Att bli ISO 27001-certifierad tar vanligtvis 6–12 månader, men tidsåtgången varierar beroende på organisationens storlek, komplexitet och hur långt informationssäkerhetsarbetet redan har kommit. Svensk Certifiering anger 6–12 månader som en vanlig tidsåtgång för ISO 27001-processen.
Ett företag som redan arbetar strukturerat med informationssäkerhet, riskbedömningar, behörigheter och incidenthantering kan ofta komma fram till certifiering snabbare. En organisation som behöver bygga upp hela sitt ledningssystem för informationssäkerhet (LIS/ISMS) från grunden behöver normalt mer tid.
Det är alltså inte själva revisionen som tar ett halvår. Den största delen av tiden går till att bygga, införa, använda och följa upp ledningssystemet innan certifieringsorganet genomför sin granskning.
Tiden för att bli ISO 27001-certifierad är perioden från att organisationen börjar förbereda sitt ledningssystem för informationssäkerhet tills certifieringsrevisionen är genomförd, eventuella avvikelser är hanterade och certifieringsbeslut kan fattas.
För många organisationer är 6–12 månader en realistisk utgångspunkt, men det är ingen fast tidsgräns. ISO 27001 anger inte att certifieringen måste ta ett visst antal månader.
Tidsåtgången påverkas bland annat av:
Två företag med lika många anställda kan därför behöva helt olika lång tid.
För att förstå tidsåtgången är det bra att skilja på införandet av ISO 27001 och själva certifieringsrevisionen.
Organisationen behöver först bygga upp och använda sitt ledningssystem. Därefter genomför certifieringsorganet sin externa revision.
Det första steget är att bestämma vilka delar av organisationen som ska omfattas av ISO 27001-certifieringen.
Det kan exempelvis omfatta:
Ju större och mer komplex omfattning, desto mer behöver normalt kartläggas, riskbedömas och följas upp.
En tydligt avgränsad verksamhet kan därför ofta arbeta snabbare än en organisation med flera kontor, hundratals medarbetare och många affärskritiska system.
Riskbedömningen är en central del av ISO 27001 och kan vara ett av de mer tidskrävande momenten.
Organisationen behöver identifiera informationssäkerhetsrisker kopplade till exempelvis:
Därefter behöver riskerna analyseras och organisationen behöver bestämma hur de ska behandlas.
Om företaget redan har ett moget riskarbete kan detta gå relativt snabbt. Om riskhantering tidigare har skett informellt krävs ofta mer arbete.
När riskerna är identifierade behöver organisationen införa de processer och säkerhetsåtgärder som bedömts som nödvändiga.
Det kan exempelvis handla om:
Organisationen behöver också ta fram sin Statement of Applicability (SoA) och koppla relevanta säkerhetskontroller till riskbehandlingen.
Det är ofta här mycket av tidsåtgången ligger. Det räcker inte att skriva en policy om hur arbetet ska fungera – processerna behöver också implementeras i verksamheten.
Ett vanligt misstag är att tro att organisationen kan skriva all dokumentation och direkt genomgå certifieringsrevision.
ISO 27001 handlar om ett fungerande ledningssystem, inte bara dokument.
Organisationen behöver därför kunna visa faktiska resultat från sitt informationssäkerhetsarbete.
Det kan exempelvis vara:
Det behövs helt enkelt tillräckligt med praktiskt underlag för att kunna visa att systemet används.
Innan den externa certifieringsrevisionen behöver organisationen också genomföra intern revision och ledningens genomgång.
Den interna revisionen kontrollerar om ledningssystemet uppfyller kraven och fungerar som planerat.
Ledningens genomgång innebär att ledningen följer upp systemet och bland annat bedömer resultat, risker, avvikelser och behov av förbättringar.
Om den interna revisionen identifierar brister behöver organisationen hinna hantera dem före certifieringsrevisionen.
När organisationen är redo börjar den externa certifieringsprocessen.
Hos Svensk Certifiering genomförs certifieringen i två huvudsakliga revisionssteg. Steg 1 är dokumentgranskningen, där certifieringsorganet bedömer ledningssystemets dokumentation och organisationens beredskap inför den huvudsakliga revisionen.
För ISO 27001 kan det bland annat innebära granskning av:
Om det finns viktiga brister kan organisationen behöva hantera dessa innan steg 2.
I steg 2 granskar revisorn hur ledningssystemet fungerar i praktiken.
Det görs bland annat genom:
Revisorn bedömer alltså inte enbart vad organisationen säger att den gör, utan kontrollerar att arbetssätten faktiskt används.
Om revisionen visar att kraven uppfylls kan processen gå vidare mot certifieringsbeslut.
Ett företag som redan har etablerade säkerhetsprocesser har ofta ett stort försprång.
Om organisationen redan arbetar med exempelvis:
kan arbetet framför allt handla om att samla, strukturera och komplettera befintliga arbetssätt.
Det är inte bara antalet anställda som spelar roll.
Ett företag med 30 anställda kan ha en komplex miljö med många system, molntjänster och underleverantörer, medan ett större företag kan ha relativt standardiserade processer.
Omfattningen av LIS är därför minst lika viktig som företagets storlek.
Ett ISO 27001-projekt går ofta snabbare när det finns:
Om arbetet istället drivs sporadiskt vid sidan av ordinarie arbetsuppgifter kan tidsplanen bli betydligt längre.
Om certifieringsrevisionen identifierar avvikelser behöver dessa åtgärdas innan certifieringsprocessen kan slutföras. Svensk Certifiering anger att avvikelser vid steg 2 ska hanteras innan certifikat kan utfärdas.
Därför kan en organisation som är väl förberedd minska risken för förseningar.
Ett SaaS-företag med 20 anställda har redan:
Företaget behöver framför allt strukturera riskarbetet, komplettera dokumentationen och bygga upp de delar av ledningssystemet som saknas.
Organisationen kan därför ligga närmare den kortare delen av tidsintervallet.
Ett företag med 100 anställda vill certifiera hela verksamheten.
Organisationen använder många system och underleverantörer men har tidigare arbetat relativt informellt med informationssäkerhet.
Det krävs därför mer arbete med:
För ett sådant företag kan 6–12 månader vara en mer realistisk planering.
En större organisation med flera verksamhetsställen, komplexa IT-miljöer och många leverantörer behöver normalt genomföra ett mer omfattande införande.
Processen kan då ta längre tid än 12 månader om mycket behöver byggas upp från början.
Ja, men snabbast är inte alltid bäst.
Det går att korta ledtiden genom att:
Ett vanligt misstag är att lägga all kraft på dokumentationen och underskatta tiden som krävs för att förankra och använda systemet i organisationen.
Målet bör därför vara att vara redo för revision – inte bara att komma till revision så snabbt som möjligt.
Vanligtvis 6–12 månader, enligt Svensk Certifierings information om ISO 27001. Tiden beror på organisationens storlek, komplexitet och hur mycket av informationssäkerhetsarbetet som redan finns på plats. Svensk Certifiering Norden AB
Det kan gå snabbare för en väl förberedd organisation med ett begränsat scope och ett redan etablerat informationssäkerhetsarbete. Det bör däremot inte ses som en normal tidsplan för alla företag.
Ofta är det införandet och driften av ledningssystemet som tar längst tid, snarare än själva certifieringsrevisionen.
Ja. Organisationen behöver kunna visa att processerna och säkerhetsåtgärderna fungerar i praktiken och ha underlag från bland annat uppföljning, intern revision och ledningens genomgång.
Revisionsomfattningen varierar beroende på bland annat organisationens storlek, komplexitet och certifieringens omfattning. Det går därför inte att ange ett visst antal revisionsdagar som gäller alla företag.
Certifieringen följs av årliga uppföljningsrevisioner. Certifikatet gäller normalt i tre år och därefter genomförs omcertifiering.
Vill du veta mer om vad som krävs för ISO 27001-certifiering, hur revisionen fungerar och vilka fördelar certifieringen kan ge?
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för att utföra revisioner och certifieringar av ledningssystem enligt ISO 9001, ISO 14001, ISO 45001, ISO 27001 och ISO 13485
Svensk Certifiering Norden AB är ackrediterat av SWEDAC för personcertifiering med kravspecifikationen Behörig Ingenjör Brandlarm SBF 1007:5.