Колко всъщност отнема сертификация по ISO 27001

„За колко време можем да се сертифицираме?“ е първият въпрос на почти всеки нов клиент — и разбираемо, защото често има конкретен срок, който трябва да се спази: изискване на клиент, тръжна документация, регулаторен срок. Реалистичният отговор обикновено изненадва.

Реалистична рамка

За организация със средна зрялост в областта на сигурността, пълният цикъл — от първоначалната оценка до сертификационния одит — отнема между шест и дванайсет месеца. По-кратки срокове са възможни само ако вече имате изградени голяма част от процесите и просто липсва официалната документация.

Къде обикновено се губи време

Най-честото забавяне не е в писането на политики — то е сравнително бързо. Забавянето идва от прилагането им на практика: обучение на екипа, реално внедряване на контролите, натрупване на достатъчно исторически данни (логове, записи от прегледи, инциденти), за да има какво да покаже одиторът, че системата работи, а не просто съществува на хартия.

Двата етапа на сертификационния одит

Сертификацията по ISO 27001 преминава през два отделни одита. Етап 1 проверява дали документацията е готова и системата е дефинирана коректно. Етап 2, обикновено няколко седмици по-късно, проверява дали контролите реално функционират в организацията. Много графици погрешно смятат тези два етапа за един ден работа.

Практически съвет

Ако имате конкретен срок, работете назад от датата на Етап 2 одита, не напред от днешния ден — и заделете поне два месеца буфер преди одита единствено за натрупване на доказателства, че системата работи в реални условия.