ISO/IEC 27001:2022 · Северна Македонија
Имплементација на стандардот ISO 27001 во Северна Македонија
Ознака во Северна Македонија: МКС EN ISO/IEC 27001:2023
ISO/IEC 27001 е водечкиот меѓународен стандард за систем за управување со безбедноста на информациите (ISMS). Дефинира како организацијата ги идентификува ризиците по информациите и систематски управува со нив — преку луѓето, процесите и технологијата.
Што е ISO/IEC 27001:2022?
ISO 27001 ги штити трите својства на информациите: доверливост, интегритет и достапност. Ревизијата од 2022 година донесе модернизиран Анекс А со 93 контроли во четири теми (организациски, кадровски, физички и технолошки), вклучувајќи нови контроли за услуги во облак, разузнавање за закани и безбедно кодирање.
Сертификатот денес е практично влезница за сериозни B2B договори во IT секторот, финансиите и работата со јавниот сектор — клиентите со него ги скратуваат сопствените проверки на добавувачите. Освен тоа, ISMS е природна основа за усогласување со директивата NIS2, со GDPR и со секторските прописи за информациска безбедност.
Анекс А — безбедносни контроли по категории
93 контроли во 4 теми, избрани врз основа на процената на ризикот и документирани во Изјавата за применливост (SoA):
Организациски контроли — 37
Политики за безбедност на информациите, улоги и одговорности, управување со информациските средства и со добавувачите, континуитет на безбедноста и усогласеност со прописите.
Кадровски контроли — 8
Проверка пред вработување, услови за работа и доверливост, обука и подигање на свеста на вработените, дисциплинска постапка за повреди на безбедноста.
Физички контроли — 14
Физички обезбедени зони, контрола на пристапот до просториите, заштита на опремата од откази и закани, безбедно отстранување или повторна употреба на медиумите.
Технолошки контроли — 34
Контрола на пристапот до системите, криптографија, редовни резервни копии (бекап), логирање и следење, заштита од малициозен софтвер и безбеден развој на софтвер.
ISO/IEC 27001 и Законот за безбедност на мрежни и информациски системи
Законска обврска — усогласување со NIS2
Законот за безбедност на мрежни и информациски системи („Службен весник на РСМ“ бр. 135/2025) ја усогласува Северна Македонија со директивата NIS2 на ЕУ: ги определува суштинските и важните субјекти во јавниот сектор и во повеќе стопански сектори, воведува задолжителни мерки за управување со ризиците, пријавување инциденти, построг надзор и казни до 2% од вкупниот годишен приход. Се применува од 1 јануари 2026 година.
Сертификат според ISO/IEC 27001 не е пропишан како обврска, но техничките барања се пишувани во ист дух — па стандардот е најбрзиот начин обврските да се покријат и да се докажат, и пред надзорот и пред купувачите.
Ако не сте сигурни дали законот се однесува на вашата организација или што точно треба да воспоставите, јавете ни се — бесплатно ќе го процениме обемот на работа и ќе предложиме план.
Фази на имплементацијата
Вистинските фази низ кои го водиме секој проект за воведување на стандардот ISO/IEC 27001 — од подготовката до сертификатот, кој доаѓа дури на крајот:
Подобрување и корективни мерки
Чекорите ја следат структурата на клаузулите 4–10 од самиот стандард, па напредокот на проектот е воедно и доказ за сообразност на аудитот. Не сте сигурни дали сте усогласени со овие барања? Проверете преку кратката самопроценка на дното на страницата.
Контекст на организацијата и обем на ISMS
Ги анализираме внатрешните и надворешните прашања и заинтересираните страни и прецизно го дефинираме обемот — кои локации, процеси и системи влегуваат во ISMS.
Лидерство и политика за безбедност
Раководството ја усвојува Политиката за безбедност на информациите, се доделуваат улоги и одговорности и се обезбедуваат ресурси.
Процена и третман на ризиците
Срцето на стандардот: попис на информациските средства, идентификација на заканите и ранливостите, оценка на ризиците и избор на контроли од Анекс А. Резултат се Планот за третман на ризиците и Изјавата за применливост (SoA).
Поддршка: ресурси, компетентност, документација
Процедури и записи, обуки и подигање на свеста — од фишинг тестови до правилото за чиста маса и управувањето со лозинки.
Оперативна примена на контролите
Контролите од SoA влегуваат во праксата: управување со пристапот, криптографија, резервни копии, инциденти, безбедност на добавувачите, континуитет.
Следење, мерење и интерен аудит
Показатели за ефективноста, интерен аудит на целиот ISMS и преглед од раководството — задолжителни докази за сертификацијата.
Подобрување и корективни мерки
Несообразностите се анализираат и се отстрануваат; системот влегува во PDCA циклусот на постојано подобрување.
Патот до сертификатот
Сертификацијата ја спроведува независно акредитирано сертификационо тело, во две фази.
Предуслов за сè: системот е имплементиран и применет во пракса — сите барања на стандардот се исполнети, спроведени се интерен аудит и преглед од раководството.
Проверка дали ISMS е документиран во согласност со стандардот и подготвен за Фаза 2. Интервјуа со вработените и преглед на доказите дека контролите навистина функционираат. По затворањето на наодите се издава сертификат со важност од 3 години.
Првата година по сертификацијата, надзорната проверка потврдува дека системот и понатаму се применува и унапредува.
Втората година следува уште една надзорна проверка, при што се проверува дали наодите од претходниот надзор се отстранети.
Пред истекот на третата година, ресертификациската проверка го обновува сертификатот за наредните три години.
Предности од воведувањето на стандардот
Меѓународно признат доказ дека сериозно ги штитите податоците — сè почест услов за договори и тендери.
Ризиците се третираат пред инцидентот, што ја намалува веројатноста за скапи протекувања на податоци.
Солидна основа за NIS2, GDPR и законите за информациска безбедност.
Издвојување на пазарот, особено во IT, финансискиот и телекомуникацискиот сектор.
Илустративно, типично сценарио што често го слушаме од клиентите — не претставува конкретен, именуван клиент.
„Пред ISO/IEC 27001 не ни знаевме колку информациски средства всушност имаме — сервери, бази, договори, пристапи на вработените, сè расфрлано без евиденција. Преку имплементацијата направивме регистар на средствата, ги класифициравме податоците според доверливоста, ги проценивме информациските ризици и напишавме план за континуитет на работењето за случај системот да ни падне. Сертификатот беше повод, но денес точно знаеме што штитиме и од што.“
— често сценарио кај нашите клиенти
Обуки за ISO/IEC 27001 — од основно разбирање на стандардот до обука за интерен аудитор. Ги одржуваме онлајн за цела Северна Македонија, а во живо по договор.
Чести прашања за ISO/IEC 27001:2022
Колку трае имплементацијата на ISO 27001?
Пред сè зависи од пристапот кон имплементацијата и од тоа колку вашата организација е веќе усогласена — за мали и средни организации обично од 4 до 8 месеци, зависно од зрелоста на процесите, обемот на системот и расположливоста на тимот. Кај големите системи — над 500 вработени, повеќе локации или интегриран систем од повеќе стандарди — проектот реално трае и повеќе од една година; водиме и такви клиенти. Подолу на оваа страница можете да го проверите вашето моментално ниво на подготвеност преку кратка самопроценка.
Дали ISO 27001 е задолжителен?
Во Северна Македонија Законот за безбедност на мрежни и информациски системи („Службен весник на РСМ“ бр. 135/2025) ги усогласува прописите со директивата NIS2 на ЕУ: ги опфаќа суштинските и важните субјекти, воведува мерки за управување со ризиците, пријавување инциденти и построг надзор, а се применува од 1 јануари 2026 година. Сертификат според ISO/IEC 27001 не е пропишан како обврска, но техничките барања се пишувани во ист дух — па стандардот е најбрзиот начин обврските да се покријат и да се докажат.
Што е Анекс А?
93 безбедносни контроли во 4 теми: организациски, кадровски, физички и технолошки. Се избираат врз основа на процената на ризикот и се документираат во Изјавата за применливост (SoA).
Која е разликата меѓу ISO 27001 и NIST CSF?
ISO 27001 е сертификациски стандард за систем за управување; NIST CSF е доброволна рамка на најдобри практики. Одлично се надополнуваат и меѓусобно се мапираат. Зошто NIST не е исто што и европската директива NIS2 и што бара Законот за безбедност на мрежни и информациски системи во Северна Македонија, објаснуваме на страницата NIS2 и Законот за безбедност на мрежни и информациски системи.
Колку важи сертификатот?
Три години, со задолжителни годишни надзорни проверки, а потоа следи ресертификација.
Колку чини имплементацијата на ISO 27001?
Не постои фиксна цена што важи за сите — трошокот зависи од областа (дејноста) на организацијата, нејзината големина и бројот на вработени, избраниот стандард и постојната состојба на системот. Испратете ни краток опис на вашата организација и бесплатно ќе подготвиме оквирна понуда прилагодена на вас.
📋 Проверете ја точната цена за вашата организација →МКС EN ISO/IEC 27001 сертификат — што значи?
Кога се бара МКС EN ISO/IEC 27001 сертификат (односно ISO/IEC 27001:2022 сертификат), се мисли на потврдата што независно акредитирано сертификационо тело ја издава на организација чиј систем е усогласен со сите барања на овој стандард. Националното издание на стандардот во Северна Македонија (МКС EN ISO/IEC 27001:2023, преземање на ISO/IEC 27001:2022) има идентична содржина со меѓународното издание — исти барања, исти клаузули, само под домашна ознака — затоа на тендерите се среќаваат двете ознаки за истиот стандард.
Зошто ознаките се разликуваат, а стандардот е ист?
Секоја земја членка на европскиот и меѓународниот систем за стандардизација го презема истиот стандард во сопствениот национален каталог и му додава национален префикс — во Северна Македонија тоа е МКС. Содржината, структурата, клаузулите и сите барања што аудиторот ги проверува при сертификацијата остануваат потполно идентични, без оглед на тоа која ознака пишува на документот. Затоа сертификатот издаден според едната ознака целосно ја покрива и другата — не станува збор за два стандарда, туку за еден ист стандард, само под две имиња.
Нашата примарна дејност е имплементација и воведување на стандарди: ја подготвуваме вашата организација така што сертификациската проверка да помине без изненадувања, а поимите „ISO/IEC 27001:2022 сертификација“ и „сертификат МКС EN ISO/IEC 27001“ ги објаснуваме затоа што клиентите токму така ги бараат. Што сè подразбираат сертификацијата, акредитацијата, IAF и надзорните проверки — прочитајте на страницата Сертификација / ISO сертификат, а за ознаките на тендерите на страницата ISO стандарди на тендери.
Врска со сродните стандарди
NIST Cybersecurity Framework (CSF) и ISO 27001 одлично се надополнуваат: функциите на NIST (Govern, Identify, Protect, Detect, Respond, Recover) директно се мапираат на контролите од Анекс А, па организациите што работат со американскиот пазар често ги користат двата. ISO 27701 го проширува ISMS на приватноста, ISO 22301 го продлабочува континуитетот на работењето, а ISO 42001 го покрива управувањето со вештачката интелигенција врз истите принципи. Стандардите се вклопуваат како саќе — кликнете на шестаголникот за да го отворите тој стандард.
Повеќе за интегрираниот систем за управување
Интегрираниот систем за управување (IMS) обединува два или повеќе ISO стандарди — на пример ISO/IEC 27001 со ISO 9001 или ISO 14001 — во заедничка рамка на документација, цели и интерни проверки, наместо секој стандард да живее во своја паралелна процедура.
Единствена структура (структура на високо ниво — HLS) што ја делат сите современи ISO стандарди. Благодарение на неа, политиката за квалитет, управувањето со ризиците, интерните аудити и прегледот од раководството можат да бидат заеднички за повеќе стандарди одеднаш.
Секој стандард поединечно решава еден дел од работењето — квалитет, животна средина, безбедност, информации. Кога организацијата воведува повеќе од нив, одвоените системи брзо ја дуплираат истата документација и ги дуплираат аудиторите.
Помалку дуплирање на процедурите, поедноставно управување, поцврст надзор над процесите, поефикасно користење на ресурсите и полесна подготовка за комбинирана сертификациска проверка.
ISO/IEC 27001 може да се имплементира самостојно или како дел од интегриран систем — одлуката зависи од бројот на стандарди што ги планирате и од тоа дали ги воведувате истовремено или постепено.
Проверете ја подготвеноста на вашата организација
Одговорете на неколку прашања и ќе добиете оквирна процена на моменталното ниво на подготвеност на вашата организација за ISO/IEC 27001.
Оваа самопроценка дава исклучиво оквирен (индикативен) резултат за подготвеноста. Не претставува сертификација, официјална проверка (аудит) ниту формална потврда за сообразност со стандардот.
Некои од нашите референци
Повеќе од 400 организации во Црна Гора и регионот ја поминаа имплементацијата со нас — од банки и државни органи до производство, ИТ, лаборатории и угостителство.
Ова се само дел од нашите клиенти. Повеќе за нас →
Побарајте бесплатна консултација
Ќе го процениме обемот на работа и ќе предложиме реален план и буџет за вашата организација. Јавете ни се или испратете барање — одговараме во рок од 24 часа.