ISO 27001, 27002, 27005 i 22301 - czym się różnią i których norm potrzebujesz

SZBI i ISO 27001 - rodzina norm

ISO 27001, 27002, 27005 i 22301 - czym się różnią i których norm potrzebujesz

W skrócie

Przy wdrożeniu SZBI szybko pojawia się gąszcz numerów: 27001, 27002, 27005, a obok 22301. Łatwo pomyśleć, że trzeba kupić i wdrożyć wszystkie. W rzeczywistości każda z nich pełni inną rolę, a certyfikuje się tylko jedną. Porządkujemy, co jest czym i czego naprawdę potrzebujesz.

Jak to wygląda w praktyce

Firma, która dostaje od klienta ankietę z pytaniem o zgodność z ISO 27001, czasem w panice szuka wszystkich powiązanych norm i próbuje je wdrażać równolegle. Tymczasem wystarczy zrozumieć podział ról: jedna norma stawia wymagania wobec systemu, druga podpowiada, jak wdrożyć poszczególne zabezpieczenia, trzecia pomaga liczyć ryzyko, a kolejne dotyczą wąskich obszarów jak chmura czy ciągłość działania.

Co oznacza każda z norm

Najprościej ułożyć je wokół jednego rdzenia. Rdzeniem jest ISO/IEC 27001, bo to ona określa wymagania wobec systemu zarządzania bezpieczeństwem informacji i to na nią wydaje się certyfikat. Reszta to wsparcie: ISO/IEC 27002 to przewodnik, który opisuje, jak wdrożyć zabezpieczenia z załącznika A do normy 27001, ISO/IEC 27005 porządkuje proces zarządzania ryzykiem, a ISO/IEC 27017 i 27018 odnoszą się do bezpieczeństwa w chmurze i ochrony danych osobowych w chmurze. Z sąsiedniej rodziny dochodzi ISO 22301, czyli norma systemu zarządzania ciągłością działania.

Dla firmy pod ustawą o KSC ważne jest, że ta ostatnia pokrywa się z konkretnym wymogiem ustawy: utrzymywanie planów ciągłości działania oraz planów awaryjnych i odtworzenia to jeden z obszarów środków (art. 8 ust. 1 pkt 2 lit. f). Warto to wiedzieć także przy audycie, bo rozporządzenie o kwalifikacjach audytorów wymienia zarówno certyfikat audytora wiodącego normy ISO/IEC 27001, jak i normy ISO 22301. Jak całość układa się w SZBI wymagany ustawą, opisujemy w przewodniku o SZBI i ISO 27001.

Co zrobić krok po kroku

1. Zacznij od ISO/IEC 27001. To ona wyznacza, co system musi mieć, i to jej dotyczy certyfikat. Reszta jest wobec niej pomocnicza. Efekt: decyzja o głównym wzorcu systemu.
2. Sięgnij po 27002 przy wdrażaniu zabezpieczeń. Gdy nie wiesz, jak wdrożyć konkretne zabezpieczenie z załącznika A, zajrzyj do przewodnika 27002. Efekt: spójny sposób wdrażania środków.
3. Użyj 27005 do metody ryzyka. Jeśli budujesz metodę szacowania ryzyka, 27005 daje gotowy układ. Efekt: powtarzalna metoda analizy ryzyka.
4. Dodaj 27017 i 27018, gdy działasz w chmurze. Te normy przydają się, gdy usługa opiera się na chmurze obliczeniowej. Efekt: pokrycie ryzyk chmurowych.
5. Rozważ 22301 dla ciągłości działania. Jeśli ciągłość jest krytyczna, 22301 porządkuje plany, których i tak wymaga ustawa (art. 8 ust. 1 pkt 2 lit. f). Efekt: uporządkowany system ciągłości działania.

Jak sprawdzić, że zadziałało

Dobór norm jest trafny, gdy potrafisz wskazać, po co w Twojej firmie jest każda z nich, i gdy nie wdrażasz na siłę normy, której nikt nie wymaga. Jeżeli klient albo przetarg pyta o certyfikat, sprawdź dokładnie, o którą normę chodzi, bo zwykle jest to ISO/IEC 27001, a czasem dodatkowo ISO 22301. Reszta to wytyczne, których nie certyfikuje się osobno, więc nie trzeba za nie płacić jednostce certyfikującej.

Podstawa prawna i źródła

• art. 8 ust. 1-3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło) - art. 8 ust. 1 pkt 2 lit. f (ciągłość działania)
• rozporządzenie Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz.U. 2018 poz. 1999) - m.in. audytor wiodący ISO/IEC 27001 i ISO 22301

Stan prawny na 14 października 2026 r. Opis normy ISO/IEC 27001 jest ogólny, bez cytowania jej treści, bo norma jest objęta prawem autorskim. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: najczęstsze pytania i problemy związane z NIS2 i KSC