Strona główna › Poradniki › Deklaracja stosowania

Deklaracja stosowania ISO 27001: co zawiera, z przykładem

Deklaracja stosowania (SoA, Statement of Applicability) to pierwszy dokument, który otwiera audytor: każde zabezpieczenie z załącznika A, czy ma zastosowanie, dlaczego i na jakim etapie jest wdrożenie. Poniżej wymagana treść, wypełniony przykład i błędy, które kończą się niezgodnościami.

Zobacz przykład Deklaracja w Dazr

W skrócie

  • Wymaganie: ISO/IEC 27001:2022, punkt 6.1.3 d).
  • Zakres: wszystkie 93 zabezpieczenia z załącznika A, w czterech grupach.
  • Dla każdego: czy ma zastosowanie, uzasadnienie, status wdrożenia.
  • W Dazr: tworzona z Twoich zabezpieczeń, zatwierdzana i eksportowana do PDF, CSV lub Excela (Pro).

Na tej stronie

  1. Czym jest deklaracja stosowania?
  2. Co zawiera
  3. Przykład: firma SaaS zatrudniająca 60 osób
  4. Częste uwagi audytorów
  5. Deklaracja stosowania w Dazr
  6. Najczęstsze pytania

Czym jest deklaracja stosowania?

Punkt 6.1.3 d) normy ISO/IEC 27001:2022 wymaga deklaracji stosowania, która zawiera niezbędne zabezpieczenia, uzasadnienie ich włączenia, informację, czy są wdrożone, oraz uzasadnienie wyłączenia zabezpieczeń z załącznika A. Łączy postępowanie z ryzykiem z załącznikiem A: każde zabezpieczenie wynika z ryzyka, wymagania prawnego lub umownego albo decyzji biznesowej.

37Zabezpieczenia organizacyjne (5.1 do 5.37)
8Zabezpieczenia osobowe (6.1 do 6.8)
14Zabezpieczenia fizyczne (7.1 do 7.14)
34Zabezpieczenia technologiczne (8.1 do 8.34)

Co zawiera

  • Zabezpieczenie: numer i tytuł z załącznika A, np. 5.15 Kontrola dostępu.
  • Ma zastosowanie: tak lub nie, dla każdego z 93 zabezpieczeń.
  • Uzasadnienie: dlaczego włączone (ryzyko, wymaganie prawne lub umowne, potrzeba biznesowa, dobra praktyka) albo wyłączone (działalność nie występuje, ryzyko nie istnieje, poza zakresem).
  • Status: wdrożone, częściowo, zaplanowane lub niewdrożone.
  • Dowód i właściciel: gdzie audytor zobaczy, że działa, i kto odpowiada.
  • Wersja i zatwierdzenie: data, wersja i zatwierdzenie; audytor sprawdza zgodność z aktualnym planem postępowania z ryzykiem.

Przykład: firma SaaS zatrudniająca 60 osób

Firma programistyczna pracująca w pełni zdalnie, która utrzymuje produkt u dostawcy chmury z certyfikatem ISO 27001 i sama go rozwija. Osiem wierszy z jej deklaracji:

5.1 Polityki bezpieczeństwa informacjiMa zastosowanie. Wymagane przez punkt 5.2 i umowy z klientami. Wdrożone: polityka bezpieczeństwa v4, zatwierdzona przez zarząd w marcu.
5.15 Kontrola dostępuMa zastosowanie. Ryzyko R-03 (nieuprawniony dostęp do danych klientów). Wdrożone: polityka dostępu, kwartalny przegląd uprawnień.
5.23 Bezpieczeństwo informacji przy korzystaniu z usług chmurowychMa zastosowanie. Potrzeba biznesowa: produkt działa w chmurze publicznej. Częściowo: brak jeszcze planu wyjścia.
6.3 Uświadamianie, kształcenie i szkoleniaMa zastosowanie. Prawo: art. 20 NIS2 (ustawa o KSC) i wymagania klientów. Wdrożone: szkolenie wstępne i coroczne przypomnienie, listy obecności.
7.4 Monitorowanie bezpieczeństwa fizycznegoWyłączone. Brak własnego biura i centrum danych; dostawca hostingu obejmuje swoje obiekty (certyfikat w aktach). Nie ma zastosowania; przegląd co roku.
8.13 Kopie zapasowe informacjiMa zastosowanie. Ryzyko R-07 (utrata danych). Wdrożone: codzienne kopie, test odtworzenia co kwartał.
8.24 Stosowanie kryptografiiMa zastosowanie. Ryzyko R-03 i umowna klauzula szyfrowania. Zaplanowane: procedura zarządzania kluczami w I kwartale.
8.25 Bezpieczny cykl życia rozwoju oprogramowaniaMa zastosowanie. Potrzeba biznesowa: własny rozwój produktu. Wdrożone: polityka bezpiecznego rozwoju, przegląd kodu przy każdym scaleniu.

Częste uwagi audytorów

  • Wyłączenie zabezpieczenia bez powodu lub tylko z dopiskiem „nieistotne”.
  • Deklaracja niezgodna z planem postępowania z ryzykiem albo wciąż zawierająca 114 zabezpieczeń z ISO 27001:2013.
  • Status „wdrożone” bez dowodu, który audytor może obejrzeć.
  • Brak wersji, daty i zatwierdzenia, więc nie wiadomo, która deklaracja obowiązuje.
  • Wyłączenie zabezpieczenia, którego zakres wyraźnie wymaga, np. bezpieczeństwa chmury, gdy wszystko działa w chmurze.

Deklaracja stosowania w Dazr

  • Z Twoich zabezpieczeń: każde zabezpieczenie z załącznika A w ramach ISO 27001 dostaje decyzję: ma zastosowanie lub wyłączone, z powodami i uzasadnieniem.
  • Status z samej pracy: status, dowody i data przeglądu pochodzą z zabezpieczenia, więc deklaracja jest aktualna.
  • Filtrowanie i zatwierdzanie: filtruj zabezpieczenia stosowane lub wyłączone, zatwierdź wersję i zobacz, kiedy deklaracja zmieniła się od ostatniego zatwierdzenia.
  • Eksport: PDF dla audytora, CSV lub Excel do dalszej pracy; audytor może też przeglądać ją tylko do odczytu.
  • Plan: deklaracja stosowania jest częścią planu Pro, 99 € miesięcznie, z 14-dniowym bezpłatnym okresem próbnym.

Dazr pomaga zbudować i udokumentować deklarację; Dazr nie certyfikuje. Certyfikat wydaje akredytowana jednostka certyfikująca.

Źródło: ISO/IEC 27001:2022, punkt 6.1.3 i załącznik A (93 zabezpieczenia). Sprawdzono 19 października 2026 r.

Najczęstsze pytania

Czy w deklaracji muszą być wszystkie 93 zabezpieczenia?

Tak. Każde zabezpieczenie z załącznika A występuje z decyzją. Wyłączone zostają w dokumencie, z powodem wyłączenia.

Czy można wyłączyć zabezpieczenie?

Tak, z uzasadnieniem, np. gdy działalność nie występuje, ryzyko nie istnieje albo jest poza zakresem. Samo „nieistotne” nie jest uzasadnieniem.

Czy istnieje oficjalny wzór?

Nie. ISO/IEC 27001 określa treść, nie formę. Zwykle jest to tabela: zabezpieczenie, zastosowanie, uzasadnienie, status i dowód.

Czy z Dazr uzyskamy certyfikat ISO 27001?

Nie. Dazr porządkuje zabezpieczenia, dowody i deklarację na audyt; certyfikat wydaje akredytowana jednostka certyfikująca.

Deklaracja stosowania zgodna z zabezpieczeniami.

Zacznij za darmo z ISO 27001 dla jednego użytkownika; deklaracja stosowania, polityki i dostęp dla audytora są w planie Pro, 99 € miesięcznie.

Zacznij za darmo Cennik

Ta strona zawiera informacje ogólne. Wiążący jest tekst normy ISO/IEC 27001:2022.