Dlaczego certyfikat to nie tylko naklejka na stronie

Dlaczego certyfikat to nie tylko naklejka na stronie

Prawie każda firma IT pisze o sobie „dbamy o bezpieczeństwo". Certyfikat to jedyny sposób, żeby to sprawdzić bez konieczności wierzenia komuś na słowo. Za każdym logo na stronie stoi niezależny audyt – zewnętrzna jednostka certyfikująca, która przez kilka dni sprawdza dokumentację, rozmawia z pracownikami, testuje zabezpieczenia i dopiero potem decyduje, czy firma faktycznie spełnia wymagania danej normy. To coś zupełnie innego niż deklaracja na stronie internetowej, którą może napisać każdy.

Certyfikat nie jest też jednorazowym wydarzeniem. ISO 27001 wydaje się na 3 lata, ale co roku odbywa się audyt nadzoru, który sprawdza, czy system zarządzania bezpieczeństwem informacji nadal działa – nie tylko istnieje na papierze. Jeśli firma przestaje spełniać wymagania, jednostka certyfikująca może certyfikat zawiesić albo cofnąć. To realna, powtarzalna kontrola, nie jednorazowy „papierek".

Dwa rodzaje certyfikatów – firmowe i osobiste

Warto rozróżniać dwa poziomy certyfikacji, bo odpowiadają na różne pytania.

Certyfikaty firmowe (ISO 27001, ISO 9001, ISO 22301, SOC 2) potwierdzają, że cała organizacja – procesy, dokumentacja, procedury – działa zgodnie z uznaną normą. ISO 27001 dotyczy zarządzania bezpieczeństwem informacji, ISO 9001 – jakości i powtarzalności usług, ISO 22301 – ciągłości działania na wypadek awarii czy incydentu, a SOC 2 – kontroli bezpieczeństwa u dostawców usług, zwłaszcza chmurowych. To odpowiedź na pytanie: „czy ta firma jako całość ma poukładane procesy".

Certyfikaty osobiste (CISA, CISM, CompTIA Network+, uprawnienia audytora wiodącego ISO 27001) potwierdzają kompetencje konkretnej osoby, a nie całej firmy. Mówią: „ten człowiek zdał egzamin, ma wymagane doświadczenie i wie, jak przeprowadzić audyt albo ocenić ryzyko". To odpowiedź na pytanie: „czy osoba, która faktycznie będzie pracować przy moim projekcie, ma do tego kwalifikacje" – a nie tylko firma jako marka.

Dobry partner ma jedno i drugie. Sama certyfikacja firmowa bez wykwalifikowanych ludzi to fasada. Same kompetencje pojedynczych osób bez firmowych procesów to ryzyko, że jakość usługi zależy od tego, kto akurat ma dobry dzień.

NIS2 sprawia, że to przestaje być tylko kwestia wizerunku

W Polsce nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, weszła w życie 2 kwietnia 2026 roku, po podpisaniu przez Prezydenta 19 lutego 2026. Podmioty objęte przepisami – zaklasyfikowane jako „kluczowe" lub „ważne" – mają czas do 2 października 2026 roku na spełnienie podstawowych obowiązków, licząc od wejścia ustawy w życie.

Do tych obowiązków należą między innymi: systematyczne zarządzanie ryzykiem proporcjonalne do zagrożeń, wdrożenie zabezpieczeń technicznych i organizacyjnych (np. systemy klasy SIEM czy EDR, kontrola dostępu, procedury backupu), zgłaszanie poważnych incydentów do właściwego CSIRT w ciągu 24 godzin, a także posiadanie udokumentowanych polityk bezpieczeństwa, planów reagowania na incydenty i ciągłości działania.

NIS2 nie mówi wprost „musisz mieć ISO 27001" – ustawa wymaga wdrożenia konkretnych środków, a nie posiadania konkretnego certyfikatu. W praktyce jednak trudno zbudować i udokumentować system zarządzania ryzykiem bezpieczeństwa informacji od zera, samodzielnie wymyślając strukturę polityk i procedur. Norma ISO/IEC 27001 daje gotowy, sprawdzony szkielet, który pokrywa się z dużą częścią tego, czego wymaga NIS2 – a certyfikacja jest sposobem na wykazanie, że ten szkielet rzeczywiście działa, a nie tylko istnieje w segregatorze.

Na co patrzeć, wybierając partnera po certyfikatach

Samo logo na stronie mówi mniej, niż mogłoby się wydawać, jeśli nie sprawdzi się kilku rzeczy. Po pierwsze – aktualność normy. Od 31 października 2025 roku certyfikaty ISO/IEC 27001:2013 straciły ważność – jeśli ktoś pokazuje badge w starej wersji normy, certyfikat najprawdopodobniej wygasł. Po drugie – kto wydał certyfikat. Powinna to być akredytowana, niezależna jednostka certyfikująca, a nie sama firma. Po trzecie – zakres certyfikatu: czy obejmuje całą organizację i realnie świadczone usługi, czy tylko wąski, boczny fragment działalności. I po czwarte – czy za certyfikatem firmowym stoją realni ludzie z osobistymi uprawnieniami, bo to oni będą prowadzić Wasz audyt czy wdrożenie, a nie samo logo na stronie.

Jak to wygląda u nas

W Smartech-IT stawiamy na oba poziomy naraz. Nasze certyfikaty firmowe – w tym ISO/IEC 27001:2022 – potwierdzają, że procesy i dokumentacja są aktualne i realnie egzekwowane, a nie tylko spisane raz i odłożone na półkę. Równolegle w zespole mamy 7 certyfikowanych audytorów wiodących ISO 27001 oraz specjalistów z uprawnieniami CISA, CISM i CompTIA Network+ – więc audyt czy przygotowanie do certyfikacji prowadzą u nas osoby z realnymi, sprawdzonymi kwalifikacjami, a nie przypadkowy zespół.

Pełną listę naszych certyfikatów znajdziesz na stronie z certyfikatami, a jeśli zastanawiasz się, jak wygląda sam proces certyfikacji ISO 27001 i jak się do niego przygotować, opisaliśmy to krok po kroku na stronie Audyt ISO 27001.