ISO 27001-certifiering: så går det till

ISO 27001 certifiering innebär att en oberoende revisor granskar företagets ledningssystem för informationssäkerhet och bekräftar att det lever upp till standardens krav. Processen tar vanligtvis tre till tolv månader, beroende på hur stort företaget är och hur långt det kommit med sitt säkerhetsarbete. Certifikatet gäller i tre år, med årliga uppföljningsrevisioner.

Standarden bygger på 93 kontroller fördelade på fyra områden och fungerar som ett ramverk för att systematiskt skydda känslig information. Den är relevant oavsett bransch, men särskilt viktig för företag som hanterar kunddata, verkar inom digitala tjänster eller behöver visa att de uppfyller krav kopplade till GDPR efterlevnad.

Vad standarden kräver av ditt företag

ISO 27001 handlar om att bygga ett ledningssystem för informationssäkerhet, ofta förkortat LIS. Det är alltså inte en engångsåtgärd utan ett dokumenterat, löpande arbetssätt. Företaget ska kunna visa hur det identifierar risker, hanterar dem och förbättrar sitt skydd över tid.

Den senaste versionen av standarden, utgiven 2022, delar in kontrollerna i fyra teman:

• Organisatoriska kontroller som täcker policyer, roller och riskhantering
• Personella kontroller kring utbildning, bakgrundskontroller och säkerhetskultur
• Fysiska kontroller för skydd av lokaler och utrustning
• Tekniska kontroller som kryptering, åtkomsthantering och loggning

Alla 93 kontroller behöver inte tillämpas. En riskbedömning avgör vilka som är relevanta för just din verksamhet. Ett renodlat SaaS-bolag behöver inte samma fysiska säkerhetskrav som ett företag med egna serverhallar. Den flexibiliteten gör standarden användbar för allt från femmannaföretag till internationella koncerner.

Processen från start till certifikat

Gapanalys och riskbedömning

Första steget är att kartlägga var företaget står. En gapanalys jämför befintliga rutiner mot standardens krav och identifierar vad som saknas. Parallellt genomförs en riskbedömning där hoten mot företagets information värderas. Dessa två aktiviteter styr hela det fortsatta arbetet, eftersom de avgör vilka kontroller som behöver implementeras och i vilken ordning.

Bygg ledningssystemet

Med gapanalysen som grund skapas det dokumenterade ledningssystemet. Här skrivs policyer, rutiner och processer. Ansvar fördelas. Tekniska åtgärder som tvåfaktorsautentisering eller kryptering implementeras där riskbedömningen visar att det behövs. Många företag underskattar den här fasen. Det är inte ovanligt att den tar hälften av hela projekttiden, särskilt om dokumentationen av befintliga rutiner är bristfällig.

Internrevision och ledningens genomgång

Innan en extern revisor kliver in behöver företaget granska sig självt. Internrevisionen kontrollerar att ledningssystemet fungerar i praktiken och inte bara på papper. Ledningen ska sedan formellt gå igenom resultaten och fatta beslut om eventuella förbättringsåtgärder. Det här steget är ett krav i standarden, inte bara en rekommendation.

Certifieringsrevision i två steg

Den externa revisionen sker i två delar. Steg ett fokuserar på dokumentation. Revisorn granskar att ledningssystemet uppfyller kraven på pappret. Steg två är en praktisk granskning där revisorn kontrollerar att systemet faktiskt tillämpas i verksamheten. Finns avvikelser får företaget en viss tid att åtgärda dem innan certifikatet kan utfärdas. Företag som vill komma igång med processen kan ansöka om ISO 27001 certifiering hos ett ackrediterat certifieringsorgan för att få tidsramar och kostnadsuppskattning anpassade till verksamhetens storlek.

Kopplingen till NIS2 och GDPR

EU:s NIS2-direktiv blev verkställbart i medlemsstaterna i oktober 2024 och berör organisationer inom 18 kritiska sektorer, bland annat energi, transport, finanstjänster, hälso- och sjukvård samt digital infrastruktur. Sanktionerna vid bristande efterlevnad kan uppgå till 10 miljoner euro eller två procent av den globala årsomsättningen.

Överlappningen mellan NIS2 och ISO 27001 är påfallande stor. Ett väl implementerat ledningssystem enligt ISO 27001 täcker redan en betydande del av NIS2-kraven. Riskhantering, incidenthantering, leverantörsbedömningar och kontinuitetsplanering finns i båda ramverken. Skillnaden ligger i att NIS2 är lagstiftning med straffrättsliga konsekvenser, medan ISO 27001 är en frivillig certifiering. NIS2 ställer dessutom specifika tidskrav vid incidentrapportering som inte har en direkt motsvarighet i standarden.

GDPR-efterlevnad och ISO 27001 hänger också ihop. Dataskyddsförordningen kräver ”lämpliga tekniska och organisatoriska åtgärder” för att skydda personuppgifter, men specificerar sällan exakt vilka. Ett certifierat ledningssystem ger företaget ett konkret sätt att visa att sådana åtgärder finns på plats. Det ersätter inte en dataskyddspolicy eller personuppgiftsbiträdesavtal, men det stärker företagets position vid en tillsyn.

Vad händer efter att certifikatet är utfärdat

Certifieringen är inte ett slutmål utan startpunkten för ett löpande förbättringsarbete. Varje år genomförs en uppföljningsrevision, ibland kallad övervakningsrevision, där certifieringsorganet kontrollerar att ledningssystemet fortfarande fungerar och utvecklas. Efter tre år krävs en omcertifiering, som i princip innebär en ny fullständig revision.

Företag som behandlar certifikatet som en engångsinsats hamnar ofta i svårigheter vid uppföljningen. Rutiner som inte underhålls förfaller snabbt. Riskbilden förändras i takt med att verksamheten växer, nya system tas i drift och hotlandskapet utvecklas. Det som var en relevant riskbedömning för tolv månader sedan kan vara föråldrad redan efter ett halvår.

Globalt växer antalet ISO 27001-certifieringar med runt 20 procent per år, drivet av hårdare regulatoriska krav och ökade förväntningar från kunder och samarbetspartners. För svenska företag som hanterar dataskydd och verkar i branscher som berörs av NIS2 är certifieringen inte längre en trevlig merit på hemsidan. Det är ett konkret verktyg för att strukturera säkerhetsarbetet, uppfylla lagkrav och slippa bygga två parallella ramverk när ett räcker.