Audyt ISO 27001 – jak przygotować się na wizytę audytora

Dla jednych stres większy niż kontrola skarbowa, dla innych — formalność, bo system „żyje” i ma się dobrze. Audyt ISO 27001 certyfikacyjny to moment prawdy: niezależny audytor ISO 27001 sprawdza, czy Twój system zarządzania bezpieczeństwem informacji (SZBI) nie tylko istnieje na papierze, ale działa i jest skuteczny. Dobra wiadomość: audyt certyfikacyjny jest przewidywalny. Normy ISO/IEC 17021 (wymagania dla jednostek certyfikujących) i ISO 19011 (wytyczne audytowania) porządkują jego przebieg, a zdecydowana większość niezgodności powtarza się z firmy na firmę.

W tym przewodniku przechodzimy krok po kroku przez oba etapy audytu certyfikacyjnego (Stage 1 i Stage 2), listę dokumentów, które audytor poprosi w pierwszej kolejności, technikę odpowiadania na pytania, katalog najczęstszych niezgodności (major i minor) z praktyki audytowej, sposób przygotowania planu działań korygujących, który zostanie zaakceptowany, oraz — last but not least — rolę pełnomocnika SZBI w dniu audytu i przygotowanie zespołu przez symulację.

Etapy audytu certyfikacyjnego (Stage 1 i Stage 2) – co sprawdza audytor?

Certyfikacja ISO 27001 to proces dwuetapowy, rozłożony zwykle na kilka tygodni:

Stage 1 — audyt gotowości (przegląd dokumentacji). Cel: ocenić, czy organizacja jest gotowa na audyt właściwy. Audytor ISO 27001 sprawdza: zakres SZBI (klauzula 4.3) i kontekst organizacji (4.1–4.2), kompletność udokumentowanych informacji wymaganych normą, dojrzałość procesu oceny ryzyka i Deklaracji Stosowania (SoA), stan audytu wewnętrznego (9.2) i przeglądu zarządzania (9.3) — oba muszą się już odbyć przed Stage 2 — oraz plan gotowości do Stage 2. Typowo 0,5–1 dzień, często zdalnie lub hybrydowo. Wynik: lista uwag i ryzyk („obszary potencjalnych niezgodności”) — potraktuj ją jak darmową mapę drogową do naprawy, nawet jeśli formalnie nie są to jeszcze niezgodności.

Stage 2 — audyt właściwy (weryfikacja wdrożenia i skuteczności). Cel: potwierdzić, że SZBI działa. Audytor: pobiera próby dowodów (rekordy, logi, zatwierdzenia), przeprowadza wywiady z kierownictwem i personelem, obserwuje procesy i weryfikuje realizację Załącznika A zgodnie z SoA. Czas: od 2 dni w małych firmach do kilkunastu dni w organizacjach wielolokalizacyjnych (tzw. dni audytowe wyznacza akredytowana jednostka na podstawie wielkości i złożoności). Wynik: rekomendacja do certyfikacji, lista niezgodności (major/minor) i spostrzeżeń, decyzja jednostki certyfikującej, certyfikat ważny 3 lata — z corocznymi audytami nadzoru i recertyfikacją przed końcem trzeciego roku. Cały proces certyfikacyjny opisujemy w tekście Certyfikacja ISO 27001 krok po kroku – praktyczny przewodnik.

Dokumenty do przeglądu: SoA, polityki, rejestry, raporty z audytów wewnętrznych

Przygotowanie do audytu ISO zaczyna się od dokumentów. Zestaw, który audytor prosi najczęściej — najlepiej przygotować go w jednym, wersjonowanym repozytorium (por. Dokumentacja ISO 27001):

Dla podmiotów objętych prawem krajowym dochodzi warstwa regulacyjna, którą audytorzy coraz częściej doczytują: podmiot kluczowy/ważny KSC musi pamiętać o audycie bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata (art. 15 ust. 1 KSC, t.j. Dz. U. z 2026 r. poz. 20) i przekazaniu kopii raportu organowi w 3 dni robocze (art. 15 ust. 1a) — raport z takiego audytu bywa doskonałym dowodem w Stage 2; podmiot krytyczny — o „okresowych audytach i certyfikacji” z art. 6zt ust. 1 pkt 2 lit. j ustawy o zarządzaniu kryzysowym (t.j. Dz. U. z 2026 r. poz. 574 i 815). Certyfikat ISO 27001 ma zresztą w Polsce twarde przełożenie prawne — np. pozytywny wynik audytu SZBI jest dokumentem wymaganym przy notyfikacji systemów identyfikacji elektronicznej (art. 21g ust. 3 pkt 1 lit. a ustawy o usługach zaufania oraz identyfikacji elektronicznej), a RODO wprost dopuszcza certyfikację jako sposób wykazania zgodności (art. 32 ust. 3 i art. 42 RODO).

Wywiady z personelem – jak odpowiadać na pytania audytora?

Pytania audytora ISO 27001 nie są podchwytliwe — są dociekliwe. Audytor nie egzaminuje z treści normy; sprawdza, czy proces opisany w polityce istnieje w głowach i praktyce ludzi. Złote zasady dla zespołu:

1. Odpowiadaj na pytanie, które padło. Krótko i konkretnie. Nie rozwijaj wątków, których audytor nie poruszył — każda dodatkowa informacja to nowy trop do próbkowania.
2. Mów, co robisz — nie co „powinno się” robić. „Postępuję zgodnie z procedurą X, ostatnio robiłem to 3 września, mogę pokazać zapis” — to odpowiedź-model.
3. „Nie wiem, ale wiem, gdzie sprawdzić” jest odpowiedzią dobrą. Zmyślanie i zgadywanie to prosta droga do niezgodności (i utraty wiarygodności całej reszty zeznań).
4. Pokazuj dowody. Audyt kocha rekordy: ticket w systemie, zatwierdzony wniosek, log, podpisany protokół testu backupu.
5. Nie dyskutuj z ustaleniami w trakcie wywiadu. Jeśli uważasz, że audytor czegoś nie zrozumiał — wyjaśnij fakty, a spór o kwalifikację zostaw pełnomocnikowi SZBI (zamknięcie audytu).
6. Typowe pytania, na które warto mieć gotową odpowiedź: Kto jest właścicielem tego systemu? Kiedy ostatnio aktualizowano analizę ryzyka i co z niej wynika dla Pana obszaru? Proszę pokazać ostatni incydent — od zgłoszenia do wniosku. Jak wygląda u Państwa nadawanie i odbieranie dostępu — proszę o przykład z ostatniego miesiąca. Co by Pan zrobił, gdyby teraz wykrył atak ransomware? Skąd Pan wie, że to szkolenie było obowiązkowe? Które zabezpieczenia z SoA dotyczą Pana stanowiska?

Pamiętaj o psychologii: audytor próbkuje. Kilka spójnych, prawdziwych odpowiedzi z dowodami buduje obraz działającego systemu szybciej niż recytowanie polityki.

Najczęstsze niezgodności (non-conformities) i jak ich uniknąć?

Major vs minor NC – przykłady z praktyki audytowej

Niezgodność większa (major) to brak wymaganego elementu systemu albo załamanie systemowe, które podważa zdolność SZBI do osiągania zamierzonych wyników — blokuje rekomendację do certyfikacji do czasu skutecznej korekcji. Niezgodność mniejsza (minor) to pojedyncze, odosobnione uchybienie w działającym poza tym systemie — zwykle do zamknięcia w ustalonym terminie (często do audytu nadzoru). Spostrzeżenie (OFI) to nie niezgodność, a sugestia doskonalenia.

Powtarzalne przykłady z praktyki audytowej (zebrane kategorie — nie konkretne firmy):

• Major: brak aktualnej oceny ryzyka lub SoA niespójna z Załącznikiem A:2022 (organizacja przeszła z wersji 2013 i „zapomniała” przebudować deklarację); brak audytu wewnętrznego lub przeglądu zarządzania przed Stage 2; polityka istnieje, ale brak jakichkolwiek dowodów realizacji całego obszaru (np. A.8.13 — kopie „robione kiedyś”, bez harmonogramu, testów i zapisów); poświadczenie nieprawdy w dowodach (najgorszy możliwy scenariusz — kończy zaufanie audytora do całej próby).
• Minor: jeden z pięciu przeglądów kwartalnych uprawnień wykonany po terminie; brak zapisu ze szkolenia dla dwóch nowo zatrudnionych osób; umowa powierzenia z jednym dostawcą bez wymaganego zestawu klauzul (art. 28 ust. 3 RODO); rejestr incydentów prowadzony, ale bez wniosków/działań po jednym ze zdarzeń; cele bezpieczeństwa zdefiniowane, lecz bez mierników (klauzula 6.2 wymaga celów mierzalnych).
• Klasyk przejścia 2013→2022: „stare” numery kontroli w SoA i procedurach (A.6.1.2 zamiast nowych odwołań), brak odwzorowania nowych kontroli (A.5.7 threat intelligence, A.5.23 usługi chmurowe, A.8.9 zarządzanie konfiguracją) — audytorzy wyłapują to w 10 minut.

Jak ich uniknąć? Sekwencja jest niezmienna: uruchom procesy wcześniej (ocena ryzyka + co najmniej jeden pełny cykl: incydent → działania, szkolenie → zapis, przegląd uprawnień → raport), zrób audyt wewnętrzny uczciwie (9.2 — własne znaleziska zamknięte przed Stage 2 nie wrócą jako niezgodności zewnętrzne; audytor certyfikujący widzi, co znalazł audyt wewnętrzny, i porównuje), przeprowadź przegląd zarządzania z kompletem wejść (9.3) i zamknij działania korygujące (10.1). System, który przeżył jeden pełny cykl PDCA z dowodami, przechodzi Stage 2 niemal zawsze.

Plan działań korygujących – jak go przygotować, aby został zaakceptowany?

Niezgodność to nie katastrofa — to udokumentowana szansa na doskonalenie. Klauzula 10.1 wymaga reakcji, oceny potrzeby działań eliminujących przyczynę źródłową oraz weryfikacji skuteczności. Plan, który audytorzy akceptują bez obiegu poprawek, ma pięć elementów:

1. Korekcja (natychmiast) — co zrobiono „tu i teraz” (np. uzupełniono brakujący zapis, cofnięto nieautoryzowany dostęp).
2. Analiza przyczyny źródłowej — udokumentowana (5×dlaczego, diagram Ishikawy). „Pracownik zapomniał” to nie przyczyna — przyczyną jest brak automatyzacji/kontroli/szkolenia. Audytorzy odrzucają plany oparte na winie człowieka bez zmiany systemu.
3. Działanie korygujące — zmiana procesowa eliminująca przyczynę (automatyzacja nadawania dostępów z workflow, dodanie punktu do checklisty wdrożeniowej, zmiana wzoru umowy).
4. Termin i odpowiedzialny — imiennie, realistycznie (major: zwykle 30–90 dni na dowody wdrożenia; minor: bywa do nadzoru).
5. Weryfikacja skuteczności — jak i kiedy sprawdzicie, że działa (próbka po 3 miesiącach, miernik, ponowny audyt obszaru) + dowody zamknięcia.

Dla major NC jednostka certyfikująca wymaga zwykle dowodów wdrożenia przed wydaniem certyfikatu (czasem z audytem uzupełniającym); minor można domykać w ustalonym terminie — ale nieskuteczne domknięcie minor na nadzorze potrafi „urosnąć” do major. Koszt całego procesu warto znać wcześniej — rozpisanie budżetu znajdziesz w artykule Koszty certyfikacji ISO 27001 – na co trzeba się przygotować; orientacyjnie sam koszt audytu ISO certyfikacyjnego w MŚP to kilkanaście–kilkadziesiąt tysięcy złotych netto za cykl Stage 1+2, audyty nadzoru ~50–70% tej kwoty rocznie, plus koszty podróży audytorów (wyceny zawsze indywidualne — zależą od dni audytowych).

Przygotowanie zespołu – szkolenie przedaudytowe

Na 4–6 tygodni przed Stage 2 uruchom mini-program przygotowawczy:

• Briefing ogólny (30–45 min, wszyscy): czym jest audyt, kto przyjdzie, jak wygląda dzień (spotkanie otwierające → wywiady i próbki → spotkanie zamykające), zasady odpowiadania (patrz wyżej), logistyka (sala, dostęp do systemów dla audytora, eskorta w strefach fizycznych — A.7.x wymaga kontroli wejścia także dla gości!).
• Szkolenie ról (2–4 h): kierownictwo (odpowiedzialność 5.1, przegląd zarządzania, decyzje o akceptacji ryzyka), właściciele procesów i aktywów, IT (dowody techniczne: logi, backupy, patche, konfiguracja), HR (szkolenia, umowy, proces wejścia/wyjścia pracownika), recepcja/facility (rejestr gości, kontrola fizyczna).
• Komunikacja wewnętrzna: jedna osoba kontaktowa (pełnomocnik SZBI), kanał szybkiego kontaktu na dzień audytu, zasada „nie wysyłamy audytorowi dokumentów poza uzgodnionym procesem”.

Symulacja audytu – ćwiczenie odpowiedzi i prezentacji dowodów

Najskuteczniejszy element przygotowań: audyt próbny (pre-assessment / symulacja). Forma: niezależny audytor wewnętrzny lub zewnętrzny przechodzi scenariusz Stage 2 na wybranych obszarach — wywiady z losowo wybranymi pracownikami (nie tylko z „pewniakami”), próbki dowodów z ostatnich 3–6 miesięcy, przegląd SoA i oceny ryzyka, sprawdzenie zamknięcia wcześniejszych działań. Warto symulować też sytuacje trudne: pracownik nie zna procedury, dowód „zniknął”, pytanie o incydent, którego nie zarejestrowano. Po symulacji: raport z lukami, priorytety napraw na pozostałe tygodnie, druga krótka iteracja dla obszarów krytycznych. Efekt mierzy się prosto: organizacje po uczciwej symulacji notują na Stage 2 zwykle zero niezgodności major.

Dopełnieniem przygotowań jest logistyka dnia audytu — krótka ściąga dla organizatora:

• pokój/sala dla audytora z dostępem do sieci (najlepiej gościnnej, ale z osiągalnymi systemami wewnętrznymi przez konto audytowe read-only),
• konto gościnne/audytowe przygotowane i przetestowane wcześniej — improwizacja dostępu w dniu audytu to czerwona flaga sama w sobie,
• harmonogram wywiadów rozesłany uczestnikom z wyprzedzeniem (kto, o której, jaki obszar) + zastępstwa na wypadek nieobecności,
• zasady obsługi gości zgodne z A.7.x: wpis do rejestru wejść, eskorta w strefach chronionych, zakaz fotografowania bez uzgodnienia,
• jeden kanał przekazywania dowodów (repozytorium z linkami) i dziennik audytu prowadzony przez pełnomocnika,
• ustalone okna na konsultacje wewnętrzne (15 minut co 2–3 godziny) — żeby zespół nie improwizował odpowiedzi bez wsparcia.

Rola pełnomocnika SZBI w dniu audytu

Pełnomocnik SZBI (o samej funkcji piszemy szerzej m.in. w kontekście rekrutacji) jest w dniu audytu gospodarzem i koordynatorem:

1. Przed otwarciem: komplet dokumentów w repozytorium (linki, nie wydruki „na żądanie”), harmonogram wywiadów potwierdzony z uczestnikami, sala i sprzęt, zgody/NDA jeśli wymagane, plan eskorty.
2. Spotkanie otwierające: prezentacja zakresu i zmian od ostatniego audytu, potwierdzenie planu dnia.
3. W trakcie: towarzyszenie audytorowi (nie wyręczanie odpowiadających!), prowadzenie dziennika audytu — każde pytanie, każdy pobrany dowód, każda uwaga (to Twój materiał do działań i obrony przed „zapomnianymi” ustaleniami), pilnowanie, by odpowiedzi nie wykraczały poza pytanie, dbanie o tempo i przerwy.
4. Gdy pada zarzut niezgodności: poproś o podstawę normatywną (klauzula/kontrola) i fakty, na których audytor się oparł; nie kłóć się o kwalifikację na miejscu — złóż uwagi do projektu raportu w wyznaczonym terminie; błędna kwalifikacja major/minor bywa korygowalna rzeczowymi argumentami i dowodami.
5. Spotkanie zamykające i po: podsumowanie ustaleń, harmonogram planu działań korygujących, komunikacja do zarządu, uruchomienie 10.1.

Zarząd powinien wiedzieć jedno: pełnomocnik odpowiada za przebieg, ale dowody „produkują” właściciele procesów — dlatego przygotowania nie da się scentralizować w jednej osobie.

Podsumowanie: audyt wygrywa się przed audytem

Audyt ISO 27001 nie weryfikuje perfekcji — weryfikuje działający cykl: zaplanuj (ryzyko, SoA, cele) → zrób (dowody operacyjne) → sprawdź (9.1–9.2: monitoring, audyt wewnętrzny) → działaj (9.3, 10.1). Jeśli ten cykl przeszedł u Ciebie przynajmniej raz z prawdziwymi zapisami, Stage 2 jest formalnością. Jeśli nie — zacznij od audytu wewnętrznego i symulacji, domknij luki z listy dokumentów i naucz zespół odpowiadać krótko, prawdziwie i z dowodem w ręku. Niezgodności traktuj jak prezent: każda zamknięta przed certyfikacją to brak powtórki w nadzorze.

---

Symulacja audytu przed certyfikacją — oferta specjalna
Przeprowadzimy próbny audyt Stage 2 w Twojej organizacji: wywiady z personelem, próbki dowodów, przegląd SoA i oceny ryzyka, raport z lukami i priorytetami napraw — zanim przyjdzie prawdziwy audytor.

Skontaktuj się z nami

Name

Email

Phone

Wiadomość

Wyślij wiadomość

---

Źródła prawne i normatywne

1. Norma ISO/IEC 27001:2022 (z Amd 1:2024) — klauzule 4.1–4.3, 5.1, 6.1.2–6.1.3, 6.2, 7.2–7.3, 7.5, 8.1, 9.1–9.3, 10.1; Załącznik A (93 kontrole, w tym A.5.7, A.5.9, A.5.15–A.5.18, A.5.20–A.5.23, A.5.31–A.5.35, A.8.8, A.8.9, A.8.13, A.8.29).
2. Normy wspierające: ISO/IEC 17021-1 (wymagania dla jednostek certyfikujących — dwuetapowy audyt początkowy), ISO 19011:2018 (wytyczne audytowania systemów zarządzania), ISO/IEC 27007 (wytyczne audytowania SZBI).
3. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz. U. z 2026 r. poz. 20, z późn. zm.) — art. 15 ust. 1 i 1a.
4. Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (t.j. Dz. U. z 2026 r. poz. 574 i 815) — art. 6zt ust. 1 pkt 2 lit. j.
5. Ustawa z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej (t.j. Dz. U. z 2024 r. poz. 1725) — art. 21g ust. 3 pkt 1 lit. a.
6. Rozporządzenie (UE) 2016/679 (RODO) — art. 28 ust. 3; art. 32 ust. 3; art. 42.

Koszty audytów podano orientacyjnie (wrzesień 2026 r.) — wyceny dokonuje jednostka certyfikująca indywidualnie. Stan prawny na dzień 20 września 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.