljaju i dokazuju, pred nadzorom i pred partnerima.
Niste sigurni jeste li ključni ili važni subjekt? Javite nam se — besplatno ćemo procijeniti opseg posla i predložiti plan.
Faze implementacije
Stvarne faze kroz koje vodimo svaki projekt uvođenja ISO/IEC 27001 standarda — od pripreme do certifikata, koji dolazi tek na kraju:
Poboljšavanje i popravne radnje
Koraci prate strukturu točaka 4–10 samog standarda, pa je napredak projekta ujedno i dokaz sukladnosti na auditu. Niste sigurni jeste li usklađeni s ovim zahtjevima? Provjerite kratkom samoprocjenom na dnu stranice.
Kontekst organizacije i opseg ISMS-a
Analiziramo unutarnja i vanjska pitanja i zainteresirane strane te precizno definiramo opseg — koje lokacije, procesi i sustavi ulaze u ISMS.
Vodstvo i politika sigurnosti
Uprava usvaja Politiku sigurnosti informacija, dodjeljuju se uloge i odgovornosti i osiguravaju resursi.
Procjena i tretman rizika
Srce standarda: popis informacijske imovine, identifikacija prijetnji i ranjivosti, ocjena rizika i odabir kontrola iz Aneksa A. Rezultat su Plan tretmana rizika i Izjava o primjenjivosti (SoA).
Podrška: resursi, kompetencije, dokumentacija
Procedure i zapisi, edukacije i podizanje svijesti — od phishing testova do pravila čistog stola i upravljanja lozinkama.
Operativna primjena kontrola
Kontrole iz SoA ulaze u praksu: upravljanje pristupom, kriptografija, sigurnosne kopije, incidenti, sigurnost dobavljača, kontinuitet.
Praćenje, mjerenje i interni audit
Pokazatelji djelotvornosti, interni audit cijelog ISMS-a i upravina ocjena — obvezni dokazi za certifikaciju.
Poboljšavanje i popravne radnje
Nesukladnosti se analiziraju i otklanjaju; sustav ulazi u PDCA ciklus stalnog poboljšavanja.
Put do certifikata
Certifikaciju provodi neovisno akreditirano certifikacijsko tijelo, u dvije faze.
Preduvjet svega: sustav je implementiran i primijenjen u praksi — ispunjeni su svi zahtjevi standarda, proveden je interni audit i upravina ocjena.
Provjera je li ISMS dokumentiran u skladu sa standardom i spreman za Fazu 2. Intervjui sa zaposlenicima i pregled dokaza da kontrole doista funkcioniraju. Nakon zatvaranja nalaza izdaje se certifikat s rokom valjanosti od 3 godine.
Prve godine nakon certifikacije nadzorni audit provjerava primjenjuje li se sustav i dalje i unaprjeđuje li se.
Druge godine slijedi još jedan nadzorni audit, uz provjeru jesu li otklonjeni nalazi s prethodnog nadzora.
Prije isteka treće godine recertifikacijski audit obnavlja certifikat na sljedeće tri godine.
Prednosti uvođenja standarda
Međunarodno priznat dokaz da ozbiljno štitite podatke — sve češće uvjet za ugovore i natječaje.
Rizici se tretiraju prije incidenta, što smanjuje vjerojatnost skupih curenja podataka.
Solidna osnova za NIS2, GDPR i zakone o informacijskoj sigurnosti.
Izdvajanje na tržištu, posebno u IT, financijskom i telekomunikacijskom sektoru.
Ilustrativan, tipičan scenario koji često čujemo od klijenata — ne predstavlja konkretnog, imenovanog klijenta.
“Prije ISO/IEC 27001 nismo ni znali koliko informacijske imovine zapravo imamo — serveri, baze, ugovori, pristupi zaposlenika, sve razbacano bez evidencije. Tijekom implementacije napravili smo registar imovine, klasificirali podatke prema povjerljivosti, procijenili informacijske rizike i napisali plan kontinuiteta poslovanja za slučaj da nam padne sustav. Certifikat je bio povod, ali danas točno znamo što štitimo i od čega.”
— čest scenario naših klijenata
Edukacije za ISO/IEC 27001 na hrvatskom jeziku — od osnovnog razumijevanja standarda do tečaja za internog auditora. Održavamo ih online i uživo u vašim prostorijama, po dogovoru, za cijelu Hrvatsku.
Česta pitanja o ISO/IEC 27001:2022
Koliko traje implementacija ISO 27001?
Prije svega ovisi o pristupu implementaciji i o tome koliko je vaša organizacija već sukladna — za male i srednje organizacije obično 4 do 8 mjeseci, ovisno o zrelosti procesa, opsegu sustava i raspoloživosti tima. Kod velikih sustava — više od 500 zaposlenika, više lokacija ili integrirani sustav više standarda — projekt realno traje i dulje od godinu dana; vodimo i takve klijente. Niže na ovoj stranici možete provjeriti svoju trenutnu razinu spremnosti kratkom samoprocjenom.
Je li ISO 27001 obvezan?
U Hrvatskoj Zakon o kibernetičkoj sigurnosti (NN 14/2024), na snazi od 15. veljače 2024, prenosi EU NIS2 direktivu, a Uredba o kibernetičkoj sigurnosti (NN 135/2024) razrađuje mjere upravljanja rizicima i kriterije za razvrstavanje subjekata. Nadzor provodi nadležno tijelo prema sektoru — u većini sektora Nacionalni centar za kibernetičku sigurnost (NCSC-HR) pri SOA-i kao središnjem državnom tijelu, a u bankarstvu, na financijskom tržištu i u elektroničkim komunikacijama HNB, HANFA odnosno HAKOM. Ni zakon ni uredba ne propisuju certifikat prema ISO/IEC 27001 — traže mjere, samoprocjenu i prijavu incidenata — ali standard daje gotovu strukturu kojom se ti zahtjevi pokrivaju i dokazuju pred nadzorom i partnerima. Tko je obuhvaćen i koji rokovi teku, objašnjavamo na stranici NIS2 i Zakon o kibernetičkoj sigurnosti.
Što je Aneks A?
93 sigurnosne kontrole u 4 teme: organizacijske, kadrovske, fizičke i tehnološke. Odabiru se na temelju procjene rizika i dokumentiraju u Izjavi o primjenjivosti (SoA).
Koja je razlika između ISO 27001 i NIST CSF?
ISO 27001 je certifikacijski standard za sustav upravljanja; NIST CSF je dobrovoljni okvir najboljih praksi. Odlično se dopunjuju i međusobno mapiraju.
Koliko vrijedi certifikat?
Tri godine, uz obvezne godišnje nadzorne provjere, a zatim recertifikacija.
Koliko košta implementacija ISO 27001?
Ne postoji fiksna cijena koja vrijedi za sve — trošak ovisi o području (djelatnosti) organizacije, njezinoj veličini i broju zaposlenika, odabranom standardu i postojećem stanju sustava. Pošaljite nam kratak opis svoje organizacije i besplatno ćemo pripremiti okvirnu ponudu prilagođenu vama.
📋 Provjerite točnu cijenu za vašu organizaciju →HRN EN ISO/IEC 27001:2023 certifikat — što znači?
Kada se traži HRN EN ISO/IEC 27001:2023 certifikat (odnosno ISO/IEC 27001:2022 certifikat), misli se na potvrdu koju neovisna akreditirana certifikacijska kuća izdaje organizaciji čiji je sustav sukladan svim zahtjevima ovog standarda. Nacionalno izdanje norme u Hrvatskoj sadržajno je identično međunarodnom izdanju — isti zahtjevi, iste točke, samo pod domaćom oznakom — zato se u natječajima pojavljuju obje oznake za isti standard.
Zašto se oznake razlikuju, a standard je isti?
Svaka zemlja članica europskog i međunarodnog sustava normizacije preuzima isti standard u vlastiti nacionalni katalog i dodaje mu nacionalni prefiks — u Hrvatskoj je to HRN. Sadržaj, struktura, klauzule i svi zahtjevi koje auditor provjerava pri certifikaciji ostaju potpuno identični bez obzira na to koja oznaka piše na dokumentu. Zato certifikat izdan prema jednoj oznaci u potpunosti pokriva i drugu — ne radi se o dva standarda, već o jednom te istom, samo pod dva imena.
Naša je primarna djelatnost implementacija i uvođenje standarda: pripremamo vašu organizaciju tako da certifikacijski audit prođe bez iznenađenja, a pojmove „ISO/IEC 27001:2022 certifikacija“ i „certifikat HRN EN ISO/IEC 27001:2023“ objašnjavamo jer ih klijenti upravo tako i traže. Što sve podrazumijevaju certifikacija, akreditacija, IAF i nadzorni auditi — pročitajte na stranici Certifikacija / ISO certifikat, a o oznakama u natječajima na stranici ISO standardi na natječajima.
Veza sa srodnim standardima
NIST Cybersecurity Framework (CSF) i ISO 27001 odlično se dopunjuju: NIST funkcije (Govern, Identify, Protect, Detect, Respond, Recover) mapiraju se izravno na kontrole Aneksa A, pa organizacije koje posluju s američkim tržištem često koriste oba. ISO 27701 proširuje ISMS na privatnost, ISO 22301 produbljuje kontinuitet poslovanja, a ISO 42001 pokriva upravljanje umjetnom inteligencijom na istim načelima. Standardi se uklapaju poput saća — kliknite na šesterokut kako biste otvorili taj standard.
Više o integriranom sustavu upravljanja
Integrirani sustav upravljanja (IMS) spaja dva ili više ISO standarda — na primjer ISO/IEC 27001 s ISO 9001 ili ISO 14001 — u jedan zajednički okvir dokumentacije, ciljeva i internih provjera, umjesto da svaki standard živi u svojoj paralelnoj proceduri.
Jedinstvena struktura (struktura visoke razine — HLS) koju dijele svi suvremeni ISO standardi. Zahvaljujući njoj politika kvalitete, upravljanje rizicima, interni auditi i upravina ocjena mogu biti zajednički za više standarda odjednom.
Svaki standard pojedinačno rješava jedan dio poslovanja — kvalitetu, okoliš, sigurnost, informacije. Kad organizacija uvodi više njih, razdvojeni sustavi brzo dupliraju istu dokumentaciju i iste auditore.
Manje dupliranja procedura, jednostavnije upravljanje, jači nadzor nad procesima, učinkovitije korištenje resursa i lakša priprema za kombinirani certifikacijski audit.
ISO/IEC 27001 može se implementirati samostalno ili kao dio integriranog sustava — odluka ovisi o broju standarda koje ciljate i o tome uvodite li ih istodobno ili postupno.
Provjerite spremnost vaše organizacije
Odgovorite na nekoliko pitanja i dobit ćete okvirnu procjenu trenutne razine spremnosti vaše organizacije za ISO/IEC 27001.
Ova samoprocjena daje isključivo okviran (indikativan) rezultat spremnosti. Ne predstavlja certifikaciju, službeni audit niti formalnu potvrdu sukladnosti sa standardom.
Neke od naših referenci
Više od 400 organizacija u Crnoj Gori i regiji prošlo je kroz implementaciju s nama — od banaka i državnih tijela do proizvodnje, IT-a, laboratorija i ugostiteljstva.
Ovo su samo neki od naših klijenata. Više o nama →
Zatražite besplatnu konzultaciju
Procijenit ćemo opseg posla i predložiti realan plan i proračun za vašu organizaciju. Nazovite nas ili pošaljite upit — odgovaramo u roku od 24h.