Certyfikat ISO 27001 czy sama zgodność - którą drogę wybrać pod KSC

SZBI i ISO 27001 - certyfikat czy zgodność

Certyfikat ISO 27001 czy sama zgodność - którą drogę wybrać pod KSC

W skrócie

Decyzja wraca na każdym wdrożeniu: płacić za certyfikat ISO 27001, czy tylko zbudować system według normy i poprzestać na zgodności. Koszt i wysiłek różnią się znacznie, a ustawa o KSC nie rozstrzyga tego za firmę. Rozkładamy, kiedy certyfikat się opłaca, a kiedy jest zbędnym wydatkiem.

Jak to wygląda w praktyce

Częsty scenariusz to zarząd, który pod presją terminu z ustawy chce szybko kupić certyfikat w przekonaniu, że to zamknie temat KSC. Odwrotny scenariusz to firma, która świetnie zarządza bezpieczeństwem, ale nie ma certyfikatu i traci przez to przetargi, w których zamawiający go wymaga. Oba przypadki pokazują, że decyzja powinna wynikać z celu, a nie z pośpiechu albo mody.

Dlaczego tak się dzieje

Źródłem zamieszania jest przekonanie, że certyfikat i zgodność z ustawą to jedno. Tak nie jest. W tekście ustawy o KSC nie ma odesłania do normy ISO/IEC 27001 ani wymogu certyfikacji. Ustawa wymaga wdrożenia SZBI z art. 8 i szeregu obowiązków poza nim, a nie przewiduje zaliczenia certyfikatu. Dlatego certyfikat nie spełnia celu spełnienia KSC, choć bywa mocnym punktem startu. Co dokładnie certyfikat załatwia, a czego nie, rozkładamy w artykule o tym, czy certyfikat ISO 27001 wystarcza.

Certyfikat ma za to realną wartość w innych sytuacjach. Klienci objęci ustawą muszą oceniać swoich dostawców, w tym jakość ich produktów i usług ICT (art. 8 ust. 2), więc certyfikat u dostawcy jest dla nich czytelnym sygnałem. Jeśli dostarczasz usługi podmiotom kluczowym i ważnym, certyfikat ułatwia życie w łańcuchu dostaw. Ma też sens, gdy wymaga go zamawiający w przetargu albo gdy zarząd chce regularnej, niezależnej oceny systemu. Gdy jednak jedynym celem jest spełnienie KSC, lepiej zbudować SZBI według normy jako wzorca i odłożyć decyzję o certyfikacji. Jak norma ma się do systemu z ustawy, tłumaczymy w przewodniku o SZBI i ISO 27001.

Co zrobić krok po kroku

1. Nazwij cel. Ustal, po co rozważasz certyfikat: spełnienie KSC, wymóg klienta, przetarg czy zewnętrzna ocena. Sam cel spełnienia KSC certyfikatu nie uzasadnia. Efekt: zapisany cel decyzji.
2. Sprawdź wymagania klientów i przetargów. Przejrzyj umowy i ogłoszenia, w których startujesz. Jeśli pojawia się wymóg ISO 27001, certyfikat staje się argumentem handlowym. Efekt: lista wymagań zewnętrznych.
3. Policz koszt całkowity. Do kosztu wdrożenia dolicz audyty jednostki certyfikującej i ich cykliczność. Porównaj z korzyścią z punktu pierwszego. Efekt: zestawienie kosztów i korzyści.
4. Wybierz drogę. Certyfikat, gdy przeważa korzyść zewnętrzna, albo sama zgodność według normy, gdy chodzi wyłącznie o dobre zarządzanie i KSC. Efekt: decyzja zarządu z uzasadnieniem.
5. Niezależnie od wyboru domknij obowiązki ustawowe. Wpis do Wykazu KSC, zgłoszenia incydentów, szkolenie kierownika i audyt z art. 15 trzeba wykonać tak czy inaczej. Efekt: plan obowiązków ustawowych poza systemem.

Jak sprawdzić, że zadziałało

Decyzja jest dobra, gdy wynika z zapisanego celu, a nie z pośpiechu, i gdy niezależnie od niej firma ma plan na obowiązki ustawowe, których certyfikat nie obejmuje. Jeżeli wybrałeś samą zgodność, sprawdź, czy system według normy realnie działa: ma analizę ryzyka, polityki, zabezpieczenia i przeglądy. Jeżeli wybrałeś certyfikat, upewnij się, że jego zakres pokrywa systemy objęte ustawą, bo certyfikat na wąski fragment firmy nie zamyka tematu KSC.

Podstawa prawna i źródła

• art. 8 ust. 1-3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło) - art. 8 ust. 1 i ust. 2
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026 (źródło) - dokument niewiążący - m.in. odpowiedzi 3.3 i 3.6

Stan prawny na 14 października 2026 r. Opis normy ISO/IEC 27001 jest ogólny, bez cytowania jej treści, bo norma jest objęta prawem autorskim. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: najczęstsze pytania i problemy związane z NIS2 i KSC