ISO 27001-certifiering: så går det till

Vår bedömning i korthet

• Certifikatet är ett kvitto på ett arbetssätt som redan fungerar. Det är inget projekt som tar slut vid revisionen.
• Välj ett certifieringsorgan som är ackrediterat av Swedac (eller av en motsvarande ackrediteringsmyndighet inom EA). Ett certifikat utan ackreditering väger lätt i upphandlingar.
• Tid och kostnad styrs mest av omfattningen och av hur mycket som redan finns på plats. Att begränsa omfattningen på ett bra sätt sparar mest.

Vem får certifiera?

Certifieringen görs av ett certifieringsorgan, aldrig av er IT-leverantör eller konsult. I Sverige ackrediteras certifieringsorgan av Swedac. Ackrediterade organ finns i Swedacs ackrediteringsregister. Organen arbetar enligt SS-EN ISO/IEC 17021-1 och ISO/IEC 27006-1:2024, som anger hur revisionerna ska gå till.

Certifieringsorganet får inte samtidigt vara konsult för det ledningssystem det certifierar. Det får inte heller göra era interna granskningar av ledningssystemet (ISO/IEC 27006-1:2024, 5.2.2). Den som hjälper er med förberedelserna kan därför inte utfärda certifikatet.

Så går certifieringen till

• 1. Förberedelser. Omfattningen är bestämd, riskbedömningen är gjord, och uttalandet om tillämplighet är skrivet. Ledningssystemet har använts en tid, så att det finns underlag: en internrevision och en ledningens genomgång.
• 2. Steg 1-revision. Revisorn granskar förutsättningarna och dokumentationen: omfattning, policy, riskbedömning, uttalandet om tillämplighet och om ni är redo för steg 2.
• 3. Steg 2-revision. Revisorn granskar hur ledningssystemet fungerar i praktiken. Det sker genom intervjuer, stickprov och genomgång av underlag.
• 4. Avvikelser. Revisorn kan notera avvikelser. Större avvikelser måste åtgärdas innan certifikatet utfärdas.
• 5. Certifikat. Certifikatet gäller för den omfattning som står på det.

Efter certifieringen

• Uppföljning minst en gång per år. Certifieringsorganet gör uppföljande revisioner under certifikatets giltighetstid.
• Omcertifiering inom tre år. Därefter görs en grundligare utvärdering inför nästa period.
• Förändringar. Ändras omfattningen, till exempel genom nya kontor eller tjänster, behöver certifieringsorganet få veta det.

Vad styr tid och kostnad?

Vi anger inga schabloner, eftersom spridningen mellan företag är stor och vi inte kan belägga ett typvärde. Det här är det som styr:

• Omfattningen: antal platser, verksamheter och system som ingår.
• Utgångsläget: vad som redan finns i form av policyer, behörighetsrutiner, backup, loggning och incidentrutiner.
• Antal anställda inom omfattningen. Det påverkar hur många revisionsdagar certifieringsorganet behöver enligt ISO/IEC 27006-1.
• Beslutstakten: hur snabbt ledningen kan fatta beslut om risker och åtgärder.

Be om offert från fler än ett ackrediterat certifieringsorgan. Fråga hur många revisionsdagar de räknar med och varför.

Vad bör ni göra nu, och vad kan vänta?

Gör nu: Bestäm omfattningen och fråga era viktigaste kunder vilken omfattning de faktiskt kräver. Gör en första jämförelse mot Annex A (se vad är ISO 27001).

Kan vänta: Valet av certifieringsorgan, tills ledningssystemet har fungerat en tid och ni har gjort en första internrevision.

Så har vi resonerat

Processen följer Swedacs beskrivning av certifiering av ledningssystem och kraven i SS-EN ISO/IEC 17021-1 och ISO/IEC 27006-1. Vi utfärdar inga certifikat och gör inga certifieringsrevisioner. Vi kan hjälpa till med de tekniska och dokumenterade delarna inför en revision.

Källor

• Swedac: certifiering av ledningssystem och ackrediteringsregistret, swedac.se (öppnas i ny flik)
• SS-EN ISO/IEC 17021-1 (krav på organ som certifierar ledningssystem)
• ISO/IEC 27006-1:2024 "Information security, cybersecurity and privacy protection – Requirements for bodies providing audit and certification of information security management systems – Part 1: General" (utgåva 1, mars 2024), iso.org/standard/82908 (öppnas i ny flik)
• ISO/IEC 27001:2022, iso.org/standard/27001 (öppnas i ny flik)