ISO 27001 u Hrvatskoj: potpuni vodič do certifikata (2026)

Certifikat ISO 27001 i stvarna sigurnost nisu isto. Tvrtka može imati uredan certifikat na zidu i ostati ranjiva, a može biti dobro zaštićena bez ijednog certifikata. Razlog je jednostavan. Certifikat dokazuje da imate sustav upravljanja i kontrole na papiru. Ne dokazuje da te kontrole zaustavljaju napadača. Ovaj vodič pokriva i jedno i drugo: što norma traži, kako teče put do certifikata i kako osigurati da iza papira stoji obrana koja stvarno radi.

Pišemo iz perspektive inženjera koji rade sigurnosno testiranje i pripremaju tvrtke za reviziju. Kroz cijeli tekst povezujemo zahtjeve norme s konkretnim tehničkim radom, od procjene ranjivosti do penetracijskog testiranja. Ako tek slažete prioritete, počnite od šire slike u tekstu odakle krenuti u kibernetičkoj sigurnosti.

Što je ISO 27001 i što je ISMS

ISO/IEC 27001:2022 propisuje zahtjeve za uspostavu, primjenu, održavanje i stalno poboljšavanje sustava upravljanja informacijskom sigurnošću.¹ ISMS nije alat ni jedan dokument. To je povezan skup procesa kojima tvrtka odlučuje što štiti, koliko i kako, te to dokazuje zapisima. Norma ne propisuje koju tehnologiju kupiti. Propisuje kako morate razmišljati o riziku i kako dokazati da ga držite pod kontrolom.

Norma ima dva dijela. Klauzule 4 do 10 opisuju sam sustav upravljanja: kontekst organizacije, vodstvo, planiranje, podršku, izvođenje, vrednovanje i poboljšavanje. Te su klauzule obvezne za svaku certificiranu tvrtku i revizor ih provjerava bez iznimke. Drugi dio je Prilog A s katalogom kontrola koje smanjuju rizik, detaljno opisanih u pratećoj normi ISO/IEC 27002.²

93 kontrole u četiri teme

Izdanje iz 2022. donijelo je veliku promjenu u odnosu na 2013. Prijašnjih 114 kontrola u 14 domena sažeto je u 93 kontrole raspoređene u četiri teme.¹² Uvedeno je 11 novih kontrola koje odražavaju današnje prijetnje, među njima obavještajni podaci o prijetnjama, sigurnost u oblaku, spremnost na incidente i sigurno kodiranje.

Tvrtka ne mora primijeniti svih 93 kontrole. Mora odlučiti koje su primjenjive na temelju procjene rizika i to obrazložiti u dokumentu koji se zove Izjava o primjenjivosti (Statement of Applicability, SoA). SoA je dokument koji revizor gotovo uvijek traži prvi, jer pokazuje kako razmišljate o vlastitom riziku.

Zašto je ISO 27001 važan u Hrvatskoj

Norma je dobrovoljna. Nijedan zakon ne traži baš ISO 27001. U praksi certifikat postaje uvjet za posao, a regulatorni pritisak u Europi i Hrvatskoj raste. NIS2 direktiva prenesena je u hrvatsko pravo Zakonom o kibernetičkoj sigurnosti (NN 14/2024) i pratećom Uredbom (NN 135/2024).³⁴⁵ Za financijski sektor DORA postavlja izravne obveze.⁶ Obradu osobnih podataka uređuje Opća uredba (GDPR), nad kojom u Hrvatskoj bdije AZOP.⁸

ISO 27001 nije isto što i te regulative, ali daje provjeren okvir koji pokriva velik dio njihovih zahtjeva. ENISA, agencija EU-a za kibernetičku sigurnost, u svojim smjernicama povezuje mjere iz NIS2 s priznatim normama poput ISO 27001.⁷ Tvrtka koja već ima ISMS ulazi u usklađivanje s NIS2 ili DORA-om s ozbiljnom prednošću, jer su procjena rizika, upravljanje incidentima i kontrole već uspostavljeni.

U praksi certifikat traže banke i osiguratelji, javni naručitelji kroz natječajnu dokumentaciju te veliki inozemni partneri prije potpisa ugovora. Za SaaS i tehnološke tvrtke certifikat je često ulaznica za rad s velikim klijentima.

Proces certifikacije korak po korak

Put do certifikata ima jasan slijed i svaki korak gradi na prethodnom. Preskakanje koraka gotovo se uvijek osveti na reviziji. Ovo je tipičan tijek za organizaciju srednje veličine koja kreće od nule.

1. 01
   Analiza odstupanja

   Na početku mjerite koliko ste daleko od zahtjeva norme, pa znate realan opseg posla prije nego što potrošite vrijeme i novac.
2. 02
   Opseg ISMS-a

   Određujete koje lokacije, sustavi i procesi ulaze unutar granica certifikata. Ne morate certificirati cijelu tvrtku odjednom, ali opseg ne smije biti toliko uzak da certifikat izgubi vrijednost.
3. 03
   Procjena rizika i postupanje

   Popisujete imovinu, procjenjujete prijetnje i ranjivosti, pa odlučujete koje kontrole iz Priloga A primjenjujete i zašto.
4. 04
   Dokumentacija i SoA

   Pišete politike i postupke te Izjavu o primjenjivosti koja obrazlaže izbor svake kontrole.
5. 05
   Primjena kontrola

   Dokumente pretvarate u stvaran rad, od tehničkih zaštita do edukacije zaposlenika.
6. 06
   Interna revizija i upravina ocjena

   Sami provjeravate radi li sustav prije vanjskog revizora i prikupljate zapise koji to dokazuju.
7. 07
   Certifikacijska revizija (faza 1 i 2)

   Akreditirano certifikacijsko tijelo provjerava dokumentaciju (faza 1) i primjenu u praksi (faza 2), pa izdaje certifikat.

Certifikat vrijedi tri godine. U prvoj fazi revizor provjerava vašu dokumentaciju i spremnost. U drugoj fazi provjerava radi li sustav u praksi, kroz razgovore, uzorke i dokaze. Tijekom trogodišnjeg ciklusa slijede godišnje nadzorne revizije, a na kraju recertifikacija.¹

Koliko traje i koliko košta

Trošak ISO 27001 certifikacije nije jedna stavka. Sastoji se od internog vremena vaših ljudi, eventualne vanjske pomoći u pripremi, naknade akreditiranom certifikacijskom tijelu te ulaganja u kontrole koje vam nedostaju. Najveći skriveni trošak je posao koji nastaje kad revizor pronađe nesukladnost koju ste mogli izbjeći.

ISO 27001 ili SOC 2

Tvrtke koje rade na više tržišta često trebaju oboje. Razumijevanje preklapanja štedi novac, jer jednom napravljen posao može poslužiti za više okvira.

Detaljnije pišemo u tekstu što je SOC 2 i kada vam treba, a pripremu za oba okvira vodimo kroz SOC 2 uslugu.

Najčešće pogreške u hrvatskim implementacijama

Većina pogrešaka nije tehničke prirode. Nastaju kad tvrtka certifikat tretira kao projekt s rokom, a ne kao način rada. Sustav koji se napuhne tjedan dana prije revizije splasne tjedan dana nakon nje, a sljedeća nadzorna revizija to otkrije.

• Opseg ISMS-a postavljen preusko ostavlja ključne sustave izvan certifikata, pa klijentima ne znači ono što misle.
• Dokumentacija prepisana iz predloška opisuje tvrtku koja ne postoji, što revizor brzo otkrije kroz razgovore.
• Procjena rizika napravljena formalno, bez tehničkih dokaza, ostavlja prave ranjivosti neprimijećene.
• Edukacija svedena na potpis na listi ne mijenja ponašanje, pa ljudi ostaju najslabija točka.
• Tehnološke kontrole koje se nikad ne testiraju daju lažan osjećaj sigurnosti.

Sigurnost mora doći prije certifikata

Norma u kontroli upravljanja tehničkim ranjivostima traži da redovito tražite i ispravljate slabe točke. To se najbolje dokazuje kroz redovitu procjenu ranjivosti i periodičko penetracijsko testiranje. Kad pokrenemo testiranje na vašim ključnim sustavima, procjena rizika prestaje biti teorija i počiva na dokazima o tome što je stvarno iskoristivo. Revizori takve dokaze sve češće traže za tehnološke kontrole iz izdanja 2022.

Certifikat dokazuje da kontrolu imate. Sigurnosno testiranje dokazuje da kontrola radi. Tražite oboje.

Kako Raptoric pomaže

Pripremamo tvrtke za ISO 27001 tako da iza svake kontrole stoji stvaran rad. Kroz sigurnosni program i rizik slažemo procjenu rizika, dokumentaciju i Izjavu o primjenjivosti tako da opisuju vašu stvarnu tvrtku, a ne idealnu koja ne postoji. Kroz penetracijsko testiranje dokazujemo da tehnološke kontrole funkcioniraju. Ne izdajemo certifikat, to radi neovisno akreditirano tijelo, ali vas dovodimo do revizije spremne i bez iznenađenja.

Ako planirate certifikat ili usklađivanje s NIS2 i DORA-om, prvi je korak razgovor o opsegu i polaznoj točki. Dogovorite razgovor o opsegu i posložit ćemo realan plan, rok i trošak za vašu organizaciju.