ISO 270018 min24. května 2026

ISO 27001 pro SaaS firmy: jak se připravit na enterprise tendr

„Před podpisem smlouvy budeme potřebovat váš ISO 27001 certifikát nebo výsledky SOC 2 auditu." Tato věta přichází z procurement oddělení enterprise zákazníků čím dál pravidelněji.

Autor: Splnit.eu, Redakce Splnit.eu

Co ISO 27001 reálně je — a co není

**Je to:** Mezinárodní norma (ISO/IEC 27001:2022) pro systém řízení bezpečnosti informací (ISMS). Certifikace znamená, že akreditovaný auditor nezávisle ověřil, že váš ISMS odpovídá požadavkům normy — tedy že máte zavedený, funkční a průběžně zlepšovaný systém pro řízení informační bezpečnosti.

**Není to:** Garantování, že nebudete nikdy napadeni. Ani jednorázový projekt, který „uděláte" a pak na něj zapomenete.

Realistický harmonogram a náklady

Fáze 1: Příprava (3–6 měsíců)

**Měsíc 1–2: Základ**

**Měsíc 2–4: Dokumentace**

**Měsíc 3–5: Implementace**

**Měsíc 5–6: Ověření**

Definice rozsahu
Gap analýza oproti požadavkům normy
Sestavení projektového týmu a plánu
Hodnocení rizik a plán zvládání rizik
SoA
Základní politiky (přístupy, zálohy, incidenty, dodavatelé, rizika, fyzická bezpečnost, HR)
Zavedení chybějících technických opatření
Školení zaměstnanců
Nastavení metrik a monitoringu
Interní audit
Přezkoumání vedením
Náprava zjištěných neshod

Fáze 2: Certifikační audit (1–2 měsíce)

**Stage 1 audit (dokumentační):** Auditor prochází vaši dokumentaci — zejména SoA, hodnocení rizik a klíčové politiky. Výsledkem je seznam oblastí k doladění před Stage 2.

**Stage 2 audit (certifikační):** Auditor prochází zavedení kontrol v praxi — rozhovory se zaměstnanci, kontrola systémů, ověřování záznamů. Trvá typicky 1–3 dny pro firmu do 50 zaměstnanců.

Celkový časový výhled

Scénář: S interními kapacitami | Přípravná fáze: 4–6 měsíců | Certifikační audit: 1–2 měsíce | Celkem: 5–8 měsíců
Scénář: S externím konzultantem | Přípravná fáze: 3–5 měsíců | Certifikační audit: 1–2 měsíce | Celkem: 4–7 měsíců
Scénář: Urgentní (max. kapacita) | Přípravná fáze: 2–3 měsíce | Certifikační audit: 1 měsíc | Celkem: 3–4 měsíce

Orientační náklady (ČR, 2026)

**Návratnost:** Jeden enterprise tendr v hodnotě 500 000+ Kč ročně, který by bez certifikátu nedopadl, certifikaci zaplatí.

Položka: Certifikační audit (Stage 1 + 2) | Orientační náklady: 80 000 – 200 000 Kč
Položka: Dozorový audit (roční) | Orientační náklady: 40 000 – 100 000 Kč
Položka: Recertifikační audit (po 3 letech) | Orientační náklady: 60 000 – 160 000 Kč
Položka: Externí konzultant pro přípravu | Orientační náklady: 150 000 – 400 000 Kč (závisí na stavu firmy)
Položka: ISMS nástroj/platforma (volitelné) | Orientační náklady: 20 000 – 80 000 Kč/rok
Položka: **Celkový 3letý náklad** | Orientační náklady: **~500 000 – 1 200 000 Kč**

Oblast	ISO 27001	nZKB
Hodnocení rizik	Povinné (klauzule 6.1.2)	Povinné (§ bezpečnostní opatření)
Politiky a dokumentace	Povinné (klauzule 5.2)	Povinné
Správa přístupů	Annex A 5.15–5.18	Technické opatření
Incident management	Annex A 5.24–5.28	Povinné (§ 15–16 nZKB)
Správa dodavatelů	Annex A 5.19–5.23	Povinné pro vyšší režim
Business continuity	Annex A 5.29–5.30	Organizační opatření
Školení	Annex A 6.3	Povinné

ISO 27001 pro SaaS firmy: jak se připravit na enterprise tendr

Co ISO 27001 reálně je — a co není

Proč enterprise zákazníci ISO 27001 vyžadují

ISMS: co to znamená v praxi

1. Kontext organizace a rozsah

2. Hodnocení rizik

3. Prohlášení o aplikovatelnosti (SoA)

4. Operace a kontroly

5. Měření a hodnocení výkonnosti

6. Interní audit a přezkoumání vedením

7. Neustálé zlepšování

Rozsah certifikace: nejdůležitější rozhodnutí pro SaaS

93 kontrol Annex A: co vás čeká (zjednodušeně)

Realistický harmonogram a náklady

Fáze 1: Příprava (3–6 měsíců)

Fáze 2: Certifikační audit (1–2 měsíce)

Celkový časový výhled

Orientační náklady (ČR, 2026)

Průnik s nZKB: dvojí výhoda

Co připravit ještě před tím, než kontaktujete certifikační orgán

TL;DR

Splňte požadavky bez zbytečné byrokracie