Ce este ISO 27001, pe scurt
ISO 27001 este standardul internațional care definește cum construiești un Sistem de Management al Securității Informațiilor — prescurtat SMSI. Concret, îți oferă un cadru structurat de reguli, procese și controale care protejează informațiile valoroase din compania ta: date ale clienților, contracte, coduri sursă, date financiare, acredențiale de acces.
Standardul este publicat de ISO (Organizația Internațională de Standardizare) împreună cu IEC. Versiunea în vigoare este ISO/IEC 27001:2022, actualizată față de ediția 2013 cu controale noi legate de securitatea cloud, securitatea fizică și threat intelligence — adică exact domeniile în care riscurile au crescut cel mai mult în ultimii ani.
Dacă GDPR îți spune ce trebuie să protejezi (datele personale ale utilizatorilor), ISO 27001 îți arată cum construiești sistemul care protejează orice informație valoroasă din firma ta — nu doar datele personale, ci tot ce contează pentru continuitatea afacerii tale.
Un aspect important pe care mulți fondatori îl înțeleg greșit: ISO 27001 nu este o lege și nu există o autoritate care să te amendeze dacă nu îl ai. Este un standard voluntar. Dar în practica din 2026, clienții mari — corporații multinaționale, bănci, instituții publice — îl cer contractual ca dovadă că ești un furnizor de încredere. Voluntar în teorie, obligatoriu în practică dacă vrei să lucrezi cu anumiți parteneri.
Standardul se aplică oricărei organizații, indiferent de dimensiune sau industrie. O companie de 12 oameni din IT poate fi certificată ISO 27001 la fel de bine ca o corporație cu mii de angajați. Ceea ce contează nu este cât ești de mare, ci cât de serios tratezi securitatea informațiilor pe care le gestionezi.
ISO 27001 vs GDPR: nu sunt același lucru
Aceasta este probabil cea mai frecventă confuzie pe care o întâlnesc în discuțiile cu manageri și fondatori. Mulți cred că dacă au un DPO (responsabil cu protecția datelor), o politică de confidențialitate și câteva formulare de consimțământ, sunt acoperiți și pe partea de securitate. Nu este așa.
| Criteriu | GDPR | ISO 27001 |
|---|---|---|
| Sursa obligației | Regulament european cu aplicabilitate directă | Standard voluntar internațional |
| Ce acoperă | Exclusiv date cu caracter personal | Orice informație valoroasă (comercială, financiară, tehnică) |
| Cine verifică | ANSPDCP (autoritate națională) | Organism de certificare acreditat |
| Consecința nerespectării | Amenzi de până la 4% din cifra de afaceri globală | Pierderea contractelor, excluderea din licitații |
| Rezultat vizibil | Conformitate legală documentată | Certificat recunoscut internațional |
Relația dintre cele două este de complementaritate, nu de substituție. ISO 27001 te ajută să respecți mai ușor cerințele GDPR, pentru că un sistem matur de management al securității informațiilor înseamnă implicit că ai controale pentru protecția datelor personale. Dar invers nu funcționează: conformitatea GDPR nu înseamnă că ai un SMSI funcțional.
„Le spun mereu clienților: GDPR îți dă amenda dacă greșești, ISO 27001 îți dă sistemul ca să nu greșești. Sunt complementare, nu alternative."
— Rareș Nicorici, Lead Auditor IRCA, fondator Golden Audit Consulting®
De ce primești brusc cereri de certificare ISO 27001
Dacă în ultimele luni ai primit un chestionar de securitate de la un client mare, o clauză contractuală nouă legată de securitatea informațiilor sau o cerere directă de certificare ISO 27001, nu ești singurul. Există două forțe principale care au schimbat piața în 2026.
Prima este Directiva NIS2 (Directiva UE privind securitatea rețelelor și a sistemelor informatice, versiunea revizuită), transpusă deja în legislația românească. Aceasta a extins semnificativ numărul companiilor obligate să implementeze măsuri de securitate cibernetică, incluzând nu doar operatorii de infrastructură critică, ci și furnizorii acestora din sectoare considerate esențiale sau importante. Dacă furnizezi servicii IT, software, cloud sau procesare de date unor astfel de organizații, cerințele ajung indirect și la tine.
A doua forță este presiunea de lanț de aprovizionare. Marile corporații și băncile și-au actualizat clauzele contractuale cu furnizorii — și ISO 27001 a devenit standardul acceptat universal ca dovadă că iei securitatea în serios.
IT & software, fintech și procesatori de plăți, e-commerce cu volum mare, companii medicale și furnizori de servicii pentru sănătate, furnizori de servicii cloud și hosting, companii care procesează date financiare sau date sensibile ale angajaților.
Mesajul direct: dacă ai primit un chestionar de securitate de la un client sau o clauză contractuală nouă legată de securitatea informațiilor, acesta este semnalul că trebuie să acționezi. Nu este panică, este un termen de care trebuie să ții cont.
Ce cere efectiv standardul: cele 3 niveluri pe care trebuie să le înțelegi
ISO 27001 este structurat pe logica unui ciclu de management — Plan, Do, Check, Act. Dar ca să înțelegi concret ce implică implementarea, e mai util să gândești în trei niveluri.
Definești ce informații protejezi, care este domeniul de aplicare al SMSI, cine este responsabil și care sunt obiectivele de securitate ale companiei. Fără această fundație, totul ce urmează este construit pe nisip.
Faci analiza de risc, decizi ce controale implementezi din cele 93 disponibile în Anexa A a versiunii 2022 și documentezi totul. Controalele acoperă securitatea IT, securitatea fizică, resursele umane și relațiile cu furnizorii.
Audituri interne regulate, analiză de management, corecții și îmbunătățiri continue. Sistemul trebuie să fie viu, nu un dosar care stă pe raft și prinde praf până la auditul de supraveghere.
Un lucru pe care mulți îl subestimează: ISO 27001 nu este exclusiv despre IT. Implementarea implică activ departamentul de HR (proceduri de onboarding și offboarding al angajaților, acces la sisteme), echipa juridică (contracte cu furnizorii și clauzele de confidențialitate), managementul (decizii formale de asumare a riscurilor) și operațiunile (proceduri de lucru la distanță, gestionarea dispozitivelor mobile). Este un standard de management, nu un checklist tehnic.
Cum arată procesul de certificare pas cu pas
Procesul de certificare ISO 27001 are o structură clară. Dacă știi la ce să te aștepți, îl poți planifica fără surprize neplăcute.
Pasul 1 — Analiza gap îți arată unde ești acum față de cerințele standardului. Este punctul de plecare obligatoriu — fără el, nu știi cât ai de lucrat și nu poți estima corect nici timpul, nici resursele necesare.
Pasul 2 — Implementarea înseamnă construirea efectivă a SMSI: politici de securitate, proceduri operaționale, registrul de riscuri, controale tehnice și organizaționale adaptate la realitatea companiei tale.
Pasul 3 — Auditul intern este verificarea ta proprie că sistemul funcționează înainte de a invita auditorul extern. Identifici eventualele lacune și le corectezi fără presiunea unui audit formal.
Pasul 4 — Auditul de certificare se desfășoară în două etape cu un organism acreditat: Stage 1 este revizia documentației (auditorul verifică dacă ai ce trebuie pe hârtie), Stage 2 este verificarea implementării reale în companie.
Pasul 5 — Certificatul este valabil 3 ani, cu audituri de supraveghere anuale obligatorii. Nu este un document pe care îl obții o dată și uiți de el.
Durata realistă pentru o companie medie din România, pornind de la zero: 6–12 luni de la decizie la certificat. Companiile care încearcă să comprime procesul sub 4–5 luni rareori trec auditul din prima încercare.
Cât costă ISO 27001 și ce influențează prețul
Nu există un preț fix pentru ISO 27001 și orice consultant care îți dă o cifră exactă fără să știe nimic despre compania ta ar trebui să îți ridice un semnal de alarmă. Costul real depinde de mai mulți factori: mărimea organizației, complexitatea infrastructurii IT, numărul de locații, câte procese sunt deja documentate și cât de mature sunt controalele de securitate existente.
Componentele principale de cost sunt: consultanța pentru implementare (cea mai variabilă parte), tariful organismului acreditat pentru auditul de certificare, training-ul echipei implicate și, uneori, investiții tehnice suplimentare — deși acestea nu sunt întotdeauna necesare, mai ales dacă infrastructura IT este deja rezonabil de securizată.
Unele companii cumpără online un pachet de documente-template și cred că sunt pregătite pentru audit. Auditorii de certificare văd imediat diferența dintre un sistem de management real, trăit în organizație, și un dosar de fațadă construit în grabă. Un sistem neimplementat real nu trece auditul de certificare, oricât de bine arată documentele.
Privit din perspectiva afacerii: investiția în ISO 27001 se amortizează din primul contract câștigat sau păstrat datorită certificatului. Dacă un client mare îți oferă un contract din care câștigul depășește costul implementării — și de regulă depășește — calculul este simplu.
Întrebări pe care le primim cel mai des despre ISO 27001
În discuțiile cu fondatori și manageri IT, câteva întrebări revin aproape invariabil. Le răspund direct, fără ocol.
- Trebuie să fiu o companie mare? Nu. Standardul se aplică la orice dimensiune — inclusiv companii cu 10–15 angajați din IT sau fintech. Cerințele se adaptează la scara organizației.
- Am nevoie de un departament IT intern? Nu obligatoriu. Dacă externalizezi IT-ul, controalele se adaptează la acea realitate, incluzând gestionarea relației cu furnizorul tău IT.
- ISO 27001 înseamnă că nu pot fi niciodată spart? Nu. Înseamnă că ai un sistem care reduce semnificativ riscul și că știi să detectezi și să răspunzi unui incident de securitate. Niciun standard nu garantează invulnerabilitate.
- Pot face implementarea intern, fără consultant? Tehnic da. În practică, companiile care încearcă singure pierd de 2–3 ori mai mult timp, consumă resursele interne și, de multe ori, nu trec auditul din prima — ceea ce înseamnă costuri suplimentare cu re-auditarea.
- Ce se întâmplă dacă nu reînnoiesc certificatul? Certificatul expiră, iar organismul de certificare actualizează baza sa publică de date. Clienții care verifică activ certificatele furnizorilor vor observa.
- ISO 27001 acoperă și munca de la distanță? Da — versiunea 2022 include controale explicite pentru munca remote, accesul de la distanță și securitatea dispozitivelor mobile, tocmai pentru că realitatea organizațiilor s-a schimbat.
Următorul pas: cum îți dai seama dacă ești pregătit să începi
Dacă ai ajuns până aici și recunoști măcar una dintre situațiile de mai jos, răspunsul este că ar trebui să acționezi acum, nu peste câteva luni.
- Ai primit un chestionar de securitate de la un client sau potențial client
- Un contract conține o clauză nouă legată de securitatea informațiilor sau certificare ISO 27001
- Ești furnizor pentru o companie din sectoarele reglementate de legislația privind securitatea cibernetică în vigoare
- Procesezi date financiare, medicale sau alte categorii sensibile în numele clienților tăi
- Vrei să accesezi piețe din UE unde cerințele de securitate sunt tot mai stricte
Dacă ești în oricare dintre aceste situații, nu ești prea târziu — dar nici nu ai timp de irosit. Prima discuție cu un consultant te ajută să înțelegi exact unde ești, cât durează realistically procesul pentru compania ta și ce implică financiar. Fără angajamente, fără cifre aruncate la întâmplare.
Articolul are caracter informativ și nu constituie consultanță juridică.
Ai nevoie de ajutor concret?
Golden Audit Consulting® te ajută cu implementare, audit și conformare — fără birocrație inutilă.