ISO/IEC 27001:2022 · Shqipëria dhe Mali i Zi
Implementimi i standardit ISO 27001 në Shqipëri dhe Mal të Zi
Emërtimi kombëtar: SSH EN ISO/IEC 27001 (Shqipëri) · SK ISO/IEC 27001 (Kosovë) · MEST ISO/IEC 27001:2023 (Mali i Zi)
ISO/IEC 27001 është standardi kryesor ndërkombëtar për sistemin e menaxhimit të sigurisë së informacionit (ISMS). Përcakton se si organizata identifikon rreziqet ndaj informacionit dhe i menaxhon ato në mënyrë sistematike — përmes njerëzve, proceseve dhe teknologjisë.
Çfarë është ISO/IEC 27001:2022?
ISO 27001 mbron tri veti të informacionit: konfidencialitetin, integritetin dhe disponueshmërinë. Rishikimi i vitit 2022 solli një Aneks A të modernizuar me 93 kontrolle në katër tema (organizative, të burimeve njerëzore, fizike dhe teknologjike), duke përfshirë kontrolle të reja për shërbimet cloud, njoftimin e kërcënimeve dhe kodimin e sigurt.
Sot certifikata është praktikisht bileta hyrëse për kontrata serioze B2B në sektorin IT, financa dhe bashkëpunim me sektorin publik — klientët përmes saj shkurtojnë kontrollet e veta të furnitorëve. Përveç kësaj, ISMS-ja është baza e natyrshme për pajtueshmëri me direktivën NIS2, GDPR-in dhe rregulloret sektoriale të sigurisë së informacionit.
Fazat e implementimit
Fazat reale nëpër të cilat e udhëheqim çdo projekt — nga përgatitja deri te certifikata, e cila vjen vetëm në fund:
Përmirësimi dhe masat korrigjuese
Hapat ndjekin strukturën e klauzolave 4–10 të vetë standardit, kështu që përparimi i projektit është njëkohësisht edhe dëshmi pajtueshmërie gjatë auditimit.
Konteksti i organizatës dhe fushëveprimi i ISMS-së
Analizojmë çështjet e brendshme dhe të jashtme dhe palët e interesuara, dhe përcaktojmë saktësisht fushëveprimin — cilat lokacione, procese dhe sisteme hyjnë në ISMS.
Lidershipi dhe politika e sigurisë
Drejtuesit miratojnë Politikën e sigurisë së informacionit, caktohen rolet dhe përgjegjësitë dhe sigurohen burimet.
Vlerësimi dhe trajtimi i rrezikut
Zemra e standardit: regjistrimi i pasurive informative, identifikimi i kërcënimeve dhe dobësive, vlerësimi i rrezikut dhe zgjedhja e kontrolleve nga Aneksi A. Rezultati janë Plani i trajtimit të rrezikut dhe Deklarata e Zbatueshmërisë (SoA).
Mbështetja: burimet, kompetencat, dokumentacioni
Procedura dhe evidenca, trajnime dhe ngritje vetëdijeje — nga testet e phishing-ut deri te rregullat e tavolinës së pastër dhe menaxhimi i fjalëkalimeve.
Zbatimi operacional i kontrolleve
Kontrollet nga SoA hyjnë në praktikë: menaxhimi i qasjes, kriptografia, kopjet rezervë, incidentet, siguria e furnitorëve, vazhdimësia.
Monitorimi, matja dhe auditimi i brendshëm
Tregues efektiviteti, auditim i brendshëm i gjithë ISMS-së dhe rishikim nga drejtuesit — dëshmi të detyrueshme për certifikim.
Përmirësimi dhe masat korrigjuese
Mospajtueshmëritë analizohen dhe eliminohen; sistemi hyn në ciklin PDCA të përmirësimit të vazhdueshëm.
Rruga drejt certifikatës
Certifikimin e kryen një organ i pavarur certifikues i akredituar, në dy faza.
Parakusht i gjithçkaje: sistemi është implementuar dhe zbatuar në praktikë — të gjitha kërkesat e standardit janë përmbushur, është kryer auditimi i brendshëm dhe rishikimi nga drejtuesit.
Kontrollohet nëse ISMS-ja është dokumentuar në përputhje me standardin dhe gati për Fazën 2.
Intervista me punonjësit dhe shqyrtim i dëshmive që kontrollet funksionojnë vërtet.
Certifikatë me vlefshmëri 3 vjeçare pas mbylljes së mospajtueshmërive.
Kontrolle vjetore të mbajtjes së sistemit; ricertifikim në vitin e tretë.
Përfitimet e zbatimit të standardit
Dëshmi e njohur ndërkombëtarisht që mbroni seriozisht të dhënat — kusht gjithnjë e më i shpeshtë për kontrata dhe tenderë.
Rreziqet trajtohen para incidentit, gjë që zvogëlon mundësinë e rrjedhjeve të kushtueshme të të dhënave.
Bazë solide për NIS2, GDPR dhe ligjet për sigurinë e informacionit.
Dallim në treg, veçanërisht në sektorin IT, financiar dhe telekomunikacion.
Skenar ilustrues dhe tipik që e dëgjojmë shpesh nga klientët — nuk përfaqëson një klient konkret të emërtuar.
“Para ISO/IEC 27001 as nuk e dinim sa asete informacioni kishim në të vërtetë — serverë, baza të dhënash, kontrata, qasje të punonjësve, të gjitha të shpërndara pa evidencë. Gjatë zbatimit krijuam regjistrin e aseteve, i klasifikuam të dhënat sipas konfidencialitetit, vlerësuam rreziqet e informacionit dhe shkruam planin e vazhdimësisë së biznesit për rastin kur bie sistemi. Certifikata ishte shkasi, por sot e dimë saktësisht çfarë mbrojmë dhe nga çfarë.”
— skenar i shpeshtë i klientëve tanë
Lidhja me standardet e ngjashme
NIST Cybersecurity Framework (CSF) dhe ISO 27001 plotësohen shkëlqyeshëm: funksionet e NIST (Govern, Identify, Protect, Detect, Respond, Recover) mapohen drejtpërdrejt me kontrollet e Aneksit A, prandaj organizatat që punojnë me tregun amerikan shpesh i përdorin të dyja. ISO 27701 e zgjeron ISMS-në te privatësia, ISO 22301 e thellon vazhdimësinë e biznesit, ndërsa ISO 42001 mbulon menaxhimin e inteligjencës artificiale sipas të njëjtave parime.
Mbajmë trajnime për të gjitha standardet që implementojmë — nga kuptimi bazë deri te auditori i brendshëm.
Pyetje të shpeshta rreth ISO/IEC 27001:2022
Sa zgjat implementimi i ISO 27001?
Për organizata të vogla dhe të mesme zakonisht 4 deri në 8 muaj, në varësi të pjekurisë së proceseve, shtrirjes së sistemit dhe disponueshmërisë së ekipit. Për sisteme të mëdha — mbi 500 të punësuar, disa lokacione ose sistem i integruar me disa standarde — projekti realisht zgjat mbi një vit; edhe këta klientë i udhëheqim.
A është ISO 27001 i detyrueshëm?
Në Shqipëri ligji nr. 25/2024 „Për sigurinë kibernetike“ (miratuar më 21.3.2024, i përafruar pjesërisht me direktivën NIS2) zgjeron kompetencat e Autoritetit Kombëtar për Sigurinë Kibernetike (AKSK). Operatorëve të infrastrukturave kritike dhe të rëndësishme të informacionit u kërkon masa teknike, organizative dhe operacionale për menaxhimin e riskut (neni 21), raportimin e të gjitha infrastrukturave pranë AKSK-së dhe paraqitjen e një raporti të vlerësimit të konformitetit nga një organ i vlerësimit të konformitetit të paktën një herë në dy vjet (neni 31); gjobat shkojnë nga 200 000 deri në 10 000 000 lekë (neni 45). Në Kosovë këtë fushë e rregullon Ligji Nr. 08/L-173 për sigurinë kibernetike (Gazeta Zyrtare 4/2023), me Agjencinë për Siguri Kibernetike. Ligji shqiptar nuk e përmend certifikatën ISO/IEC 27001 si detyrim — por standardi jep strukturën me të cilën këto masa ndërtohen dhe dëshmohen. Si duket kjo në Mal të Zi, ku ligji e bën certifikatën të detyrueshme për një pjesë të subjekteve, e shpjegojmë në faqen NIS2 dhe Ligji për sigurinë e informacionit.
Çfarë është Aneksi A?
93 kontrolle sigurie në 4 tema: organizative, të burimeve njerëzore, fizike dhe teknologjike. Zgjidhen në bazë të vlerësimit të rrezikut dhe dokumentohen në Deklaratën e Zbatueshmërisë (SoA).
Cila është dallimi mes ISO 27001 dhe NIST CSF?
ISO 27001 është standard certifikues për sistemin e menaxhimit; NIST CSF është kuadër vullnetar praktikash më të mira. Plotësohen dhe mapohen shkëlqyeshëm me njëri-tjetrin.
Sa vlen certifikata?
Tre vjet, me kontrolle të detyrueshme vjetore mbikëqyrëse, e më pas ricertifikim.
Sa kushton implementimi i ISO 27001?
Nuk ka çmim fiks që vlen për të gjithë — kostoja varet nga fusha (veprimtaria) e organizatës, madhësia dhe numri i punonjësve, standardi i zgjedhur dhe gjendja aktuale e sistemit. Na dërgoni një përshkrim të shkurtër të organizatës suaj dhe do të përgatisim falas një ofertë orientuese të përshtatur për ju.
Çfarë do të thotë certifikata SSH EN ISO/IEC 27001?
Kur në tender ose në kërkesën e klientit shkruhet SSH EN ISO/IEC 27001, SK ISO/IEC 27001 ose MEST ISO/IEC 27001:2023, bëhet fjalë për të njëjtin standard — vetëm nën emërtimin kombëtar. Shqipëria e adopton si SSH (Standard Shqiptar, DPS), Kosova si SK (Standardi i Kosovës, AKS), Mali i Zi si MEST (ISME); përmbajtja, klauzolat dhe kërkesat që kontrollon audituesi janë identike. Certifikatën e lëshon një organ certifikues i akredituar — në Shqipëri akreditimin e kryen DPA (Drejtoria e Përgjithshme e Akreditimit), në Kosovë DAK (Drejtoria e Akreditimit e Kosovës), në Mal të Zi ATCG — ndërsa njohja e certifikatës jashtë vendit varet nga fushëveprimi për të cilin organi i akreditimit është nënshkrues i marrëveshjeve EA/IAF MLA: sipas regjistrit të EA-s, DPA e ka këtë status edhe për certifikimin e sistemeve të menaxhimit, ndërsa DAK-u ende nuk është nënshkrues i EA MLA-së.
Pse ndryshojnë emërtimet, ndërkohë që standardi është i njëjti?
Çdo vend anëtar i sistemit evropian dhe ndërkombëtar të standardizimit e merr të njëjtin standard në katalogun e vet kombëtar dhe i shton një prefiks kombëtar — në Mal të Zi ky është MEST. Përmbajtja, struktura, klauzolat dhe të gjitha kërkesat që auditori i kontrollon gjatë certifikimit mbeten plotësisht identike, pavarësisht se cili emërtim shkruhet në dokument. Prandaj certifikata e lëshuar sipas njërit emërtim e mbulon plotësisht edhe tjetrin — nuk bëhet fjalë për dy standarde, por për një e të njëjtin, vetëm nën dy emra.
Veprimtaria jonë kryesore është implementimi dhe zbatimi i standardeve: e përgatisim organizatën tuaj në mënyrë që auditimi certifikues të kalojë pa surpriza, ndërsa termat „certifikimi ISO/IEC 27001:2022" dhe „certifikata MEST ISO/IEC 27001" i shpjegojmë sepse pikërisht kështu i kërkojnë klientët. Çfarë nënkuptojnë certifikimi, akreditimi, IAF dhe auditimet mbikëqyrëse — lexoni në faqen Certifikimi / Certifikata ISO, ndërsa për emërtimet në tenderë në faqen Standardet ISO në tenderë.
Standardet që përshtaten si hoje mjalti
Çdo standard e ruan formën e vet, por së bashku formojnë një sistem të vetëm, të fortë dhe të integruar të menaxhimit (SIM) — pa boshllëqe dhe pa mbivendosje. Klikoni mbi një hekzagon për ta hapur atë standard.
Më shumë rreth sistemit të integruar të menaxhimit
Sistemi i integruar i menaxhimit (SIM) bashkon dy ose më shumë standarde ISO — për shembull ISO/IEC 27001 me ISO 9001 ose ISO 14001 — në një kuadër të përbashkët dokumentacioni, objektivash dhe kontrollesh të brendshme, në vend që çdo standard të jetojë në procedurën e vet paralele.
Një strukturë e njëjtë (struktura e nivelit të lartë — HLS) që e ndajnë të gjitha standardet moderne ISO. Falë saj, politika e cilësisë, menaxhimi i rrezikut, auditimet e brendshme dhe rishikimi nga drejtuesit mund të jenë të përbashkëta për disa standarde njëherësh.
Çdo standard veç e veç trajton një pjesë të biznesit — cilësinë, mjedisin, sigurinë, informacionin. Kur një organizatë zbaton disa prej tyre, sistemet e ndara shpejt dyfishojnë të njëjtin dokumentacion dhe të njëjtët auditorë.
Më pak dyfishim procedurash, menaxhim më i thjeshtë, mbikëqyrje më e fortë e proceseve, përdorim më efikas i burimeve dhe përgatitje më e lehtë për një auditim certifikues të kombinuar.
ISO/IEC 27001 mund të implementohet në mënyrë të pavarur ose si pjesë e një sistemi të integruar — vendimi varet nga numri i standardeve që synoni dhe nga ajo nëse do t'i zbatoni njëkohësisht apo në mënyrë graduale.
Kontrolloni gatishmërinë e organizatës suaj
Përgjigjuni disa pyetjeve dhe merrni një vlerësim orientues të nivelit aktual të gatishmërisë së organizatës suaj (ISO/IEC 27001).
Ky vetëvlerësim jep vetëm një rezultat orientues të gatishmërisë. Nuk përbën certifikim, auditim zyrtar apo konfirmim formal të përputhshmërisë.
Disa nga referencat tona
Mbi 400 organizata në Mal të Zi dhe rajon e kanë kaluar implementimin me ne — nga bankat dhe organet shtetërore te prodhimi, IT-ja, laboratorët dhe mikpritja.
Këta janë vetëm disa nga klientët tanë. Më shumë për ne →
Gati për standardizim?
Na kontaktoni për një konsultë falas hyrëse — do të vlerësojmë vëllimin e punës dhe do të propozojmë një plan dhe buxhet realist. Na telefononi ose dërgoni një kërkesë — përgjigjemi brenda 24 orësh.