ISO/IEC 27001:2022 · Crna Gora
Implementacija ISO 27001 standarda u Crnoj Gori
Oznaka u Crnoj Gori: MEST ISO/IEC 27001:2023
ISO/IEC 27001 je vodeći međunarodni standard za sistem menadžmenta bezbjednošću informacija (ISMS). Definiše kako organizacija identifikuje rizike po informacije i sistematski njima upravlja — kroz ljude, procese i tehnologiju.
Novi crnogorski zakon o zaštiti podataka
Crna Gora je 11. septembra 2026. dobila novi Zakon o zaštiti podataka o ličnosti („Sl. list CG“, br. 133/26), usklađen sa GDPR-om, koji se primjenjuje od 19. marta 2027. Registar zbirki se ukida, uvodi se obaveza imenovanja službenika za zaštitu podataka, a kazne idu do dva miliona eura. ISO/IEC 27001 daje mjere bezbjednosti i upravljanje incidentima koje zakon traži u članu 33, ali ne i pravni osnov obrade, evidencije iz člana 31 ni prava građana — to pokriva nadogradnja ISO/IEC 27701 i usklađivanje po samom zakonu.
Šta je ISO/IEC 27001:2022?
ISO 27001 štiti tri svojstva informacija: povjerljivost, integritet i dostupnost. Revizija 2022 donijela je modernizovan Aneks A sa 93 kontrole u četiri teme (organizacione, kadrovske, fizičke i tehnološke), uključujući nove kontrole za cloud servise, prijetnje obavještavanje i bezbjedno kodiranje.
Sertifikat je danas praktično ulaznica za ozbiljne B2B ugovore u IT sektoru, finansijama i radu sa javnim sektorom — klijenti njime skraćuju sopstvene provjere dobavljača. Uz to, ISMS je prirodna osnova za usklađivanje sa NIS2 direktivom, GDPR-om i sektorskim propisima o informacionoj bezbjednosti.
Aneks A — bezbjednosne kontrole po kategorijama
93 kontrole u 4 teme, birane na osnovu procjene rizika i dokumentovane u Izjavi o primjenljivosti (SoA):
Organizacione kontrole — 37
Politike bezbjednosti informacija, uloge i odgovornosti, upravljanje informacionom imovinom i dobavljačima, kontinuitet bezbjednosti i usklađenost sa propisima.
Kadrovske kontrole — 8
Provjera prije zapošljavanja, uslovi rada i povjerljivosti, obuka i podizanje svijesti zaposlenih, disciplinski postupak za povrede bezbjednosti.
Fizičke kontrole — 14
Fizički obezbijeđene zone, kontrola pristupa prostorijama, zaštita opreme od otkaza i prijetnji, bezbjedno uklanjanje ili ponovna upotreba medija.
Tehnološke kontrole — 34
Kontrola pristupa sistemima, kriptografija, redovan bekap, logovanje i praćenje, zaštita od malvera i bezbjedan razvoj softvera.
ISO/IEC 27001 i Zakon o informacionoj bezbjednosti
Zakonska obaveza — rok jun 2027. godine
Zakon o informacionoj bezbjednosti (Sl. list CG, br. 113/2024) stupio je na snagu 5. decembra 2024. godine i usklađuje Crnu Goru sa EU NIS2 direktivom — Crna Gora je među prvim zemljama Zapadnog Balkana koje su to učinile. Zakon uvodi kategorije „ključnih“ i „važnih subjekata“: državne organe, operatore kritične infrastrukture i privredna društva iz osjetljivih djelatnosti (energetika, saobraćaj, zdravstvo, finansije, digitalna infrastruktura, javne usluge i dr.), bez obzira na njihovu veličinu.
Sertifikat MEST ISO/IEC 27001 u roku od 30 mjeseci od stupanja zakona na snagu — najkasnije do juna 2027. godine — po zakonu moraju pribaviti samo ključni subjekti; važni subjekti primjenjuju propisane mjere bezbjednosti bez obaveznog sertifikata. Implementacija ISMS-a realno traje nekoliko mjeseci: popis informacione imovine, procjena rizika, primjena kontrola iz Aneksa A i interni audit. Što se ranije krene, to je manji pritisak pred sam rok.
Ako niste sigurni da li se zakon odnosi na vašu organizaciju ili koliko vremena vam realno treba za usklađenost, javite nam se — besplatno ćemo procijeniti obim posla i predložiti plan koji stiže do roka.
Faze implementacije
Stvarne faze kroz koje vodimo svaki projekat uvođenja ISO/IEC 27001 standarda — od pripreme do sertifikata, koji dolazi tek na kraju:
Poboljšavanje i korektivne mjere
Koraci prate strukturu klauzula 4–10 samog standarda, pa je napredak projekta ujedno i dokaz usaglašenosti na auditu. Niste sigurni da li ste usaglašeni sa ovim zahtjevima? Provjerite kroz kratku samoprocjenu na dnu stranice.
Kontekst organizacije i obim ISMS-a
Analiziramo interna i eksterna pitanja i zainteresovane strane, i precizno definišemo obim — koje lokacije, procesi i sistemi ulaze u ISMS.
Liderstvo i politika bezbjednosti
Rukovodstvo usvaja Politiku bezbjednosti informacija, dodjeljuju se uloge i odgovornosti i obezbjeđuju resursi.
Procjena i tretman rizika
Srce standarda: popis informacione imovine, identifikacija prijetnji i ranjivosti, ocjena rizika i izbor kontrola iz Aneksa A. Rezultat su Plan tretmana rizika i Izjava o primjenljivosti (SoA).
Podrška: resursi, kompetencije, dokumentacija
Procedure i zapisi, obuke i podizanje svijesti — od phishing testova do pravila čistog stola i upravljanja lozinkama.
Operativna primjena kontrola
Kontrole iz SoA ulaze u praksu: upravljanje pristupom, kriptografija, bekap, incidenti, bezbjednost dobavljača, kontinuitet.
Praćenje, mjerenje i interni audit
Pokazatelji efektivnosti, interni audit cijelog ISMS-a i pregled od strane rukovodstva — obavezni dokazi za sertifikaciju.
Poboljšavanje i korektivne mjere
Neusaglašenosti se analiziraju i otklanjaju; sistem ulazi u PDCA ciklus stalnog poboljšavanja.
Put do sertifikata
Sertifikaciju sprovodi nezavisno akreditovano sertifikaciono tijelo, u dvije faze.
Preduslov svega: sistem je implementiran i primijenjen u praksi — svi zahtjevi standarda ispunjeni, sproveden interni audit i preispitivanje rukovodstva.
Provjera da li je ISMS dokumentovan u skladu sa standardom i spreman za Fazu 2. Intervjui sa zaposlenima i pregled dokaza da kontrole zaista funkcionišu. Nakon zatvaranja nalaza izdaje se sertifikat sa važenjem od 3 godine.
Prve godine nakon sertifikacije nadzorni audit provjerava da se sistem i dalje primjenjuje i unapređuje.
Druge godine slijedi još jedan nadzorni audit, uz provjeru da su nalazi sa prethodnog nadzora otklonjeni.
Prije isteka treće godine resertifikacioni audit obnavlja sertifikat na naredne tri godine.
Prednosti uvođenja standarda
Međunarodno priznat dokaz da ozbiljno štitite podatke — sve češće uslov za ugovore i tendere.
Rizici se tretiraju prije incidenta, što smanjuje vjerovatnoću skupih curenja podataka.
Solidna osnova za NIS2, GDPR i zakone o informacionoj bezbjednosti.
Izdvajanje na tržištu, posebno u IT, finansijskom i telekomunikacionom sektoru.
Ilustrativan, tipičan scenario koji često čujemo od klijenata — ne predstavlja konkretnog, imenovanog klijenta.
“Prije ISO/IEC 27001 nijesmo ni znali koliko informacione imovine zapravo imamo — serveri, baze, ugovori, pristupi zaposlenih, sve razbacano bez evidencije. Kroz implementaciju smo napravili registar imovine, klasifikovali podatke po povjerljivosti, procijenili informacione rizike i napisali plan kontinuiteta poslovanja za slučaj da nam padne sistem. Sertifikat je bio povod, ali danas znamo tačno šta štitimo i od čega.”
— čest scenario naših klijenata
Obuke za ISO/IEC 27001 na srpskom/crnogorskom jeziku — od osnovnog razumijevanja standarda do obuke za internog auditora. Držimo ih uživo u Podgorici i Bijelom Polju, kao i online za cijelu Crnu Goru.
Česta pitanja o ISO/IEC 27001:2022
Koliko traje implementacija ISO 27001?
Prije svega zavisi od pristupa implementaciji i od toga koliko je vaša organizacija već usaglašena — za male i srednje organizacije obično 4 do 8 mjeseci, zavisno od zrelosti procesa, obima sistema i raspoloživosti tima. Kod velikih sistema — preko 500 zaposlenih, više lokacija ili integrisani sistem od više standarda — projekat realno traje i preko godinu dana; i takve klijente vodimo. Ispod na ovoj stranici možete provjeriti vaš trenutni nivo spremnosti kroz kratku samoprocjenu.
Da li je ISO 27001 obavezan?
Za većinu organizacija je dobrovoljan. Zakon o informacionoj bezbjednosti (Sl. list CG 113/2024), koji je na snazi od decembra 2024. i Crnu Goru usklađuje sa EU NIS2 direktivom, uvodi „ključne“ i „važne subjekte“ — bez obzira na veličinu, to su organi države, operateri kritične infrastrukture i privredna društva iz osjetljivih djelatnosti (energetika, saobraćaj, zdravstvo, finansije, digitalna infrastruktura, javne usluge i dr). Sertifikat MEST ISO/IEC 27001 u roku od 30 mjeseci od stupanja zakona na snagu — najkasnije do juna 2027. godine — zakon traži samo od ključnih subjekata. Važni subjekti primjenjuju propisane mjere bezbjednosti bez obaveznog sertifikata, a za sve ostale sertifikat je dobrovoljan — ali ga sve češće zahtijevaju klijenti, tenderi i ugovori.
Šta je Aneks A?
93 bezbjednosne kontrole u 4 teme: organizacione, kadrovske, fizičke i tehnološke. Biraju se na osnovu procjene rizika i dokumentuju u Izjavi o primjenljivosti (SoA).
Koja je razlika između ISO 27001 i NIST CSF?
ISO 27001 je sertifikacioni standard za sistem menadžmenta; NIST CSF je dobrovoljni okvir najboljih praksi. Odlično se dopunjuju i međusobno mapiraju.
Koliko važi sertifikat?
Tri godine, uz obavezne godišnje nadzorne provjere, a zatim resertifikacija.
Koliko košta implementacija ISO 27001?
Ne postoji fiksna cijena koja važi za sve — trošak zavisi od oblasti (djelatnosti) organizacije, njene veličine i broja zaposlenih, izabranog standarda i postojećeg stanja sistema. Pošaljite nam kratak opis vaše organizacije i besplatno ćemo pripremiti okvirnu ponudu prilagođenu vama. Red veličine, iz naših projekata: za mikro i male organizacije sa jednom lokacijom uvođenje se mjeri u hiljadama eura — najčešće nekoliko hiljada; za srednje organizacije ili za više standarda odjednom ide na desetak hiljada, a za velike sisteme sa više lokacija i složenim procesima i do nekoliko desetina hiljada. Rad sertifikacione kuće plaća se posebno i direktno njoj, jer sertifikat izdaje ona, a ne mi. Sertifikat se ne kupuje — ne postoji iznos za koji se dobija bez provjere; plaća se uvođenje sistema i nezavisna provjera usaglašenosti.
📋 Provjerite tačnu cijenu za vašu organizaciju →MEST EN ISO/IEC 27001 sertifikat — šta znači?
Kada se traži MEST EN ISO/IEC 27001 sertifikat (odnosno ISO/IEC 27001:2022 sertifikat), misli se na potvrdu koju nezavisna akreditovana sertifikaciona kuća izdaje organizaciji čiji je sistem usaglašen sa svim zahtjevima ovog standarda. Nacionalno izdanje standarda u Crnoj Gori nosi identičan sadržaj kao međunarodno izdanje — isti zahtjevi, iste klauzule, samo pod domaćom oznakom — zato se na tenderima sreću obje oznake za isti standard.
Zašto se oznake razlikuju, a standard je isti?
Svaka zemlja članica evropskog i međunarodnog sistema standardizacije preuzima isti standard u sopstveni nacionalni katalog i dodaje mu nacionalni prefiks — u Crnoj Gori je to MEST. Sadržaj, struktura, klauzule i svi zahtjevi koje auditor provjerava na sertifikaciji ostaju potpuno identični bez obzira na to koja oznaka piše na dokumentu. Zato sertifikat izdat po jednoj oznaci u potpunosti pokriva i drugu — ne radi se o dva standarda, već o jednom te istom, samo pod dva imena.
Naša primarna djelatnost je implementacija i uvođenje standarda: pripremamo vašu organizaciju tako da sertifikacioni audit prođe bez iznenađenja, a pojmove „ISO/IEC 27001:2022 sertifikacija“ i „sertifikat MEST EN ISO/IEC 27001“ objašnjavamo jer ih klijenti upravo tako i traže. Šta sve podrazumijeva sertifikacija, akreditacija, IAF i nadzorni auditi — pročitajte na stranici Sertifikacija / ISO sertifikat, a o oznakama na tenderima na stranici ISO standardi na tenderima.
Veza sa srodnim standardima
NIST Cybersecurity Framework (CSF) i ISO 27001 se odlično dopunjuju: NIST funkcije (Govern, Identify, Protect, Detect, Respond, Recover) mapiraju se direktno na kontrole Aneksa A, pa organizacije koje posluju sa američkim tržištem često koriste oba — ali NIST nije sertifikacioni standard i ne treba ga miješati sa evropskim NIS2. Na stranici NIS2 i Zakon o informacionoj bezbjednosti objašnjavamo zašto je ISO 27001 za dio subjekata u Crnoj Gori postao zakonska obaveza, sa rokom u junu 2027. ISO 27701 proširuje ISMS na privatnost, ISO 22301 produbljuje kontinuitet poslovanja, a ISO 42001 pokriva upravljanje vještačkom inteligencijom na istim principima. Standardi se uklapaju kao saće — kliknite na heksagon da otvorite taj standard.
Više o integrisanom sistemu menadžmenta
Integrisani sistem menadžmenta (IMS) spaja dva ili više ISO standarda — na primjer ISO/IEC 27001 sa ISO 9001 ili ISO 14001 — u jedan zajednički okvir dokumentacije, ciljeva i internih provjera, umjesto da svaki standard živi u svojoj paralelnoj proceduri.
Jedinstvena struktura (visok nivo strukture — HLS) koju dijele svi moderni ISO standardi. Zahvaljujući njoj, politika kvaliteta, upravljanje rizicima, interni auditi i preispitivanje rukovodstva mogu biti zajednički za više standarda odjednom.
Svaki standard pojedinačno rješava jedan dio poslovanja — kvalitet, okolinu, bezbjednost, informacije. Kad organizacija uvodi više njih, razdvojeni sistemi brzo dupliraju istu dokumentaciju i iste auditore.
Manje dupliranja procedura, jednostavnije upravljanje, jači nadzor nad procesima, efikasnije korišćenje resursa i lakša priprema za kombinovani sertifikacioni audit.
ISO/IEC 27001 se može implementirati samostalno ili kao dio integrisanog sistema — odluka zavisi od broja standarda koje ciljate i toga da li ih uvodite istovremeno ili postepeno.
Termini obuka — ISO/IEC 27001
Obuke izvodi Mobes Monte d.o.o., provajder sertifikovan od strane Exemplar Global; polaznici dobijaju ličnu potvrdu o obuci. Trajanje zavisi od nivoa; grupe su male, pa se mjesta popunjavaju redom prijava.
Termin vam ne odgovara? Za grupe od pet i više polaznika dogovaramo poseban termin, u vašim prostorijama ili online. Sve o obukama →
Provjerite spremnost vaše organizacije
Odgovorite na nekoliko pitanja i dobićete okvirnu procjenu trenutnog nivoa spremnosti vaše organizacije za ISO/IEC 27001.
Ova samoprocjena pruža isključivo okviran (indikativan) rezultat spremnosti. Ne predstavlja sertifikaciju, zvaničan audit niti formalnu potvrdu usaglašenosti sa standardom.
Neke od naših referenci
Više od 400 organizacija u Crnoj Gori i regionu prošlo je kroz implementaciju sa nama — od banaka, berze i državnih organa do proizvodnje, IT-ja, laboratorija i ugostiteljstva. Ovo je dio njih.
Ovo su samo neki od naših klijenata. Više o nama i našem radu →
Zatražite besplatnu konsultaciju
Procijenićemo obim posla i predložiti realan plan i budžet za vašu organizaciju. Pozovite nas ili pošaljite upit — odgovaramo u roku od 24h.