Audyt certyfikacyjny ISO 27001 – co sprawdza audytor na Stage 1 i Stage 2

Zaktualizowano: 22 września 2026

Czym jest audyt certyfikacyjny ISO 27001 i jak przebiega? Audyt certyfikacyjny ISO 27001 to dwuetapowy proces przeprowadzany przez akredytowane certification body, weryfikujący że organizacja wdrożyła, utrzymuje i doskonali ISMS (Information Security Management System) zgodny z ISO/IEC 27001:2022.

Stage 1 to przegląd dokumentacyjny – audytor ocenia czy ISMS jest poprawnie zaprojektowane: kompletność dokumentacji, poprawność zakresu, zaangażowanie zarządu.
Stage 2 to testowanie efektywności – audytor weryfikuje czy ISMS faktycznie działa: wywiady z pracownikami, przegląd dowodów operacyjnych, obserwacja procesów. Dopiero pozytywny wynik Stage 2 prowadzi do wydania certyfikatu. Certyfikat jest ważny 3 lata, z rocznymi surveillance audits.

Audyt ISO 27001 Stage 1 i Stage 2 – w skrócie:

1. Stage 1 może zidentyfikować „areas of concern” wymagające rozwiązania przed Stage 2 – planuj minimum 4-8 tygodni między Stage 1 a Stage 2 na korektę findings
2. Stage 2 trwa typowo 2-5 dni dla organizacji 100-500 osób – audytor próbkuje 5-10 wywiadów i sprawdza dowody operacyjne za ostatnie 12 miesięcy
3. Major nonconformity (np. brak risk assessment, brak management review) blokuje wydanie certyfikatu do czasu korekty; minor nonconformity nie blokuje, ale wymaga korekty w określonym terminie po certyfikacie
4. Najczęstsze blocking findings na Stage 1: niekompletny SoA, brak risk treatment plan, brak dowodów że management review się odbyło z wymaganymi tematami
5. Stage 2 sprawdza dowody operacyjne za 12 miesięcy – organizacje zbierające dowody tylko w tygodniu przed audytem nie mają wymaganej historii
6. Patronusec jako partner implementacyjny ISO 27001 prowadzi pre-audit assessment symulujący kluczowe pytania Stage 1 i Stage 2 – identyfikując luki zanim zobaczy je certification body

---

---

Co sprawdza audytor ISO 27001 podczas Stage 1 i jakie dokumenty są obowiązkowe?

Stage 1 to „review dokumentacji i gotowości organizacji” – audytor chce zrozumieć jak ISMS jest zaprojektowane i czy organizacja jest gotowa do Stage 2. Brak któregokolwiek z poniższych dokumentów zazwyczaj skutkuje area of concern lub minor nonconformity uniemożliwiającą szybkie przejście do Stage 2.

10 obowiązkowych dokumentów na Stage 1:

Dokument	Wymaganie ISO 27001:2022	Najczęstszy problem
ISMS Scope	Klauzula 4.3	Zakres niejasny lub nieuzasadniony
Information Security Policy	Klauzula 5.2	Zatwierdzona ale nieskomunikowana personelowi
Risk Assessment Methodology	Klauzula 6.1.2	Nieudokumentowana – istnieje tylko w głowie CISO
Risk Register	Klauzula 6.1.2	Brak, lub ogólniki bez właścicieli ryzyk
Statement of Applicability (SoA)	Klauzula 6.1.3	Brak uzasadnienia dla wykluczonych kontroli Aneksu A
Risk Treatment Plan	Klauzula 6.1.3	Brak lub plan bez terminów i właścicieli
Information Security Objectives	Klauzula 6.2	Brak mierzalnych celów bezpieczeństwa
Management Review minutes	Klauzula 9.3	Management review nigdy się nie odbyło
Internal Audit report	Klauzula 9.2	Brak lub wewnętrzny audyt przeprowadzony bez wymaganej niezależności
Competence records	Klauzula 7.2	Brak dokumentacji szkoleń personelu bezpieczeństwa

Co audytor robi podczas Stage 1:

• Przegląda dokumenty (nie testuje ich efektywności – to Stage 2)
• Sprawdza czy SoA jest logicznie powiązany z risk register
• Ocenia czy Management Review obejmował wymagane tematy z klauzuli 9.3
• Weryfikuje czy zakres ISMS jest jasno zdefiniowany i uzasadniony
• Identyfikuje areas of concern wymagające zaadresowania przed Stage 2

Patronusec Insight: Najczęstszy powód opóźnienia Stage 1 to Management Review, który albo nie miał miejsca, albo miał zbyt wąski zakres. ISO 27001:2022 klauzula 9.3 wymaga, żeby management review był prowadzony przez „top management” – właściciela, CEO lub wyznaczonego członka zarządu. Spotkanie „CISO z IT managerem” nie spełnia tego wymagania. Zalecamy zaplanowanie pierwszego Management Review przynajmniej 6-8 tygodni przed Stage 1, z minutkami dokumentującymi wszystkie wymagane tematy z klauzuli 9.3. W ramach ISO 27001 wdrożenia prowadzimy właśnie te sesje z klientami.

Co sprawdza audytor ISO 27001 podczas Stage 2 i jak gromadzić dowody?

Stage 2 to weryfikacja efektywności – audytor sprawdza czy ISMS faktycznie działa, nie tylko czy istnieje na papierze.

Metody weryfikacji na Stage 2:

Wywiady z pracownikami
Audytor rozmawia z właścicielami ryzyk, administratorami IT, personelem bezpieczeństwa i – co ważne – losowo wybranymi pracownikami spoza IT. Typowe pytania do zwykłego pracownika: „Co robisz gdy znajdziesz podejrzany email?”, „Gdzie zgłaszasz incydent bezpieczeństwa?”, „Kiedy ostatnio miałeś szkolenie i co pamiętasz z jego tematu?” Odpowiedzi niezgodne z dokumentacją = finding.

Przegląd dowodów operacyjnych
Audytor prosi o dowody, że procesy działają za ostatnie 12 miesięcy:

• Logi z przeglądów dostępów (access reviews) – nie tylko wyniki, ale historia regularności
• Wyniki skanów podatności za ostatnie 3 miesiące z dokumentacją remediacji
• Przykładowe zgłoszenia incydentów z dokumentacją ich obsługi
• Umowy z dostawcami z klauzulami bezpieczeństwa
• Wyniki szkoleń – nie tylko lista obecności, ale dowody sprawdzenia efektywności

Obserwacja
Dla fizycznych kontroli (zamki, clean desk, niszczarki, monitoring wejść) audytor może przeprowadzić physical walk-through lub zweryfikować logi systemów kontroli dostępu.

---

Nie wiesz, czy Twoja dokumentacja ISMS i dowody operacyjne za 12 miesięcy są gotowe na Stage 2?

Patronusec przeprowadza pre-audit readiness assessment – symulację kluczowych pytań Stage 1 i Stage 2 zanim pojawi się audytor certification body. Wynik: priorytetyzowana lista luk z planem działań.

Umów pre-audit readiness assessment

---

Jakie findings najczęściej blokują certyfikat ISO 27001?

Major nonconformity (blokuje certyfikat):

1. Brak risk assessment lub risk assessment niezgodny z udokumentowaną metodologią
2. SoA bez uzasadnienia wykluczonych kontroli Aneksu A
3. Brak Management Review lub Management Review bez wymaganych tematów z klauzuli 9.3
4. Brak Internal Audit lub Internal Audit przeprowadzony przez osobę bez wymaganej niezależności
5. Brak udokumentowanego risk treatment plan dla ryzyk powyżej poziomu akceptacji
6. Kontrole deklarowane jako „wdrożone” w SoA, które faktycznie nie są wdrożone

Minor nonconformity (nie blokuje, wymaga korekty po certyfikacie):

• Polityki zatwierdzone ale nieskomunikowane do wszystkich pracowników
• Asset inventory niekompletny lub nieaktualny
• Brak formalnych umów TPSP z klauzulami bezpieczeństwa dla niektórych dostawców
• Logi z access reviews z luką powyżej 12 miesięcy

Observation (opportunity for improvement):

• Lepsza integracja risk register z change management
• Rozszerzenie zakresu szkoleń na konkretne role wysokiego ryzyka

Patronusec Insight: Najdroższym błędem przed Stage 2 jest zebranie dowodów operacyjnych w ciągu 2 tygodni przed audytem. Audytor pyta o dowody za ostatnie 12 miesięcy – jeśli access review jest przeprowadzony tydzień przed audytem, log incydentów ma 4 tygodnie historii, a szkolenia z 3 poprzednich miesięcy to są te 4 tygodnie – masz dowody „audyt-driven”, nie operacyjnie ciągłego programu. Audytor ISO 27001 widzi to natychmiast. W naszych projektach wdrożenia ISO 27001 wdrażamy procesy zbierania dowodów od początku projektu – nie od miesiąca przed Stage 2.

Jak skrócić czas od Stage 1 do wydania certyfikatu?

Typowy czas od Stage 1 do certyfikatu: 3-5 miesięcy. Można go skrócić do 2-3 miesięcy przez:

Kompletna dokumentacja przed Stage 1: Im mniej areas of concern po Stage 1, tym krótszy gap między Stage 1 a Stage 2. Organizacje z kompletną dokumentacją kończą Stage 1 bez blockerów i planują Stage 2 za 4-6 tygodni.

Dowody operacyjne przez cały rok: Stage 2 sprawdza historię za 12 miesięcy. Organizacje zbierające dowody od początku projektu wdrożeniowego mają je gotowe. Te zbierające je tydzień przed audytem – nie mają 12-miesięcznej historii.

Pre-audit assessment przed Stage 1: Zewnętrzny przegląd dokumentacji i próbkowe wywiady przed formalnym audytem identyfikują problemy i dają czas na korektę. Koszt pre-assessment zwraca się przez skrócenie cyklu audytowego.

FAQ – Audyt ISO 27001

---

Audyt ISO 27001 – bezpłatna konsultacja

Patronusec wspiera organizacje w przygotowaniu do Stage 1 i Stage 2 audytu ISO 27001 – od przeglądu dokumentacji po pre-audit assessment i wsparcie podczas formalnego audytu.

W bezpłatnej 30-minutowej konsultacji pomożemy Ci:

• Ocenić kompletność dokumentacji ISMS i gotowość do Stage 1
• Zidentyfikować potencjalne major nonconformities zanim zobaczy je audytor certification body
• Zaplanować harmonogram Stage 1 → Stage 2 z uwzględnieniem wymaganych przerw
• Określić jak systematycznie zbierać dowody operacyjne przez 12 miesięcy poprzedzające audyt

Bezpłatna konsultacja | ISO 27001 wdrożenie | vCISO – wsparcie ISMS | NIS2 wdrożenie | DORA compliance