ISO/IEC 27001

Клаузи 4–10 описват самата система за управление: обхват, ръководна отговорност, оценка и третиране на риска, измерване, вътрешен одит и преглед от ръководството. Сърцевината е оценката на риска — контролите не се избират от списък, а следват от рисковете, които организацията е установила при себе си.

Приложение А дава 93 контрола в четири теми: организационни (37), за хората (8), физически (14) и технологични (34). Кои от тях се прилагат и защо останалите отпадат се описва в Декларацията за приложимост (SoA) — документът, който одиторът разгръща пръв.

ISO 27001 не се налага от регулатор и неспазването му не носи санкция. Тежестта му е друга: той е общоприетият начин да докажеш зрялост — пред клиент в процедура по доставчици, пред одитор, пред застраховател.

Регулациите го признават, без да го изискват. Мерките по чл. 21 от NIS2, изискванията за управление на ИКТ риска по DORA и „подходящите технически и организационни мерки“ по чл. 32 от GDPR се покриват до голяма степен от една работеща СУСИ. Сертификатът не е съответствие сам по себе си, но е доказателството, което най-често се представя.

Стандартът е приет като БДС EN ISO/IEC 27001:2023 от Българския институт за стандартизация, заедно с изменението A1:2024, което добавя климатичните промени сред факторите в контекста на организацията.

Сертифицира се от орган по сертификация, акредитиран от ИА „Българска служба за акредитация“ или от друг акредитационен орган, страна по многостранното споразумение на European co-operation for Accreditation — затова сертификат, издаден в друга държава членка, важи и тук. Преходът от изданието 2013 приключи на 31 октомври 2025 г.; сертификати по стария текст вече не са валидни.