Ce este ISO 27001 si de ce conteaza in 2026
ISO/IEC 27001 este standardul international pentru sisteme de management al securitatii informatiei (ISMS — Information Security Management System). Spre deosebire de ISO 9001 (calitate) sau 14001 (mediu), ISO 27001 nu iti spune ce sa faci, ci cum sa identifici riscurile si sa decizi singur controalele potrivite.
Standardul a fost actualizat in octombrie 2022, iar versiunea 2013 a fost retrasa oficial in octombrie 2025. Toate firmele certificate trebuie sa fie pe versiunea ISO 27001:2022.
Modificarile cele mai importante: 93 controale anexa A (vs 114 in 2013), reorganizate in 4 teme — Organizationale, Persoane, Fizice, Tehnologice. 11 controale noi adaugate, inclusiv pentru cloud, threat intelligence, data masking.
Cine are nevoie de ISO 27001
Furnizorii cloud, dezvoltatori software, companii MSP — toti cer ISO 27001 ca dovada de incredere pentru clientii B2B.
Sectorul financiar e obligat de BNR/ASF sa demonstreze securitate. ISO 27001 e standardul recunoscut.
Spitale, clinici, laboratoare, dar si HR-firme, marketing — orice firma cu date personale sensibile beneficiaza.
Plus orice companie care:
- Lucreaza cu clienti multinationali care cer dovezi de securitate
- Participa la licitatii publice cu cerinte IT
- E inclusa in domeniul NIS2 (cu 1.000+ angajati sau anumite sectoare)
- Proceseaza date care, daca se scurg, ar costa firma scump (financiar + reputational)
- Vrea sa se diferentieze de concurenta prin incredere demonstrata
ISO 27001 vs GDPR vs NIS2 — care e care
| ISO 27001 | GDPR | NIS2 | |
|---|---|---|---|
| Tip | Standard voluntar | Regulament UE obligatoriu | Directiva UE obligatorie |
| Scop | Securitate informatie (toate) | Protectie date personale | Securitate cibernetica sectoare critice |
| Pentru cine | Orice firma, voluntar | Orice firma cu date UE | Sectoare critice (energie, sanatate, IT, etc.) |
| Penalitati | Pierdere certificat | Pana la 4% cifra afaceri | Pana la 10M€ sau 2% cifra |
| Certificare | DA (de catre organism) | NU (auto-certificare) | NU (verificare autoritate) |
Implementarea ISO 27001 acopera ~70% din cerintele GDPR (securitate, breach notification, accountability) si ~60% din NIS2. Certificarea ISO 27001 demonstreaza autoritatilor ca ai luat „masuri tehnice si organizationale rezonabile" — argument puternic in caz de incident.
Anexa A: Cele 93 controale ISO 27001:2022
Anexa A din ISO 27001:2022 contine 93 controale grupate in 4 teme. Acestea sunt „instrumentele" din care alegi pe baza riscurilor identificate.
A.5 Controale organizationale
Politici, roluri, gestionare furnizori, classification informatii, threat intelligence. Cea mai mare tema.
A.6 Controale persoane
Screening angajati, terms of employment, training awareness, disciplinary process.
A.7 Controale fizice
Securitate spatii, acces fizic, protectie echipamente, clean desk, surveillance.
A.8 Controale tehnologice
Autentificare, criptare, backup, network security, malware protection, vulnerabilities, configuration management.
Anexa A e un meniu — alegi controalele relevante pentru riscurile tale. Output documentat: Statement of Applicability (SoA) — lista cu ce controale ai ales si de ce. E unul din documentele cheie ale auditului.
Cele 5 controale noi introduse in 2022
ISO 27001:2022 a adaugat 11 controale noi (in Anexa A). Cele mai importante:
Threat Intelligence. Obligatia de a colecta si analiza informatii despre amenintari cibernetice relevante pentru organizatie.
Information Security for Cloud Services. Politici specifice pentru utilizarea serviciilor cloud (SaaS, IaaS, PaaS).
ICT Readiness for Business Continuity. Procese specifice de continuitate IT.
Information Deletion. Stergere sigura a informatiilor cand nu mai sunt necesare (legat de GDPR right to be forgotten).
Secure Coding. Pentru firme de dezvoltare software — practici de programare sigura.
Ai sistem ISO 27001:2013 vechi? Trebuie urgent sa migrezi la 2022 (deadline depasit oct 2025).
Migrare urgentaProcesul de certificare in 6 pasi
Scope definition. Decizia ce procese, locatii, sisteme intra in certificare. Documentezi intr-un statement of scope.
Risk Assessment. Identifici activele informationale (date, sisteme, oameni) si riscurile pentru fiecare (confidentialitate, integritate, disponibilitate). Documentezi intr-un risk register.
Statement of Applicability (SoA). Documentezi care din cele 93 controale anexa A le aplici si care le excluzi (cu justificare).
Implementare controale. Aplici in practica controalele alese. Aceasta e partea cea mai lunga (3-9 luni).
Audit intern + Management Review. Verifici ca sistemul functioneaza, management-ul evalueaza rezultatele.
Audit certificare (etapa 1 + 2). Organismul acreditat te auditeaza. Etapa 1 = documentatie, Etapa 2 = on-site, focus pe risk + SoA + aplicarea controalelor.
Costuri reale ISO 27001 in 2026
| Firma | Angajati | Audit certificare | Implementare (cu consultant) |
|---|---|---|---|
| Microintreprindere IT | 1-9 | 4.000 – 6.500 RON | 8.000 – 15.000 RON |
| Firma IT medie | 10-49 | 6.500 – 12.000 RON | 15.000 – 30.000 RON |
| Firma IT mare | 50-249 | 12.000 – 22.000 RON | 30.000 – 60.000 RON |
| Enterprise | 250+ | la cerere | 60.000+ RON |
Preturi orientative fara TVA. Audituri anuale de supraveghere: 50-60% din auditul initial.
Pentru ISO 27001, costurile NON-certificare pot fi 2-5x mai mari decat certificarea in sine:
• Software securitate (firewall, EDR, SIEM) — 5.000-50.000 RON/an
• Penetration testing — 8.000-25.000 RON pe test
• Training echipa — 2.000-10.000 RON
• Re-design procese / arhitectura — variabil
Pachet ISO 27001 + ISO 9001 — sinergii
ISO 27001 + ISO 9001 + ISO 20000-1
Triple-cert pentru companii IT — securitate, calitate si management servicii IT.
- Acopera 90% din cerintele clientilor B2B IT
- Audit integrat — economie 40% vs 3 audituri
- Sistem unitar de management (un singur set de proceduri)
- Suficient pentru NIS2 + GDPR + multinational suppliers
- Diferentiere clara fata de competitie
Greseli care duc la esec la auditul ISO 27001
1. Risk Assessment generic. Copy-paste de la altcineva. Auditorul vede instant. Trebuie sa reflecte realitatea TA.
2. SoA inconsistent. Spui ca aplici 80 controale, dar pe teren gasesti doar 40 implementate. Fail.
3. Lipsa awareness training. Angajatii nu stiu nimic despre politici. Auditorul vorbeste cu un junior si descopera golul.
4. Backup-uri netestate. Ai politica de backup, dar nimeni nu a testat restore in ultimii 2 ani. Major neconformitate.
5. Incident management doar pe hartie. Procedura zice „raportam in 24h", dar n-aveti log de incidente real. Rosu.
Intrebari frecvente
Cat dureaza implementarea ISO 27001 de la zero?
Pentru o firma cu 20 angajati si sisteme IT moderate: 4-6 luni. Pentru o firma cu 100+ angajati si infrastructura complexa: 8-12 luni. Diferenta vine din implementarea controalelor tehnice (firewall, EDR, criptare, etc.).
Pot sa fac ISO 27001 fara sa fiu firma IT?
Da. Standardul e independent de domeniu. Au certificare ISO 27001 firme medicale, institutii financiare, agentii marketing cu date personale, lanturi logistice — orice firma care „are ceva de pierdut" daca datele scapa.
Trebuie sa am CISO (Chief Information Security Officer)?
Nu obligatoriu, dar trebuie ROL responsabil pentru securitate. Pentru firme mici, poate fi IT manager-ul existent. Pentru firme mari (250+), CISO dedicat e recomandat. Rolul trebuie documentat clar.
Pot integra ISO 27001 cu sistemul nostru existent ISO 9001?
Da. Multe documente comune (politici, control documente, audit intern, management review). In medie, daca ai ISO 9001 implementat, ISO 27001 ia 30-40% mai putin timp decat ar lua singur.
Ce se intampla daca avem un incident de securitate dupa certificare?
Incidentele se intampla chiar si firmelor certificate. Important e CUM le gestionezi — daca urmezi procedurile, raportezi, faci lessons learned, pastrezi certificatul. Daca incidentul demonstreaza ca sistemul nu functiona, certificatul poate fi suspendat.