ISO/ČASPrůběžněISO/IEC 27001:2022

ISO 27001

ISO 27001 je certifikační standard pro systém řízení bezpečnosti informací. Verze 2022 obsahuje 93 kontrol v Annex A a vyžaduje řízení rizik, dokumentaci a průběžné zlepšování.

Kdo může být v rozsahu

Orientační praktický dopad pro české firmy.

SaaS a technologické firmy prodávající enterprise zákazníkům.
Dodavatelé, kteří potřebují doložit informační bezpečnost v tendrech.
České firmy připravující certifikaci přes Bureau Veritas, Lloyd's Register CZ nebo jiné certifikační orgány.
Týmy, které chtějí sjednotit bezpečnostní procesy napříč IT, HR a provozem.

Klíčové povinnosti

Co často vyžaduje důkaz nebo kontrolu.

Clause 6.1.2

Řízení rizik

Identifikace, hodnocení a plán ošetření bezpečnostních rizik.

Termín: před certifikací

Clause 6.1.3

Statement of Applicability

Výběr relevantních Annex A kontrol a zdůvodnění výjimek.

Termín: před auditem

Annex A 5.15

Access control

Řízení přístupů, MFA a pravidelné access reviews.

Termín: průběžně

Clause 9.2

Evidence interního auditu

Plán, výsledky a nápravná opatření interního auditu.

Termín: ročně

Obchodní riziko a důsledky

ISO 27001 obvykle neznamená správní pokutu, ale může rozhodnout o certifikaci, tendru nebo smlouvě.

RizikoDopadKdo ho uplatní

Neúspěšný certifikační auditztráta certifikacecertifikační orgán

Nedodržení zákaznického požadavkusmluvní sankcezákazník

Nedostatečné důkazyopakovaný auditBureau Veritas / Lloyd's Register CZ

Jak Splnit.eu pomáhá

Převod povinností na kontroly, důkazy a termíny.

SoA a politiky

Statement of Applicability navazuje na reálný rozsah, rizika a důvody výjimek, takže není oddělený od důkazů v systému.

Evidence vault

Důkazy z Microsoft 365, GitHubu a AWS se ukládají ke konkrétním kontrolám a ukazují, co má před auditem ještě chybějící vlastník.

Access reviews

Pravidelné revize účtů a rolí mají termín, schvalovatele a výjimky, aby auditor neviděl jen export uživatelů bez rozhodnutí.

Zobrazit v akci

Související předpisy

Pokud řešíte ISO 27001, pravděpodobně se vás týká i toto.

NIS2 →

bezpečnostní opatření, řízení rizik a evidence kontrol mají velký překryv

GDPR →

přístupová práva, šifrování, incidenty a dodavatelé chrání i osobní údaje

Související články

Praktický průvodce k tématu.

ISO 27001 pro SaaS firmy: příprava na enterprise tendr →

Co mít připravené, když zákazník požaduje SoA, access reviews a důkazy.

Šablony

Šablony a dokumenty ke stažení

Připravené šablony pro vaši implementaci. Stáhněte, upravte a použijte ve své firmě.

DOCX

Politika řízení rizik

Metodika hodnocení a zvládání kybernetických rizik dle nZKB a ISO 27001.

DOCX

Politika řízení dodavatelů

Šablona hodnocení bezpečnostně významných dodavatelů dle nZKB.

DOCX

Plán kontinuity činností (BCP)

Šablona pro zajištění nepřetržitosti provozu při výpadku nebo incidentu.

XLSX

Prohlášení o aplikovatelnosti (SoA)

Přehled 93 kontrol ISO 27001:2022 s hodnocením aplikovatelnosti.

Šablony jsou obecné vzory. Upravte je podle specifik vaší organizace. Splnit.eu nenese odpovědnost za jejich právní přesnost.

← Všechny předpisy

ISO/ČASPrůběžněISO/IEC 27001:2022

ISO 27001

ISO 27001 je certifikační standard pro systém řízení bezpečnosti informací. Verze 2022 obsahuje 93 kontrol v Annex A a vyžaduje řízení rizik, dokumentaci a průběžné zlepšování.

Kdo může být v rozsahu

Orientační praktický dopad pro české firmy.

SaaS a technologické firmy prodávající enterprise zákazníkům.
Dodavatelé, kteří potřebují doložit informační bezpečnost v tendrech.
České firmy připravující certifikaci přes Bureau Veritas, Lloyd's Register CZ nebo jiné certifikační orgány.
Týmy, které chtějí sjednotit bezpečnostní procesy napříč IT, HR a provozem.

Klíčové povinnosti

Co často vyžaduje důkaz nebo kontrolu.

Clause 6.1.2

Řízení rizik

Identifikace, hodnocení a plán ošetření bezpečnostních rizik.

Termín: před certifikací

Clause 6.1.3

Statement of Applicability

Výběr relevantních Annex A kontrol a zdůvodnění výjimek.

Termín: před auditem

Annex A 5.15

Access control

Řízení přístupů, MFA a pravidelné access reviews.

Termín: průběžně

Clause 9.2

Evidence interního auditu

Plán, výsledky a nápravná opatření interního auditu.

Termín: ročně

Obchodní riziko a důsledky

ISO 27001 obvykle neznamená správní pokutu, ale může rozhodnout o certifikaci, tendru nebo smlouvě.

RizikoDopadKdo ho uplatní

Neúspěšný certifikační auditztráta certifikacecertifikační orgán

Nedodržení zákaznického požadavkusmluvní sankcezákazník

Nedostatečné důkazyopakovaný auditBureau Veritas / Lloyd's Register CZ

Jak Splnit.eu pomáhá

Převod povinností na kontroly, důkazy a termíny.

SoA a politiky

Statement of Applicability navazuje na reálný rozsah, rizika a důvody výjimek, takže není oddělený od důkazů v systému.

Evidence vault

Důkazy z Microsoft 365, GitHubu a AWS se ukládají ke konkrétním kontrolám a ukazují, co má před auditem ještě chybějící vlastník.

Access reviews

Pravidelné revize účtů a rolí mají termín, schvalovatele a výjimky, aby auditor neviděl jen export uživatelů bez rozhodnutí.

Zobrazit v akci

Související předpisy

Pokud řešíte ISO 27001, pravděpodobně se vás týká i toto.

NIS2 →

bezpečnostní opatření, řízení rizik a evidence kontrol mají velký překryv

GDPR →

přístupová práva, šifrování, incidenty a dodavatelé chrání i osobní údaje

Související články

Praktický průvodce k tématu.

ISO 27001 pro SaaS firmy: příprava na enterprise tendr →

Co mít připravené, když zákazník požaduje SoA, access reviews a důkazy.

Šablony

Šablony a dokumenty ke stažení

Připravené šablony pro vaši implementaci. Stáhněte, upravte a použijte ve své firmě.

DOCX

Politika řízení rizik

Metodika hodnocení a zvládání kybernetických rizik dle nZKB a ISO 27001.

DOCX

Politika řízení dodavatelů

Šablona hodnocení bezpečnostně významných dodavatelů dle nZKB.

DOCX

Plán kontinuity činností (BCP)

Šablona pro zajištění nepřetržitosti provozu při výpadku nebo incidentu.

XLSX

Prohlášení o aplikovatelnosti (SoA)

Přehled 93 kontrol ISO 27001:2022 s hodnocením aplikovatelnosti.

Šablony jsou obecné vzory. Upravte je podle specifik vaší organizace. Splnit.eu nenese odpovědnost za jejich právní přesnost.