Šta je ISO 27001 i da li je mojoj firmi stvarno potreban?

 Prvi tekst na blogu InfoSec bez stresa — i pitanje koje sebi postavi skoro svaki vlasnik male ili srednje firme onog trenutka kad prvi put čuje za ovaj standard.

Realna situacija

Zamislite ovo: firma ima 15 zaposlenih, radi razvoj softvera ili pruža IT usluge, posluje solidno, sve funkcioniše. Onda stigne mejl od velikog klijenta — banke, osiguravajuće kuće ili strane kompanije s kojom se pregovara o saradnji. U prilogu je bezbednosni upitnik, a na dnu jedna rečenica koja pokvari popodne:

„Molimo dostavite ISO 27001 sertifikat ili plan implementacije u naredna tri meseca."

Ili, druga verzija iste priče: firma konkuriše na tenderu, sve uslove ispunjava — sem jednog. Traži se ISO 27001. Prva reakcija je obično paničan Google upit u stilu „šta je ISO 27001" i „da li mi to stvarno treba", u ponoć, uz osećaj da se upravo otvorila rupa u budžetu i rasporedu koje niko nije planirao.

Ako je ovo vaša situacija — ili slutite da bi mogla postati — ovaj tekst je tu da vas smiri i da vam da realnu sliku, bez marketinškog naguravanja i bez nepotrebnog straha.

Šta ISO 27001 zapravo jeste, bez žargona

ISO/IEC 27001 je međunarodni standard koji propisuje kako organizacija treba da uspostavi sistem upravljanja bezbednošću informacija (ISMS — Information Security Management System). Zvuči apstraktno, pa hajde da to prevedemo na jednostavan jezik.

U suštini, standard traži da firma:

• napravi popis onoga što štiti (podaci klijenata, ugovori, šifre, izvorni kod, finansijski podaci, lični podaci zaposlenih),
• proceni koji su rizici da se ti podaci izgube, ukradu ili zloupotrebe,
• uvede konkretne mere da se ti rizici smanje — od lozinki i backupa, preko fizičkog obezbeđenja prostorija, do jasnih pravila ko sme da pristupa čemu,
• i redovno proverava da li te mere zaista rade, a ne samo da postoje na papiru.

Trenutno važeća verzija standarda (ISO/IEC 27001:2022) sadrži 93 kontrole grupisane u četiri celine: organizacione, ljudske, fizičke i tehnološke. Ne primenjuju se sve na isti način u svakoj firmi — deo posla je upravo u tome da se proceni šta je relevantno za vaš kontekst, a šta nije.

Važno je razdvojiti dve stvari koje se često mešaju:

1. Implementacija ISO 27001 principa — firma primenjuje dobru praksu bezbednosti informacija, bez formalnog sertifikata.
2. Sertifikacija — nezavisno akreditovano telo proverava (kroz dvostepeni audit) da li firma zaista ispunjava zahteve standarda i izdaje sertifikat koji važi tri godine, uz godišnje nadzorne provere.

Firmi je često potrebno prvo, a tek kasnije — ako za to postoji jasan poslovni razlog — i drugo.

Da li je ISO 27001 zakonska obaveza u Srbiji?

Kratak odgovor: za većinu malih i srednjih firmi — ne, direktno nije. Ali priča ima nekoliko slojeva vrednih razumevanja.

Srbija od kraja oktobra 2025. primenjuje novi Zakon o informacionoj bezbednosti, usklađen sa evropskom NIS2 direktivom. Nadzor sprovodi RATEL, kroz Nacionalni centar za prevenciju bezbednosnih rizika u IKT sistemima (Nacionalni CERT). Zakon propisuje konkretne obaveze — redovnu procenu rizika (za prioritetne sisteme i do dva puta godišnje), akt o bezbednosti IKT sistema, prijavljivanje incidenata i planove reagovanja — uz novčane kazne za nepoštovanje koje mogu ići i do nekoliko miliona dinara.

Ključno pitanje glasi: na koga se ovaj zakon odnosi? Prvenstveno na takozvane operatore sistema od posebnog značaja — banke, telekom operatere, energetske kompanije, državne institucije i firme koje pružaju digitalne usluge od šireg značaja. Za razliku od Crne Gore, koja je ISO 27001 eksplicitno upisala kao obavezan standard, srpski zakonodavac to nije uradio direktno — standard se pojavljuje posredno, kroz podzakonske akte i kroz činjenicu da regulatori i inspekcije ISO 27001 prepoznaju kao referentni okvir za dokazivanje da su propisane mere zaista ispunjene.

Ako niste banka, telekom operater, energetska firma ili deo kritične infrastrukture, zakon vas verovatno direktno ne obavezuje na sertifikaciju. Tu je i Zakon o zaštiti podataka o ličnosti (usklađen sa GDPR-om) — on takođe ne propisuje ISO 27001 po imenu, ali primena standarda značajno olakšava dokazivanje da su „odgovarajuće tehničke i organizacione mere" iz zakona zaista sprovedene.

Drugim rečima: odsustvo direktne zakonske obaveze ne znači i odsustvo pritiska da standard ipak uvedete — samo taj pritisak retko dolazi od zakona. Češće dolazi od tržišta.

Zašto onda firme ipak uvode ISO 27001

Iz iskustva firmi koje su prošle kroz ovaj proces, evo najčešćih realnih razloga — ne teorijskih, nego onih koji su ih zaista naveli da se upuste u sertifikaciju:

• Tender ili ugovor to traži. Javne nabavke i sve više privatnih ugovora (posebno u finansijskom sektoru, IT autsorsingu i saradnji sa stranim partnerima) postavljaju ISO 27001 kao preduslov ili veliku prednost.
• Veliki klijent to zahteva pre potpisivanja saradnje. Banke, osiguravajuće kuće i korporacije rade bezbednosnu proveru dobavljača (vendor due diligence) i sertifikat im olakšava odluku — ili je direktno uslov.
• Izlazak na strano, posebno EU tržište. Firme koje rade sa evropskim partnerima sve češće nailaze na očekivanje da bar u nekoj meri prate NIS2 logiku, a ISO 27001 je najprepoznatljiviji način da se to dokaže.
• Konkurentska prednost na domaćem tržištu. U IT uslugama, razvoju softvera i cloud rešenjima, sertifikat je argument koji razlikuje ponudu od konkurencije.
• Jeftinije i lakše cyber osiguranje. Osiguravajuće kuće sve češće traže dokaz o bezbednosnim merama pre nego što ponude povoljniju polisu.
• Priprema za investitore ili prodaju firme. Due diligence pre ulaganja ili akvizicije skoro uvek uključuje pitanje o bezbednosti podataka.
• Interni red, a ne samo papir za druge. Ovo se često potcenjuje, ali je možda najvažnije: firme koje su prošle kroz proces često kažu da su tek tada shvatile koliko je haotično bilo upravljanje pristupima, lozinkama i backupom — i da je uvođenje reda samo po sebi vredelo truda, nezavisno od sertifikata.

Kada vam (za sada) verovatno ne treba formalna sertifikacija

Da bismo ostali realni, a ne samo prodavali priču o tome da „svima treba": ako nemate nijedan od gore navedenih spoljnih pritisaka — nijedan tender, nijedan klijent, nijedan investitor koji to traži — i firma je mala, sa ograničenom količinom osetljivih podataka, formalna sertifikacija verovatno nije prioritet ovog trenutka.

U tom slučaju ima smisla krenuti od lakšeg koraka: uvesti osnovnu politiku bezbednosti, uraditi jednostavnu procenu rizika, urediti ko ima pristup čemu, postaviti redovan backup i malo educirati zaposlene o osnovnim pravilima (phishing, lozinke, deljenje pristupa). To je, u suštini, prva trećina puta ka ISO 27001 — samo bez formalnog audita i troška sertifikacionog tela. Ako se kasnije pojavi konkretan poslovni razlog za sertifikaciju, firma već ima solidnu osnovu i put je znatno kraći.

Sertifikacija bez jasnog poslovnog razloga iza sebe lako postane trošak bez merljivog povraćaja — a upravo to je ono što ovaj blog želi da vam pomogne da izbegnete.

Realna slika: šta uključuje put do sertifikata

Bez ulepšavanja, evo grubog okvira za malu ili srednju firmu:

• Vreme: od odluke do sertifikata obično prođe negde između 6 i 12 meseci, u zavisnosti od toga koliko je firma već organizovana i koliko vremena ljudi mogu da izdvoje.
• Ljudi: neko iznutra mora da „vodi" projekat — ne mora biti isključivo IT osoba, često je to neko iz menadžmenta ili operacija. Angažovanje spoljnog konsultanta nije obavezno, ali obično ubrzava proces i smanjuje broj grešaka u dokumentaciji.
• Sertifikaciono telo: sertifikat izdaje nezavisno, akreditovano sertifikaciono telo (akreditacija se u Srbiji prati preko Akreditacionog tela Srbije), kroz dvostepeni audit — prvo se proverava dokumentacija, zatim se proverava da li se mere zaista primenjuju u praksi.
• Trošak: zavisi od veličine firme, broja lokacija i procesa, kao i od toga koliko je dokumentacija već sređena. Ne postoji univerzalna cifra i vredi biti oprezan prema ponudama koje obećavaju „garantovano brzo i jeftino" — to je često znak površnog pristupa koji se kasnije plaća na godišnjim proverama.

Svaki od ovih koraka zaslužuje poseban tekst — i upravo to je plan za naredne objave na blogu.

Brzi check: da li vam ISO 27001 treba baš sada

Pre nego što donesete odluku, postavite sebi ova pitanja:

• Da li konkretan klijent, tender ili partner to već traži, ili će uskoro tražiti?
• Da li obrađujete veću količinu osetljivih podataka (lični podaci, finansijski podaci, poslovne tajne klijenata)?
• Da li planirate saradnju sa bankama, osiguranjem ili stranim (posebno EU) partnerima?
• Da li ste deo kritične infrastrukture ili operator sistema od posebnog značaja po Zakonu o informacionoj bezbednosti?
• Da li investitori ili vlasnici traže dokaz o zrelosti bezbednosnih procesa?

Ako ste na bar dva od ovih pitanja odgovorili sa da, sertifikacija verovatno zaslužuje ozbiljno razmatranje u narednih godinu dana. Ako ste na sva pitanja odgovorili sa ne, krenite prvo od osnovnih mera — a ISO 27001 vratite u fokus onog trenutka kad se pojavi konkretan povod.

Šta sledi

ISO 27001 nije ni bauk ni čarobni štapić — to je alat, i kao svaki alat ima smisla onda kada rešava konkretan problem koji firma zaista ima. Cilj ovog bloga je da vas kroz taj proces provede korak po korak, bez nepotrebnog stresa i bez prodaje straha.