Když zákazník nebo tender vyžaduje ISO 27001 certifikaci, firmy to buď mají (a mohou přiložit certifikát), nebo nemají a z tenderu vypadnou. V 2026 je ISO 27001 standardní požadavek při prodeji do finančního sektoru, veřejné správy a velkých korporátů v ČR i SK.

Tento článek popisuje, co ISO 27001 pro SMB reálně obnáší — bez přehánění, bez marketingu.

Co je ISO 27001

ISO/IEC 27001 je mezinárodní norma pro Information Security Management System (ISMS) — systém řízení bezpečnosti informací. Definuje, co musí firma dělat pro systematické řízení bezpečnostních rizik.

ISO 27001 není seznam konkrétních technických opatření. Je to rámec procesů:

  • Identifikace informačních aktiv a rizik
  • Implementace opatření k mitigaci rizik
  • Pravidelný přezkum a zlepšování
  • Dokumentace a záznamy

Konkrétní technická opatření definuje ISO 27002 (příloha A ISO 27001) — 93 kontrol pokrývající bezpečnostní politiky, organizaci, fyzickou bezpečnost, kryptografii, přístupová kontrola a další.

Kdy ISO 27001 reálně potřebujete

Scénář 1: NIS2 compliance

Firmy v scope NIS2 (zákon č. 181/2014 Sb.) musí prokázat “přiměřená bezpečnostní opatření”. ISO 27001 certifikace je uznávaný způsob splnění tohoto požadavku. Bez certifikace musíte prokázat soulad jinak — vlastní dokumentací, auditem nebo přímou kontrolou NÚKIB.

Scénář 2: Prodej do veřejného sektoru

Výběrová řízení Ministerstva financí, MPSV, krajů a velký municipalit čím dál tím více vyžadují ISO 27001 nebo ekvivalent jako podmínku účasti. V 2026 je to standard pro dodávky softwaru a IT služeb.

Scénář 3: Enterprise B2B klienti

Velké korporáty (300+ zaměstnanců) provádějí vendor due diligence — security dotazník nebo požadavek na certifikát. ISO 27001 odpoví na tyto otázky jedním dokumentem.

Scénář 4: Kybernetické pojištění

Pojišťovny nabízejí nižší prémie ISO 27001 certifikovaným firmám. Bez certifikace nebo bez prokázaného ISMS je kybernetické pojištění dražší nebo nepojistitelné pro vyšší hodnoty krytí.

Implementace v praxi: čtyři fáze

Fáze 1: Gap analýza (4–6 týdnů)

Porovnání aktuálního stavu vs. požadavky ISO 27001:

  • Jaká bezpečnostní opatření již máte?
  • Co chybí?
  • Jaký je scope certifikace (celá firma, nebo jen konkrétní systémy)?

Výstup: gap report s prioritizovaným plánem opatření.

Fáze 2: Implementace ISMS (2–3 měsíce)

Dokumentace: politiky, procedury, záznamy. ISO 27001 vyžaduje dokumenty jako:

  • Informační bezpečnostní politika
  • Risk management procedura
  • Asset inventář
  • Incident management procedura
  • Business continuity plán
  • Přístupová kontrola politika

Implementace technických opatření identifikovaných v gap analýze:

  • Přístupová práva (RBAC, princip minimálního přístupu)
  • Šifrování (v klidu i při přenosu)
  • Monitorování a audit log
  • Zálohy a testy obnovy
  • Patch management

Fáze 3: Interní audit (2–4 týdny)

Před certifikačním auditem interní audit ověří:

  • Jsou všechny dokumenty aktuální a implementované v praxi?
  • Jsou záznamy kompletní?
  • Jsou zaměstnanci proškoleni?

Nevyřešené neshody z interního auditu se opraví před certifikačním auditem.

Fáze 4: Certifikační audit (3–4 týdny)

Prováděný akreditovaným certifikačním orgánem (TÜV SÜD, Bureau Veritas, Lloyd’s Register, DNV, LRQA):

Stage 1 (dokumentační audit, 1–2 dny): Auditor přezkoumá dokumentaci ISMS. Může vést k nálezu neshod nebo poznámek, které musíte opravit před Stage 2.

Stage 2 (implementační audit, 2–3 dny): Auditor ověří, že dokumentovaná opatření jsou skutečně implementována v praxi. Rozhovory se zaměstnanci, prohlídka systémů, kontrola záznamů.

Výsledek: certifikace nebo neshody s termínem opravy.

Zkušenosti AMCEF s implementací ISO 27001

AMCEF s.r.o. (vývojář Modulario) prošel ISO 27001 certifikací v roce 2024. Klíčové poučení:

Co fungovalo:

  • Angažovanost vedení od začátku — ISO 27001 není IT projekt, je to firemní projekt
  • Dedikovaný ISMS manažer (interní, ne jen IT)
  • Dokumentace psaná “jak to skutečně děláme”, ne jako ideální stav
  • Zahrnutí celé firmy do školení, ne jen IT

Co bylo těžší než očekávané:

  • Definice scope — příliš úzký scope je podezřelý, příliš široký je drahý
  • Asset inventář — zmapovat všechna informační aktiva (software, data, zařízení, procesy) trvalo 3× déle než plánováno
  • Risk assessment — první iterace byla příliš abstraktní. Druhý pokus s konkrétními scénáři (co se stane, pokud nám ukradnou laptop s databází zákazníků?) byl mnohem produktivnější
  • Udržení ISMS aktuálního — implementovat je snazší než udržovat. Roční dozorčí audity nutí k aktualizaci

Náklady AMCEF:

  • Konzultační firma: 8 000 EUR
  • Certifikační orgán: 5 500 EUR
  • Interní náklady (čas): ~12 000 EUR ekvivalent
  • Celkem: ~25 500 EUR v roce 1
  • Roční udržení: ~5 000 EUR (dozorčí audit + interní čas)

ISO 27001 vs. alternativy

StandardVhodný proUznávání v CZ/SK
ISO 27001Všechny firmy, mezinárodníNejvyšší
SOC 2US/globální SaaS firmyStřední (US klienti)
BSI C5Dodávky německé veřejné správyNízké (mimo DE)
Cyber Essentials (UK)Britský trhNízké
TISAXAutomotive průmyslVysoké v automotive

Pro CZ/SK trh je ISO 27001 nejuniverzálnější a nejlépe uznávaný.

Modulario a ISO 27001

Modulario je ISO 27001 certifikováno (AMCEF s.r.o., scope: vývoj, provoz a podpora cloudové ERP platformy Modulario). Certifikát je k dispozici pro zákazníky na vyžádání.

Pro zákazníky to znamená:

  • ERP poskytovatel má auditovatelný ISMS
  • Bezpečnostní incidenty se řeší dle zdokumentované procedury
  • Zálohy, šifrování a přístupová kontrola jsou auditovány třetí stranou
  • Zákazník nemusí auditovat Modulario sám — akceptuje certifikát TÜV

Časté otázky

Musí mít SMB firma ISO 27001 certifikaci? Přímá zákonná povinnost pro všechny firmy neexistuje. Ale pro firmy v NIS2 scope, dodavatele veřejného sektoru a enterprise B2B je to v 2026 praktická nutnost. Přináší obchodní výhodu a základ pro kybernetické pojištění.

Jak dlouho trvá implementace ISO 27001? Pro SMB 4–6 měsíců celkem: gap analýza 4–6 týdnů, implementace ISMS 2–3 měsíce, certifikační audit 3–4 týdny. Klíčový faktor: angažovanost vedení a interní kapacity.

Kolik stojí ISO 27001 certifikace pro SMB? Celkem první rok 8 000–25 000 EUR (konzultace + certifikační orgán + interní čas). Roční udržení 3 000–8 000 EUR. Cena závisí na scope a velikosti firmy.