Audyt ISO 27001 — analiza luk, audyt wewnętrzny i przygotowanie do certyfikacji
Prowadzimy audyt ISO 27001 względem normy ISO/IEC 27001:2022: analizę luk (gap analysis), niezależny audyt wewnętrzny i przygotowanie do certyfikacji z raportem dla zarządu. To pierwszy etap jednego abonamentu od 2 500 zł netto miesięcznie, który obejmuje też wdrożenie SZBI i jego utrzymanie — bez jednorazowej opłaty za audyt.
Sprawdźmy, od czego zacząć audyt ISO 27001
20 minut rozmowy. Ustalimy, czy potrzebujecie analizy luk, audytu wewnętrznego, przygotowania do certyfikacji — i jak ten audyt otwiera wdrożenie SZBI w tym samym abonamencie. Bez przygotowania z Waszej strony.
- Odpowiadamy w 1 godzinę roboczą
- Rozmowa bezpłatna
- Bez zobowiązań
Nie wysyłamy ofert masowych. Dane przetwarzamy zgodnie z RODO.
Kiedy warto zamówić audyt ISO 27001
Jeśli choć jeden punkt dotyczy Waszej firmy, 20 minut rozmowy wystarczy, żeby ustalić zakres audytu:
- Potrzebujecie analizy luk (gap analysis) względem ISO/IEC 27001:2022, zanim zainwestujecie w pełne wdrożenie SZBI albo certyfikację.
- Klient, przetarg, grupa kapitałowa albo ubezpieczyciel wymaga dowodu, że ktoś niezależnie ocenił Wasze bezpieczeństwo informacji.
- Chcecie audytu wewnętrznego przed audytem jednostki certyfikującej albo w cyklu nadzoru już działającego SZBI.
- Był incydent, audyt klienta albo due diligence i potrzebujecie raportu luk z planem działań dla zarządu.
- Macie ISO/IEC 27001:2013 i chcecie sprawdzić, czego brakuje do wersji 2022, zanim ruszicie z migracją.
- Łączycie temat z obowiązkami NIS2 / KSC i chcecie, żeby audyt ISO 27001 był spójny z audytem NIS2 albo wdrożeniem dyrektywy NIS2.
Audyt ISO 27001 — diagnoza, którą da się pokazać zarządowi i audytorowi
Audyt ISO 27001 w DOIT.BIZ to nie ankieta i nie „checklista z półki”. To uporządkowana ocena Systemu Zarządzania Bezpieczeństwem Informacji (albo jego braku) względem normy ISO/IEC 27001:2022. W praktyce obejmuje trzy powiązane prace, które często mylą się w zapytaniach ofertowych:
- analiza luk (gap analysis) — porównanie obecnego stanu z wymaganiami normy i 93 kontrolami Annex A, zanim powstanie pełny SZBI;
- audyt wewnętrzny — formalna, niezależna ocena już wdrażanego lub utrzymywanego systemu, wymagana przed certyfikacją i w cyklu nadzoru;
- przygotowanie do certyfikacji — zebranie dowodów, domknięcie luk z raportu i wsparcie przy audycie jednostki certyfikującej.
Wynikiem jest raport dla zarządu: luki, priorytety, mapa ryzyk i plan działań. Nie zostawiamy Was z samą diagnozą. Audyt jest wejściem do jednego abonamentu, w którym kolejnym etapem jest wdrożenie ISO 27001 (SZBI, Deklaracja Stosowania, polityki, ryzyko) i utrzymanie systemu.
ISO 27001 a NIS2. Audyt ISO 27001 nie zastępuje obowiązków NIS2 / KSC i nie jest certyfikatem zgodności z NIS2. Dobrze przeprowadzona analiza luk pokazuje jednak te same obszary, które wracają przy programie cyberbezpieczeństwa: ryzyko, zabezpieczenia, ciągłość, dostawcy, incydenty i przegląd zarządu. Często prowadzimy oba wątki jako jeden program.
Źródła: Dyrektywa NIS2 (EUR-Lex) · Ustawa nowelizująca KSC — Dz.U. 2026 poz. 252 · Ministerstwo Cyfryzacji
Doświadczenie, na którym opieramy audyt ISO 27001
Kilkadziesiąt zrealizowanych projektów w branżach: ochrona zdrowia, produkcja, e-commerce, IT, HR, energetyka i telekomunikacja.
Co ryzykujesz bez rzetelnego audytu ISO 27001?
Brak diagnozy zwykle wychodzi przy przetargu, audycie klienta albo dopiero na audycie jednostki certyfikującej — czyli w najgorszym momencie.
Słaba pozycja w przetargu i u klienta
Zamawiający prosi o dowód SZBI albo wynik audytu, a firma ma tylko ogólne zapewnienia i nieaktualną dokumentację.
Luki wychodzą za późno
Jednostka certyfikująca albo audytor klienta znajduje braki, które dało się domknąć taniej po zwykłym audycie luk.
Raport, którego zarząd nie użyje
Ankietowy „audit” bez wywiadów, bez priorytetów i bez planu działań zostaje w skrzynce mailowej.
Audyt wewnętrzny bez niezależności
System ocenia ta sama osoba, która go utrzymuje — ocena traci wiarygodność przed certyfikacją.
Start wdrożenia w ciemno
Bez mapy luk trudno oszacować zakres, kolejność prac i realny czas do gotowości certyfikacyjnej.
Rozjazd z NIS2 i RODO
Osobny audyt ISO, osobny NIS2 i osobne RODO zamiast jednej diagnostyki bezpieczeństwa informacji.
Nie wiecie, czy potrzebujecie certyfikatu, czy tylko rzetelnej diagnozy? Wystarczy 20 minut rozmowy. Jeśli celem jest już budowa SZBI, zobaczcie też wdrożenie ISO 27001.
Co zyskujecie z DOIT.BIZ
Raport, z którego da się pracować — i jasna droga do wdrożenia w tym samym abonamencie.
Raport luk i mapa ryzyk
Zrozumiałe dla zarządu, nie tylko dla IT, z planem działań ułożonym według priorytetów.
Gap analysis względem normy 2022
Ocena kontekstu, zakresu i 93 kontroli Annex A — widać, czego naprawdę brakuje.
Niezależny audyt wewnętrzny
Prowadzi go osoba inna niż ta, która utrzymuje SZBI. Ocena nadaje się do cyklu certyfikacji i nadzoru.
Przygotowanie do certyfikacji
Porządkujemy dowody i wspieramy Was przy audycie jednostki, bez obiecywania jej decyzji.
Most do wdrożenia, NIS2 i RODO
Po raporcie przechodzicie do wdrożenia ISO 27001 bez zmiany partnera i bez drugiej opłaty startowej.
Oszczędność czasu zarządu
Wywiady i przegląd dowodów zamiast setek ankiet; udział kluczowych osób jest z góry uzgodniony.
„21 lat” odnosi się do doświadczenia zawodowego zespołu, a nie do stażu spółki. Informacja o braku kar dotyczy klientów objętych naszą obsługą w okresie jej trwania. Nie podajemy tu wymyślonych liczb „wdrożonych ISO 27001”.
Co obejmuje audyt ISO 27001?
Dobieramy typ audytu do sytuacji: od pierwszej diagnozy, przez audyt wewnętrzny, po przygotowanie do certyfikacji. Wszystko to jest częścią tego samego abonamentu.
- kontekst i proponowany zakres SZBI
- przegląd dokumentacji i dowodów
- ocena względem wymagań normy i 93 kontroli Annex A
- wywiady z IT, HR, procesami i zarządem
- raport luk i plan działań dla zarządu
- plan i kryteria audytu wewnętrznego SZBI
- ocena stosowania polityk, procedur i kontroli
- niezależność od osoby utrzymującej system
- niezgodności, obserwacje i szanse doskonalenia
- wejście do przeglądu zarządzania
- zebranie i uporządkowanie dowodów
- wsparcie przy doborze jednostki certyfikującej
- przygotowanie zespołu do audytu certyfikującego
- wsparcie na audycie i przy audytach nadzoru
- domykanie niezgodności do skutku — w abonamencie
Co dalej po raporcie? W tym samym abonamencie przechodzimy do wdrożenia ISO 27001: budujemy SZBI, Deklarację Stosowania (SoA), polityki i cykl utrzymania. Szczegółowy harmonogram ustalamy na konsultacji — zależy od wielkości organizacji i dojrzałości dokumentacji.
Jak wygląda audyt ISO 27001 krok po kroku?
Przejrzysty proces — wiecie, czego się spodziewać na każdym etapie, i jak audyt przechodzi we wdrożenie.
Bezpłatna konsultacja
20 minut: czy potrzebujecie certyfikatu, analizy luk, audytu wewnętrznego, czy startu wdrożenia.
NDA i zakres audytu
Najpierw poufność, potem umowa i uzgodniony zakres oceny względem ISO/IEC 27001:2022.
Wywiady i dowody
Rozmowy z właścicielami procesów i przegląd dowodów, nie ankiety hurtowe.
Raport luk i priorytety
Wyniki audytu w języku zarządu: luki, ryzyka, kolejność działań.
Omówienie z zarządem
Warsztat nad raportem — co jest konieczne do certyfikacji, a co można odłożyć.
Audyt wewnętrzny (gdy system już jest)
Prowadzony przez osobę niezależną od utrzymania, przed certyfikacją lub w cyklu nadzoru.
Wejście we wdrożenie SZBI
Ten sam abonament: po diagnostyce budujemy i utrzymujemy system. Szczegóły są na stronie wdrożenia ISO 27001.
Ile kosztuje audyt ISO 27001?
Audyt ISO 27001 nie jest osobną, jednorazową usługą. Jest wejściem do jednego abonamentu od 2 500 zł netto miesięcznie, który obejmuje analizę luk, audyt wewnętrzny, wdrożenie SZBI i jego utrzymanie. Nie bierzemy jednorazowo kilkunastu tysięcy złotych z góry.
- audyt luk (gap analysis) na start
- wdrożenie SZBI: polityki, procedury, analiza ryzyka, deklaracja stosowania (SoA), kontrole Annex A
- szkolenia świadomościowe i dla właścicieli kontroli
- audyt wewnętrzny prowadzony przez osobę niezależną od utrzymania systemu
- przegląd zarządzania: kalendarz i materiały dla zarządu
- aktualizacja dokumentacji SZBI, SoA i rejestru ryzyka
- wsparcie przy audycie certyfikującym i audytach nadzoru
- monitoring zmian normy oraz powiązań z NIS2 / KSC i RODO
- odpowiedzi na kwestionariusze bezpieczeństwa klientów i wsparcie przy incydencie
- opłata jednostki certyfikującej (płacicie ją bezpośrednio jednostce)
- testy penetracyjne i administracja systemami IT
- funkcja Inspektora Ochrony Danych (IOD) — osobna usługa
- pełnienie roli etatowego CISO
Gwarancja w abonamencie: wspieramy Was przy niezgodnościach z audytu (wewnętrznego lub jednostki certyfikującej) aż do ich zamknięcia — bez doliczania godzin.
Czego nie gwarantujemy: wyniku certyfikacji. Certyfikat wydaje akredytowana jednostka certyfikująca i decyzja należy do niej.
Dla kogo jest audyt ISO 27001?
Audyt jako wejście do abonamentu sprawdza się najlepiej w tych sytuacjach:
Pierwsza diagnoza przed wdrożeniem
Firmy, które chcą wiedzieć, ile brakuje do ISO/IEC 27001:2022, zanim poukładają SZBI.
Wymóg klienta, przetargu, due diligence
Zarządy potrzebujące niezależnego raportu luk i planu działań, nie tylko zapewnienia „jesteśmy zgodni”.
Audyt wewnętrzny przed certyfikacją
Organizacje z wdrażanym lub utrzymywanym SZBI, które potrzebują niezależnej oceny.
NIS2, RODO albo migracja 2013 → 2022
Podmioty, które chcą spiąć diagnostykę z audytem NIS2, ochroną danych albo przejściem na wersję 2022.
Pierwszy krok: 20 minut rozmowy
Zanim podejmiecie decyzję, porozmawiajcie z naszym ekspertem. Podczas bezpłatnej, 20-minutowej konsultacji omówimy:
- Czy potrzebujecie certyfikatu, czy wystarczy rzetelna analiza luk
- Jaki typ audytu ISO 27001 ma sens na start (gap analysis, audyt wewnętrzny, przygotowanie do certyfikacji)
- Jak audyt wchodzi w ten sam abonament co wdrożenie i utrzymanie
- Wysokość abonamentu — bez ukrytych kosztów i bez opłaty jednorazowej
Audyt ISO 27001 ma dać zarządowi jasny obraz luk i kolejność działań — nie gruby plik, którego nikt nie czyta. Dlatego audyt jest wejściem do jednego abonamentu z wdrożeniem, a audyt wewnętrzny zawsze prowadzi ktoś inny niż osoba, która system utrzymuje.
Audyt ISO 27001 — pytania zarządu przed decyzją
Czym różni się audyt luk (gap analysis) od audytu wewnętrznego ISO 27001?
Audyt luk (gap analysis) to punkt startowy: porównuje obecny stan organizacji z wymaganiami ISO/IEC 27001:2022 i pokazuje, czego brakuje, zanim powstanie pełny SZBI. Audyt wewnętrzny jest formalnym etapem już działającego systemu — ocenia, czy SZBI jest stosowany i gotowy do audytu jednostki certyfikującej. Oba mieszczą się w tym samym abonamencie.
Czy audyt ISO 27001 jest osobną, jednorazową usługą?
Nie. Nie wyceniamy audytu ISO 27001 jako osobnej opłaty jednorazowej. Audyt luk, późniejszy audyt wewnętrzny, wdrożenie SZBI i utrzymanie systemu obejmuje jeden abonament od 2 500 zł netto miesięcznie. Audyt jest wejściem do tej współpracy, a nie osobnym produktem.
Ile kosztuje audyt ISO 27001?
Audyt luk, wdrożenie SZBI i jego utrzymanie obejmuje jeden abonament od 2 500 zł netto miesięcznie. Nie pobieramy jednorazowej opłaty za audyt ani za wdrożenie — koszt, który zwykle płaci się z góry, rozkładamy na stałe raty miesięczne. Poza abonamentem pozostaje opłata jednostki certyfikującej. Dokładny zakres potwierdzamy na bezpłatnej 20-minutowej konsultacji.
Co zawiera raport z audytu ISO 27001?
Raport z audytu luk jest pisany językiem zarządu, nie tylko IT. Zawiera ocenę względem wymagań normy i 93 kontroli Annex A, listę luk z priorytetami, mapę ryzyk oraz plan działań — w tym to, co trzeba domknąć przed wdrożeniem SZBI i ewentualną certyfikacją.
Czy audyt wewnętrzny jest niezależny od utrzymania systemu?
Tak. Audyt wewnętrzny SZBI prowadzi osoba inna niż ta, która utrzymuje system u danego klienta. Rozdzielamy funkcję utrzymania i funkcję audytu, żeby ocena była obiektywna.
Czy audyt ISO 27001 przygotowuje do certyfikacji?
Tak, w tym sensie, że pokazuje luki, porządkuje dowody i — na etapie audytu wewnętrznego — sprawdza gotowość przed audytem jednostki certyfikującej. Nie gwarantujemy wyniku certyfikacji: certyfikat wydaje akredytowana jednostka i decyzja należy do niej. W abonamencie wspieramy domykanie niezgodności aż do ich zamknięcia.
Czy ISO 27001 wystarczy zamiast NIS2?
Nie. NIS2 to obowiązek prawny dla wskazanych podmiotów. ISO/IEC 27001 to norma SZBI, która pomaga zorganizować i udokumentować wiele zabezpieczeń oczekiwanych w programie cyberbezpieczeństwa, ale sama nie jest certyfikatem zgodności z NIS2.
Od czego zacząć, jeśli nie wiemy, czy potrzebujemy certyfikatu?
Od bezpłatnej 20-minutowej konsultacji, a potem audytu luk względem ISO/IEC 27001:2022, który jest pierwszym etapem abonamentu. Certyfikacja ma sens, gdy wymaga jej rynek lub strategia firmy; czasem wystarczy wdrożony i utrzymywany SZBI bez certyfikatu.
Powiązane usługi i źródła
Jeżeli audyt ISO 27001 łączy się u Was z wdrożeniem SZBI, ochroną danych albo obowiązkami NIS2, warto zbudować jeden program bezpieczeństwa.
Zacznijcie od audytu ISO 27001
20-minutowa konsultacja, konkretna wycena po rozmowie, zero zobowiązań. Odpowiadamy w ciągu 1 godziny roboczej.
Zacznij od bezpłatnej konsultacji
Zostaw kontakt i temat rozmowy. Odezwiemy się w ciągu godziny roboczej, żeby ustalić termin 20-minutowej konsultacji w sprawie audytu ISO 27001.
- Odpowiadamy w 1 godzinę roboczą
- Rozmowa bezpłatna
- Bez zobowiązań
Nie wysyłamy ofert masowych. Dane przetwarzamy zgodnie z RODO.