--- id: CP-376 slug: iso-27001-27002-szbi lang: pl title: "ISO 27001 i 27002: system zarządzania bezpieczeństwem informacji" description: Co system zarządzania bezpieczeństwem informacji zmienia dla pracownika i dla zarządu, z wykorzystaniem zasobów NIST i NCSC. canonical_url: https://startbrain.io/cyberpedia/pl/articles/iso-27001-27002-szbi/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/iso-27001-27002-szbi.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „ISO 27001 i 27002: system zarządzania bezpieczeństwem informacji”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/iso-27001-27002-szbi/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-032 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/iso-27001-27002-szbi/ fr: https://startbrain.io/cyberpedia/fr/articles/iso-27001-27002-smsi/ en: https://startbrain.io/cyberpedia/en/articles/iso-27001-27002-isms/ de: https://startbrain.io/cyberpedia/de/articles/iso-27001-27002-isms-de/ es: https://startbrain.io/cyberpedia/es/articles/iso-27001-27002-sgsi/ it: https://startbrain.io/cyberpedia/it/articles/iso-27001-27002-sgsi/ nl: https://startbrain.io/cyberpedia/nl/articles/iso-27001-27002-isms-nl/ pt: https://startbrain.io/cyberpedia/pt/articles/iso-27001-27002-sgsi/ sources: - "n": 1 title: Security and Privacy Controls for Information Systems and Organizations publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" - "n": 2 title: Risk management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/risk-management published: "2023-06-23" accessed: "2026-11-03" - "n": 3 title: Cyber Security Toolkit for Boards publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/board-toolkit published: "2023-03-30" accessed: "2026-11-03" - "n": 4 title: Guide for Conducting Risk Assessments publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/30/r1/final accessed: "2026-11-03" - "n": 5 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" - "n": 6 title: CSF 2.0 Resources publisher: NIST url: https://www.nist.gov/cyberframework/resources published: "2024-03-06" accessed: "2026-11-03" - "n": 7 title: Cybersecurity Best Practices publisher: CISA url: https://www.cisa.gov/topics/cybersecurity-best-practices accessed: "2026-11-03" - "n": 8 title: Cybersecurity and Privacy Reference Tool CPRT publisher: NIST url: https://csrc.nist.gov/projects/cprt/catalog accessed: "2026-11-03" --- # ISO 27001 i 27002: system zarządzania bezpieczeństwem informacji Ta karta informacyjna dotyczy zarządzania bezpieczeństwem informacji w organizacji (SZBI) z punktu widzenia pracownika i zarządu. Tylko jedno z cytowanych tu źródeł wspomina o normie ISO, a mianowicie o ISO/IEC 27001:2022 [1]. Cytowane tu źródła pochodzą z amerykańskich i brytyjskich instytucji publicznych (NIST, NCSC, CISA). Nie przytaczają one tekstu norm ISO, tekstu dyrektywy NIS 2 ani publikacji ANSSI. Te kwestie nie są więc tu opisane: karta ogranicza się do tego, co te źródła ustalają na temat zarządzania ryzykiem, roli zarządu i zbiorów zabezpieczeń. ## W 30 sekund - Gdzie to występuje: w każdej organizacji, która zarządza ryzykiem cybernetycznym w uporządkowany sposób, zarówno na poziomie zarządu, jak i zespołów. - Do czego to służy: do wyboru zabezpieczeń na podstawie rzeczywistych ryzyk organizacji, a nie po to, by odhaczyć wymóg [2]. - Odruch: jeśli jakaś aktywność lub zachowanie wydaje się Państwu podejrzane, należy to zgłosić, ponieważ samo zgłoszenie ma znaczenie [7]. ## Pytania wprost ### Czym w praktyce jest SZBI? Cytowane tu źródła nie definiują tego terminu. NCSC opisuje zbliżone podejście: podstawowe pojęcia, a następnie ogólne kroki, które mogą stanowić fundament dowolnego procesu zarządzania ryzykiem cybernetycznym [2]. ### Jaki jest związek z ISO 27001 i 27002? Cytowane tu źródła nie opisują tych norm. Wspomina o nich tylko jedno: NIST publikuje tabelę odpowiedniości między swoim katalogiem zabezpieczeń SP 800-53 Rev. 5 a ISO/IEC 27001:2022 [1]. NIST dodaje, że te tabele dają ogólną wskazówkę co do zakresu pokrycia, że nie należy na ich podstawie zakładać równoważności i że odpowiedniki nie zawsze są ustalane jeden do jednego [1]. ### Co powinien robić zarząd? NCSC przygotowało zestaw narzędzi dla rad dyrektorów. Towarzyszy on kodeksowi dobrych praktyk w zakresie zarządzania cyberbezpieczeństwem i ma pomóc radom włączyć odporność oraz zarządzanie ryzykiem w ludzi, systemy, procesy i technologie organizacji [3]. ### Co powinien robić pracownik? CISA zalicza do podstawowej higieny silne hasła, aktualizowanie oprogramowania, ostrożność wobec podejrzanych linków i uwierzytelnianie wieloskładnikowe [7]. Pisze, że te podstawy dotyczą zarówno osób prywatnych, jak i organizacji [7]. Zachęca także do zgłaszania każdego podejrzanego zachowania [7]. ## Co się zmienia dla pracowników Dla pracownika system zarządzania widać przede wszystkim w codziennych zasadach i w tym, że wiadomo, do kogo się zwrócić. CISA wymienia podstawowe nawyki higieny: silne hasła, aktualizacje, ostrożność wobec linków, uwierzytelnianie wieloskładnikowe [7]. Proponuje też szkolenia i warsztaty, na przykład warsztat wprowadzający dla lokalnych liderów o typowych zagrożeniach i podstawowych praktykach [7]. Zgłaszanie jest częścią tego podejścia. CISA twierdzi, że każdy może pomóc odeprzeć zagrożenie, zgłaszając podejrzaną aktywność lub dziwne zachowanie [7]. Cytowane tu źródła nie podają wewnętrznej procedury konkretnej firmy: zależy ona od organizacji i to ona ją komunikuje. ## Co się zmienia dla zarządu NCSC pisze, że główną siłą napędową zarządzania ryzykiem cybernetycznym powinna być poprawa wyników działalności. Opowiada się za zarządzaniem, „które ukazuje rzeczywiste ryzyka cybernetyczne” organizacji, a nie za technikami, które mają jedynie spełnić wymogi zgodności [2]. Zaznacza, że jego poradnik nie ma charakteru nakazowego i że żadna technika nie pasuje do wszystkich sytuacji [2]. Dla rad dyrektorów NCSC opublikowało zestaw narzędzi zbudowany wokół Cyber Governance Code of Practice. Zawiera on dwa moduły wprowadzające, w tym jeden dla osób dopiero poznających cyberbezpieczeństwo, oraz dokument z pytaniami, które rada może zadawać, aby ocenić działanie organizacji [3]. W poradniku SP 800-30 Rev. 1 (wrzesień 2012) NIST opisuje analizę ryzyka jako element całościowego procesu zarządzania ryzykiem, który dostarcza kierownictwu informacji potrzebnych do podejmowania decyzji [4]. ## Co mówi tekst Cytowane tu źródła nie zawierają tekstów ISO: ich dokładna treść (wymagania, zabezpieczenia, zakres, deklaracja stosowania, przebieg certyfikacji) nie jest więc tu streszczana. Źródła podają natomiast informacje o pokrewnych zbiorach zabezpieczeń. Katalog NIST SP 800-53 Rev. 5 (opublikowany we wrześniu 2020) gromadzi zabezpieczenia bezpieczeństwa i ochrony prywatności, które chronią działalność, zasoby i ludzi przed różnymi zagrożeniami, w tym atakami celowymi, błędami ludzkimi i klęskami żywiołowymi [1]. Obejmuje on rodziny zabezpieczeń, takie jak kontrola dostępu, uświadamianie i szkolenie, reagowanie na incydenty czy ocena ryzyka [1]. Cybersecurity Framework NIST w wersji 2.0 jest przedstawiany jako narzędzie do ograniczania ryzyk cybernetycznych, z przewodnikami szybkiego startu, profilami i tabelami odpowiedniości z innymi zasobami [5]. Przewodnik startowy przeznaczony dla małych i średnich przedsiębiorstw oferuje zasoby do uruchomienia strategii zarządzania ryzykiem [6]. NIST oferuje wreszcie internetowe narzędzie referencyjne o cyberbezpieczeństwie i ochronie prywatności, CPRT [8]. ## Stan wdrożenia Żadne z cytowanych tu źródeł nie dotyczy stosowania NIS 2, przepisów europejskich ani zasobów ANSSI. Żadne nie podaje czasu trwania ani harmonogramu certyfikacji ISO 27001. Te kwestie wymagają jeszcze udokumentowania w odpowiednich źródłach. Oto, co źródła pozwalają powiedzieć o stanie cytowanych zbiorów zabezpieczeń: NIST opublikował 27 sierpnia 2025 roku mniejszą wersję SP 800-53, oznaczoną 5.2.0, z nowymi zabezpieczeniami i zmianami w już istniejących [1]. Udostępnił też trzy wprowadzające kursy do samodzielnej nauki o katalogu SP 800-53, jego procedurach oceny (SP 800-53A) i poziomach bazowych (SP 800-53B) [6]. NCSC wskazuje dla swojego zestawu narzędzi wersję 3.0, przejrzaną 8 kwietnia 2025 roku [3]. ## Źródła 1. NIST, „Security and Privacy Controls for Information Systems and Organizations”. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (dostęp 3 listopada 2026) 2. NCSC (Royaume-Uni), „Risk management”, 23 czerwca 2023. https://www.ncsc.gov.uk/collection/risk-management (dostęp 3 listopada 2026) 3. NCSC (Royaume-Uni), „Cyber Security Toolkit for Boards”, 30 marca 2023. https://www.ncsc.gov.uk/collection/board-toolkit (dostęp 3 listopada 2026) 4. NIST, „Guide for Conducting Risk Assessments”. https://csrc.nist.gov/pubs/sp/800/30/r1/final (dostęp 3 listopada 2026) 5. NIST, „Cybersecurity Framework”. https://www.nist.gov/cyberframework (dostęp 3 listopada 2026) 6. NIST, „CSF 2.0 Resources”, 6 marca 2024. https://www.nist.gov/cyberframework/resources (dostęp 3 listopada 2026) 7. CISA, „Cybersecurity Best Practices”. https://www.cisa.gov/topics/cybersecurity-best-practices (dostęp 3 listopada 2026) 8. NIST, „Cybersecurity and Privacy Reference Tool CPRT”. https://csrc.nist.gov/projects/cprt/catalog (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/iso-27001-27002-szbi/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.