De ce crește cererea pentru ISO 27001 în 2026
Directiva NIS2 a Uniunii Europene, transpusă acum în legislația românească, obligă o categorie largă de companii — din energie, transport, sănătate, infrastructură digitală, servicii financiare și nu numai — să demonstreze că au măsuri tehnice și organizatorice reale de securitate cibernetică. Nu declarații. Dovezi. ISO 27001 este standardul internațional care oferă exact cadrul necesar pentru a face asta credibil, verificabil și recunoscut cross-border.
Există o diferență importantă între a fi conform NIS2 și a fi certificat ISO 27001. Conformitatea NIS2 înseamnă că respecți cerințele minime impuse de lege — dar nu există un auditor extern independent care să îți valideze asta în fața unui partener de afaceri sau a unui client din UE. Certificarea ISO 27001, în schimb, vine cu un certificat emis de un organism de certificare acreditat, după un audit independent. Credibilitatea este incomparabil mai mare.
În practică, văd tot mai des clauze contractuale care cer explicit certificarea ISO 27001. Băncile o cer furnizorilor de software. Instituțiile publice o includ în caietele de sarcini pentru licitații. Partenerii din Germania, Olanda sau Franța o tratează ca pe un standard de intrare pe piață, nu ca pe un avantaj opțional. Dacă vinzi servicii B2B cu componentă digitală sau prelucrezi date în numele altora, certificarea devine rapid o condiție, nu o opțiune.
Ce înseamnă concret certificarea ISO 27001:2022
ISO/IEC 27001:2022 este versiunea în vigoare a standardului internațional pentru managementul securității informației. Față de versiunea anterioară (2013), Anexa A a fost restructurată: acum conține 93 de controale organizate în 4 teme — organizaționale, persoane, fizice și tehnologice. Dacă organizația ta este încă certificată pe versiunea 2013, tranziția la 2022 este obligatorie.
Ce certifică de fapt auditul? Nu un dosar frumos. Auditorul verifică dacă ai un Sistem de Management al Securității Informației (SMSI) — adică un sistem funcțional, viu, aplicat zilnic. Asta înseamnă că oamenii din organizație știu ce rol au, că riscurile sunt identificate și gestionate real, că incidentele sunt tratate și că managementul este implicat activ. Un dosar complet fără implementare reală cade la primul audit.
Un aspect pe care mulți îl subestimează: domeniul de aplicabilitate (scope). Certificarea nu acoperă automat întreaga companie. Poți certifica un departament, o linie de produse sau o locație specifică. Dacă definești un scope prea larg, costurile și complexitatea explodează. Dacă îl definești prea îngust sau vag, auditorul îl va contesta. Stabilirea corectă a scopului, de la început, este una dintre deciziile strategice cele mai importante ale procesului.
Etapele procesului de certificare pas cu pas
Gap analysis inițial: Primul pas real. Compari situația actuală cu cerințele standardului și identifici ce lipsește. Nu este opțional dacă vrei să nu pierzi bani și timp.
Implementarea SMSI: Elaborezi politicile, evaluezi riscurile (conform ISO 27005 sau altă metodologie documentată și justificată) și produci Declarația de Aplicabilitate (SoA — Statement of Applicability), un document care arată ce controale din Anexa A aplici, care excluzi și de ce.
Auditul intern: Obligatoriu înainte de auditul de certificare. Nu este o formalitate — este mecanismul prin care găsești problemele înainte ca auditorul extern să le găsească el. Dacă îl faci cu o săptămână înainte de certificare, nu ai timp să corectezi nimic.
Analiza de management: Conducerea organizației trebuie să analizeze formal performanța SMSI — rezultatele auditurilor, incidentele, riscurile, obiectivele. Mulți eșuează aici pentru că tratează ședința ca pe o bifă, nu ca pe o decizie reală.
Etapa 1 — auditul documentar: Organismul de certificare verifică dacă documentele și procesele sunt pregătite pentru etapa 2. Dacă identifică probleme critice, etapa 2 se amână.
Etapa 2 — auditul la fața locului: Auditorul verifică implementarea efectivă prin interviuri, observare și analiză de dovezi. O neconformitate majoră înseamnă că cerința standardului nu este îndeplinită deloc — certificatul nu se emite până nu o rezolvi. O neconformitate minoră înseamnă o lipsă parțială — ai termen să o corectezi. Certificatul este valabil 3 ani, cu audituri de supraveghere anuale.
Cât durează certificarea ISO 27001
Răspunsul sincer: între 6 și 12 luni pentru o companie care pornește de la zero. Variabilele sunt dimensiunea organizației, complexitatea proceselor și — mai ales — câtă resursă internă ești dispus să aloci.
Ce scurtează durata: o echipă internă cu responsabilități clare, un consultant care a mai trecut prin procesul de audit (nu doar prin implementare), și procese deja documentate din alte inițiative.
Ce lungește durata: un scope definit prea larg de la început, managementul care semnează documente fără să le înțeleagă, și o evaluare a riscurilor făcută superficial — care va trebui refăcută înainte de audit.
Există o capcană frecventă: companiile se grăbesc să obțină certificatul rapid, fac un SMSI subțire, trec auditul — și descoperă după 6 luni că sistemul nu funcționează fără consultantul care l-a construit. Un SMSI real trebuie să fie al tău, nu al consultantului. Aceasta este diferența dintre un certificat pe hârtie și un sistem care te protejează.
Costurile reale ale certificării ISO 27001 în România
Există trei categorii distincte de cost, pe care mulți le confundă sau le ignoră pe unele:
Costul pentru ghidarea procesului, elaborarea documentelor și pregătirea pentru audit. Cel mai variabil dintre cele trei.
Tariful perceput de organismul acreditat pentru etapele 1 și 2. Se calculează în zile-auditor și depinde de mărimea companiei și scope.
Timpul echipei tale alocat procesului — cel mai subestimat cost. Nu este zero și trebuie planificat din start.
| Categorie companie | Consultanță / implementare | Organism de certificare | Total estimat |
|---|---|---|---|
| IMM (50–200 angajați) | 4.000–10.000 EUR | 3.000–6.000 EUR | 7.000–16.000 EUR |
| Companie medie (200–1000 angajați) | 10.000–25.000 EUR | 6.000–15.000 EUR | 16.000–40.000 EUR |
Aceste cifre sunt orientative pentru 2026 și variază în funcție de scope, complexitate și furnizori aleși. Cum alegi un organism de certificare acreditat: verifică dacă are acreditare RENAR sau echivalent european în cadrul EA MLA (European Accreditation — Multilateral Agreement). Acreditarea este garanția că certificatul tău este recunoscut internațional. Nu alege exclusiv după preț.
Ofertele foarte ieftine ar trebui să ridice semne de întrebare. De obicei, compromisul se face la numărul de zile de audit (sub minimul necesar) sau la calitatea verificării. Un certificat obținut printr-un audit superficial te expune la probleme serioase la supravegherea anuală sau la un audit al unui client.
Costuri recurente: auditul de supraveghere anual costă 40–60% din costul auditului inițial, iar recertificarea la 3 ani este un audit complet, similar cu cel de certificare.
Greșeli frecvente care duc la eșecul auditului
După sute de audituri, văd aceleași probleme revenind. Le enumăr direct, fără menajamente:
- Evaluarea riscurilor făcută ca bifă — liste copiate din template-uri, fără analiză reală a contextului organizației. Auditorul o identifică în primele 20 de minute.
- Declarația de Aplicabilitate (SoA) copiată integral dintr-un model, fără justificări proprii pentru controalele excluse din Anexa A.
- Auditul intern realizat cu o săptămână înainte de auditul de certificare — nu mai există timp fizic pentru corectarea neconformităților găsite.
- Managementul semnează politicile de securitate, dar nu știe ce conțin și nu poate răspunde la întrebări elementare — neconformitate majoră garantată.
- Scope definit vag sau cu excluderi nejustificate — auditorul va cere explicații pe care nu le vei putea da.
"Cel mai frecvent motiv de eșec la audit nu este lipsa documentelor. Este discrepanța dintre ce scrie în documente și ce se întâmplă efectiv în organizație. Auditorul nu citește dosarele — vorbește cu oamenii." — Rareș Nicorici, Lead Auditor IRCA
Cum să alegi consultantul potrivit pentru ISO 27001
Există o diferență esențială între un consultant care îți livrează un dosar complet și unul care îți construiește un sistem care funcționează și după ce pleacă el. Iată ce să ceri explicit înainte să semnezi un contract:
- Câte audituri de certificare ISO 27001 a participat — ca auditor sau ca însoțitor? Implementarea și auditul sunt perspective diferite.
- Are experiență cu versiunea ISO/IEC 27001:2022, nu doar cu versiunea anterioară din 2013?
- Poate oferi referințe verificabile de la clienți care au trecut auditul de certificare, nu doar de la clienți care au primit dosare?
- Cum arată implicarea echipei tale în proces — sau consultantul face totul singur și livrează documente gata?
Întreabă direct: „Ce se întâmplă dacă la auditul de certificare apare o neconformitate majoră? Ce include contractul nostru în acel scenariu?" Răspunsul îți spune mult despre seriozitatea consultantului.
De ce contează că persoana care te ghidează să fi stat și de cealaltă parte a mesei — ca auditor? Pentru că știe exact ce caută un auditor, cum formulează întrebările și ce dovezi sunt suficiente. Nu ghicește. Știe.
Următorii pași dacă vrei să începi
Poți face o evaluare simplă în 30 de minute chiar acum. Ia standardul ISO/IEC 27001:2022 și parcurge clauzele 4 până la 10 — acestea sunt cerințele obligatorii ale sistemului de management. Pentru fiecare clauză, răspunde sincer: avem ceva documentat și aplicat real, sau nu?
- Clauza 4 — Contextul organizației: ai identificat părțile interesate și cerințele lor privind securitatea informației?
- Clauza 5 — Leadership: managementul are un rol formal definit în SMSI?
- Clauza 6 — Planificare: ai o evaluare documentată a riscurilor de securitate?
- Clauza 7 — Suport: angajații știu ce politici se aplică și ce rol au ei?
- Clauza 8 — Operare: controalele sunt implementate efectiv, nu doar descrise?
- Clauza 9 — Evaluarea performanței: faci audituri interne și analize de management periodic?
- Clauza 10 — Îmbunătățire: neconformitățile sunt tratate sistematic?
Dacă la mai mult de 3 întrebări răspunsul este „nu" sau „nu știu", un gap analysis profesionist îți va economisi timp și bani. Acesta îți dă o imagine clară a distanței față de certificare, un plan de acțiune prioritizat și o estimare realistă de timp și resurse.
Articolul are caracter informativ și nu constituie consultanță juridică.
Ai nevoie de ajutor concret?
Golden Audit Consulting® te ajută cu implementare, audit și conformare — fără birocrație inutilă.