ISO/IEC 27017:2026 a certyfikat ISO 27001 – jak przygotować firmę do zmian

Publikacja drugiej edycji normy ISO/IEC 27017:2026 rodzi pytanie, które prędzej czy później zada sobie każda firma korzystająca z chmury lub świadcząca usługi chmurowe: czy trzeba coś zmieniać w dotychczasowym systemie zarządzania bezpieczeństwem informacji i jak dużo pracy to za sobą pociągnie? Odpowiedź zależy od tego, na jakim etapie wdrożenia jest dana organizacja – ale kilka reguł obowiązuje wszystkich.

Najważniejsze fakty w pigułce

Dla osób, które dopiero zaczynają zgłębiać temat, kilka punktów odniesienia:

• ISO/IEC 27017:2026 to druga edycja normy, opublikowana 27 lipca 2026 roku, zastępująca dotychczasową wersję z 2015 roku.
• Norma nie funkcjonuje samodzielnie – jest rozszerzeniem systemu zarządzania bezpieczeństwem informacji zgodnego z ISO/IEC 27001, czyli normą, którą faktycznie się certyfikuje.
• Skróty CSP (Cloud Service Provider) i CSC (Cloud Service Customer) oznaczają odpowiednio dostawcę i klienta usług chmurowych – norma adresuje obowiązki obu stron.
• Organizacjom certyfikowanym wcześniej zwykle przysługuje standardowy, trzyletni okres przejściowy na dostosowanie systemu do nowej edycji.
• Zgodność z normą weryfikuje się w ramach audytu ISO/IEC 27001 – nie ma osobnego, odrębnego procesu certyfikacyjnego wyłącznie dla ISO/IEC 27017.

Kogo dotyczy zmiana najbardziej

Nowa edycja ma największe znaczenie dla dwóch grup organizacji:

• Dostawców usług chmurowych (CSP), którzy wykorzystują zgodność z normą jako argument sprzedażowy i element budowania zaufania klientów instytucjonalnych.
• Klientów usług chmurowych (CSC), którzy w umowach z dostawcami i w procesach zarządzania ryzykiem dostawców (vendor risk management) opierają się na wymaganiach normy jako punkcie odniesienia przy ocenie, czy dostawca odpowiednio zabezpiecza powierzone dane.

W obu przypadkach aktualizacja normy to sygnał do przeglądu dotychczasowej dokumentacji – deklaracji stosowania, umów SLA, procedur oceny dostawców – pod kątem tego, czy odwołują się jeszcze do nieaktualnej wersji z 2015 roku.

Okres przejściowy – ile czasu na dostosowanie

Organizacje certyfikowane w oparciu o poprzednią wersję normy zazwyczaj nie muszą działać pod presją czasu z dnia na dzień. Standardową praktyką przy tego typu rewizjach jest wyznaczenie trzyletniego okresu przejściowego, w którym dotychczasowe certyfikaty pozostają ważne, a organizacje stopniowo dostosowują swoje systemy do nowej edycji przy okazji kolejnych audytów nadzoru lub recertyfikacji. To wystarczająco dużo czasu, by zaplanować zmiany bez chaotycznego domykania tematu na ostatnią chwilę – pod warunkiem, że proces ruszy odpowiednio wcześnie.

Od czego zacząć aktualizację systemu

Praktyczne dostosowanie do drugiej edycji normy warto rozłożyć na kilka etapów:

1. Mapowanie zmian strukturalnych – ponieważ zabezpieczenia zostały przeniesione na nową taksonomię zgodną z ISO/IEC 27002:2022, pierwszym krokiem jest zestawienie starej i nowej numeracji, tak aby żadne wymaganie nie „zgubiło się” przy przejściu.
2. Weryfikacja deklaracji stosowania (SoA) – dokument ten musi odzwierciedlać aktualny zestaw zabezpieczeń, w tym zredukowaną liczbę kontroli oznaczonych prefiksem CLD oraz nowe obszary dotyczące pośredników chmurowych i shadow IT.
3. Aktualizacja umów z partnerami chmurowymi – jeśli w łańcuchu dostaw pojawiają się brokerzy, integratorzy lub audytorzy zewnętrzni, warto sprawdzić, czy ich rola i odpowiedzialność są opisane zgodnie z nowymi wytycznymi.
4. Rewizja architektury technicznej pod kątem nowych wytycznych – dotyczy to zwłaszcza organizacji korzystających z konteneryzacji i modeli serverless, dla których poprzednia edycja normy nie dawała właściwie żadnych konkretnych wskazówek. Pomocny może być przegląd sposobów skutecznego zabezpieczania danych w chmurze opisanych już na poziomie ogólnych dobrych praktyk.
5. Przygotowanie zespołu do najbliższego audytu – zarówno audytorzy wewnętrzni, jak i osoby odpowiedzialne za kontakt z jednostką certyfikującą powinny znać zakres zmian jeszcze przed terminem audytu nadzoru.

Czy warto czekać z aktualizacją

Trzyletni okres przejściowy bywa kuszącym argumentem za odłożeniem tematu na później. W praktyce jednak organizacje, które traktują zgodność z normą jako realny element budowania zaufania – a nie tylko formalność do audytu – zyskują na wcześniejszym dostosowaniu systemu. Dotyczy to szczególnie dostawców chmury, dla których aktualna deklaracja stosowania jest często elementem odpowiedzi na zapytania ofertowe większych klientów instytucjonalnych, coraz częściej weryfikujących zgodność dostawców z najnowszymi wersjami norm, a nie tylko z faktem posiadania certyfikatu.