ISO/IEC 27001:2022 · Srbija
Implementacija ISO 27001 standarda u Srbiji
Oznaka u Srbiji: SRPS ISO/IEC 27001:2022
ISO/IEC 27001 je vodeći međunarodni standard za sistem menadžmenta bezbednošću informacija (ISMS). Definiše kako organizacija identifikuje rizike po informacije i sistematski njima upravlja — kroz ljude, procese i tehnologiju.
Šta je ISO/IEC 27001:2022?
ISO 27001 štiti tri svojstva informacija: poverljivost, integritet i dostupnost. Revizija 2022 donela je modernizovan Aneks A sa 93 kontrole u četiri teme (organizacione, kadrovske, fizičke i tehnološke), uključujući nove kontrole za cloud servise, pretnje obaveštavanje i bezbedno kodiranje.
Sertifikat je danas praktično ulaznica za ozbiljne B2B ugovore u IT sektoru, finansijama i radu sa javnim sektorom — klijenti njime skraćuju sopstvene provere dobavljača. Uz to, ISMS je prirodna osnova za usklađivanje sa NIS2 direktivom, GDPR-om i sektorskim propisima o informacionoj bezbednosti.
Aneks A — bezbednosne kontrole po kategorijama
93 kontrole u 4 teme, birane na osnovu procene rizika i dokumentovane u Izjavi o primenljivosti (SoA):
Organizacione kontrole — 37
Politike bezbednosti informacija, uloge i odgovornosti, upravljanje informacionom imovinom i dobavljačima, kontinuitet bezbednosti i usklađenost sa propisima.
Kadrovske kontrole — 8
Provera pre zapošljavanja, uslovi rada i poverljivosti, obuka i podizanje svesti zaposlenih, disciplinski postupak za povrede bezbednosti.
Fizičke kontrole — 14
Fizički obezbeđene zone, kontrola pristupa prostorijama, zaštita opreme od otkaza i pretnji, bezbedno uklanjanje ili ponovna upotreba medija.
Tehnološke kontrole — 34
Kontrola pristupa sistemima, kriptografija, redovan bekap, logovanje i praćenje, zaštita od malvera i bezbedan razvoj softvera.
ISO/IEC 27001 i Zakon o informacionoj bezbednosti
Zakonska obaveza — usklađivanje sa NIS2
Zakon o informacionoj bezbednosti („Sl. glasnik RS“, br. 91/2025), na snazi od 31. oktobra 2025, usklađuje Srbiju sa EU NIS2 direktivom: proširuje krug obveznika na nove sektore, uvodi podelu na operatore prioritetnih i važnih IKT sistema, akt o proceni rizika i akt o bezbednosti IKT sistema, prijavu incidenata, strožiji nadzor i nove kazne.
Sertifikat prema ISO/IEC 27001 nije propisan kao obaveza, ali su tehnički zahtevi pisani u istom duhu — pa je standard najbrži način da se obaveze pokriju i dokažu, i pred nadzorom i pred kupcima.
Ako niste sigurni da li se zakon odnosi na vašu organizaciju ili šta tačno morate da uspostavite, javite nam se — besplatno ćemo proceniti obim posla i predložiti plan.
ℹ️ Brojevi propisa i rokovi na ovoj stranici su stanje na dan izrade stranice (septembar 2026). Propisi se menjaju — pre donošenja odluka proverite važeći tekst kod nadležnog organa ili nas pozovite.
Faze implementacije
Stvarne faze kroz koje vodimo svaki projekat uvođenja ISO/IEC 27001 standarda — od pripreme do sertifikata, koji dolazi tek na kraju:
Poboljšavanje i korektivne mere
Koraci prate strukturu klauzula 4–10 samog standarda, pa je napredak projekta ujedno i dokaz usaglašenosti na auditu. Niste sigurni da li ste usaglašeni sa ovim zahtevima? Proverite kroz kratku samoprocenu na dnu stranice.
Kontekst organizacije i obim ISMS-a
Analiziramo interna i eksterna pitanja i zainteresovane strane, i precizno definišemo obim — koje lokacije, procesi i sistemi ulaze u ISMS.
Liderstvo i politika bezbednosti
Rukovodstvo usvaja Politiku bezbednosti informacija, dodeljuju se uloge i odgovornosti i obezbeđuju resursi.
Procena i tretman rizika
Srce standarda: popis informacione imovine, identifikacija pretnji i ranjivosti, ocena rizika i izbor kontrola iz Aneksa A. Rezultat su Plan tretmana rizika i Izjava o primenljivosti (SoA).
Podrška: resursi, kompetencije, dokumentacija
Procedure i zapisi, obuke i podizanje svesti — od phishing testova do pravila čistog stola i upravljanja lozinkama.
Operativna primena kontrola
Kontrole iz SoA ulaze u praksu: upravljanje pristupom, kriptografija, bekap, incidenti, bezbednost dobavljača, kontinuitet.
Praćenje, merenje i interni audit
Pokazatelji efektivnosti, interni audit celog ISMS-a i pregled od strane rukovodstva — obavezni dokazi za sertifikaciju.
Poboljšavanje i korektivne mere
Neusaglašenosti se analiziraju i otklanjaju; sistem ulazi u PDCA ciklus stalnog poboljšavanja.
Put do sertifikata
Sertifikaciju sprovodi nezavisno akreditovano sertifikaciono telo, u dve faze.
Preduslov svega: sistem je implementiran i primenjen u praksi — svi zahtevi standarda ispunjeni, sproveden interni audit i preispitivanje rukovodstva.
Provera da li je ISMS dokumentovan u skladu sa standardom i spreman za Fazu 2. Intervjui sa zaposlenima i pregled dokaza da kontrole zaista funkcionišu. Nakon zatvaranja nalaza izdaje se sertifikat sa važenjem od 3 godine.
Prve godine nakon sertifikacije nadzorni audit proverava da se sistem i dalje primenjuje i unapređuje.
Druge godine sledi još jedan nadzorni audit, uz proveru da su nalazi sa prethodnog nadzora otklonjeni.
Pre isteka treće godine resertifikacioni audit obnavlja sertifikat na naredne tri godine.
Prednosti uvođenja standarda
Međunarodno priznat dokaz da ozbiljno štitite podatke — sve češće uslov za ugovore i tendere.
Rizici se tretiraju pre incidenta, što smanjuje verovatnoću skupih curenja podataka.
Solidna osnova za NIS2, GDPR i zakone o informacionoj bezbednosti.
Izdvajanje na tržištu, posebno u IT, finansijskom i telekomunikacionom sektoru.
Ilustrativan, tipičan scenario koji često čujemo od klijenata — ne predstavlja konkretnog, imenovanog klijenta.
“Pre ISO/IEC 27001 nismo ni znali koliko informacione imovine zapravo imamo — serveri, baze, ugovori, pristupi zaposlenih, sve razbacano bez evidencije. Kroz implementaciju smo napravili registar imovine, klasifikovali podatke po poverljivosti, procenili informacione rizike i napisali plan kontinuiteta poslovanja za slučaj da nam padne sistem. Sertifikat je bio povod, ali danas znamo tačno šta štitimo i od čega.”
— čest scenario naših klijenata
Obuke za ISO/IEC 27001 na srpskom jeziku — od osnovnog razumevanja standarda do obuke za internog auditora. Držimo ih online za celu Srbiju, a uživo po dogovoru.
Česta pitanja o ISO/IEC 27001:2022
Koliko traje implementacija ISO 27001?
Pre svega zavisi od pristupa implementaciji i od toga koliko je vaša organizacija već usaglašena — za male i srednje organizacije obično 4 do 8 meseci, zavisno od zrelosti procesa, obima sistema i raspoloživosti tima. Kod velikih sistema — preko 500 zaposlenih, više lokacija ili integrisani sistem od više standarda — projekat realno traje i preko godinu dana; i takve klijente vodimo. Ispod na ovoj stranici možete proveriti vaš trenutni nivo spremnosti kroz kratku samoprocenu.
Da li je ISO 27001 obavezan?
U Srbiji Zakon o informacionoj bezbednosti („Sl. glasnik RS“, br. 91/2025) usklađuje propise sa EU NIS2 direktivom: proširuje krug obveznika, uvodi procenu rizika i akt o bezbednosti IKT sistema, prijavu incidenata i strožiji nadzor. Sertifikat prema ISO/IEC 27001 nije propisan kao obaveza, ali su tehnički zahtevi pisani u istom duhu — pa je standard najbrži način da se obaveze pokriju i dokažu.
Šta je Aneks A?
93 bezbednosne kontrole u 4 teme: organizacione, kadrovske, fizičke i tehnološke. Biraju se na osnovu procene rizika i dokumentuju u Izjavi o primenljivosti (SoA).
Koja je razlika između ISO 27001 i NIST CSF?
ISO 27001 je sertifikacioni standard za sistem menadžmenta; NIST CSF je dobrovoljni okvir najboljih praksi. Odlično se dopunjuju i međusobno mapiraju. Zašto NIST nije isto što i evropski NIS2 i šta traži Zakon o informacionoj bezbednosti u Srbiji, objašnjavamo na stranici NIS2 i Zakon o informacionoj bezbednosti.
Koliko važi sertifikat?
Tri godine, uz obavezne godišnje nadzorne provere, a zatim resertifikacija.
Koliko košta implementacija ISO 27001?
Ne postoji fiksna cena koja važi za sve — trošak zavisi od oblasti (delatnosti) organizacije, njene veličine i broja zaposlenih, izabranog standarda i postojećeg stanja sistema. Pošaljite nam kratak opis vaše organizacije i besplatno ćemo pripremiti okvirnu ponudu prilagođenu vama.
📋 Proverite tačnu cenu za vašu organizaciju →SRPS ISO/IEC 27001 sertifikat — šta znači?
Kada se traži SRPS ISO/IEC 27001 sertifikat (odnosno ISO/IEC 27001:2022 sertifikat), misli se na potvrdu koju nezavisna akreditovana sertifikaciona kuća izdaje organizaciji čiji je sistem usaglašen sa svim zahtevima ovog standarda. Nacionalno izdanje standarda u Srbiji nosi identičan sadržaj kao međunarodno izdanje — isti zahtevi, iste klauzule, samo pod domaćom oznakom — zato se na tenderima sreću obe oznake za isti standard.
Zašto se oznake razlikuju, a standard je isti?
Svaka zemlja članica evropskog i međunarodnog sistema standardizacije preuzima isti standard u sopstveni nacionalni katalog i dodaje mu nacionalni prefiks — u Srbiji je to SRPS. Sadržaj, struktura, klauzule i svi zahtevi koje auditor proverava na sertifikaciji ostaju potpuno identični bez obzira na to koja oznaka piše na dokumentu. Zato sertifikat izdat po jednoj oznaci u potpunosti pokriva i drugu — ne radi se o dva standarda, već o jednom te istom, samo pod dva imena.
Naša primarna delatnost je implementacija i uvođenje standarda: pripremamo vašu organizaciju tako da sertifikacioni audit prođe bez iznenađenja, a pojmove „ISO/IEC 27001:2022 sertifikacija“ i „sertifikat SRPS ISO/IEC 27001“ objašnjavamo jer ih klijenti upravo tako i traže. Šta sve podrazumeva sertifikacija, akreditacija, IAF i nadzorni auditi — pročitajte na stranici Sertifikacija / ISO sertifikat, a o oznakama na tenderima na stranici ISO standardi na tenderima.
Veza sa srodnim standardima
NIST Cybersecurity Framework (CSF) i ISO 27001 se odlično dopunjuju: NIST funkcije (Govern, Identify, Protect, Detect, Respond, Recover) mapiraju se direktno na kontrole Aneksa A, pa organizacije koje posluju sa američkim tržištem često koriste oba. ISO 27701 proširuje ISMS na privatnost, ISO 22301 produbljuje kontinuitet poslovanja, a ISO 42001 pokriva upravljanje veštačkom inteligencijom na istim principima. Standardi se uklapaju kao saće — kliknite na heksagon da otvorite taj standard.
Više o integrisanom sistemu menadžmenta
Integrisani sistem menadžmenta (IMS) spaja dva ili više ISO standarda — na primer ISO/IEC 27001 sa ISO 9001 ili ISO 14001 — u jedan zajednički okvir dokumentacije, ciljeva i internih provera, umesto da svaki standard živi u svojoj paralelnoj proceduri.
Jedinstvena struktura (visok nivo strukture — HLS) koju dele svi moderni ISO standardi. Zahvaljujući njoj, politika kvaliteta, upravljanje rizicima, interni auditi i preispitivanje rukovodstva mogu biti zajednički za više standarda odjednom.
Svaki standard pojedinačno rešava jedan deo poslovanja — kvalitet, okolinu, bezbednost, informacije. Kad organizacija uvodi više njih, razdvojeni sistemi brzo dupliraju istu dokumentaciju i iste auditore.
Manje dupliranja procedura, jednostavnije upravljanje, jači nadzor nad procesima, efikasnije korišćenje resursa i lakša priprema za kombinovani sertifikacioni audit.
ISO/IEC 27001 se može implementirati samostalno ili kao deo integrisanog sistema — odluka zavisi od broja standarda koje ciljate i toga da li ih uvodite istovremeno ili postepeno.
Proverite spremnost vaše organizacije
Odgovorite na nekoliko pitanja i dobićete okvirnu procenu trenutnog nivoa spremnosti vaše organizacije za ISO/IEC 27001.
Ova samoprocena pruža isključivo okviran (indikativan) rezultat spremnosti. Ne predstavlja sertifikaciju, zvaničan audit niti formalnu potvrdu usaglašenosti sa standardom.
Neke od naših referenci
Više od 400 organizacija u Crnoj Gori i regionu prošlo je kroz implementaciju sa nama — od banaka i državnih organa do proizvodnje, IT-ja, laboratorija i ugostiteljstva.
Ovo su samo neki od naših klijenata. Više o nama →
Zatražite besplatnu konsultaciju
Procenićemo obim posla i predložiti realan plan i budžet za vašu organizaciju. Pozovite nas ili pošaljite upit — odgovaramo u roku od 24h.