4.1 Zrozumienie organizacji i jej kontekstu
W skrócie: zanim zbudujesz SZBI, ustal, w jakim otoczeniu działa organizacja i co wewnątrz niej wpływa na to, czy system osiągnie swoje cele.
Czego wymaga norma
- Organizacja musi określić kwestie zewnętrzne i wewnętrzne, które są istotne dla jej celu i wpływają na zdolność SZBI do osiągnięcia zamierzonych rezultatów.
- Od poprawki Amd 1:2024 musi też określić, czy zmiana klimatu jest istotną kwestią.
Norma wskazuje, że chodzi o to samo, co ISO 31000 nazywa ustalaniem kontekstu zewnętrznego i wewnętrznego.
W praktyce
Przykładowe kwestie:
- zewnętrzne — przepisy (RODO, NIS2 i krajowe przepisy o cyberbezpieczeństwie, DORA w sektorze finansowym), wymagania klientów, sytuacja na rynku, zależność od dostawców chmury, krajobraz zagrożeń;
- wewnętrzne — struktura i kultura organizacji, strategia, posiadane systemy, kompetencje ludzi, budżet;
- klimat — np. ryzyko powodzi lub upałów dla serwerowni, wymagania klientów dotyczące raportowania ESG. Wynik może brzmieć „nieistotne” — ważne, żeby był przemyślany i uzasadniony.
Norma nie wymaga, żeby 4.1 był udokumentowany, ale bez zapisu trudno wykazać zgodność. Wystarczy krótka analiza (np. PESTLE albo SWOT), przeglądana przy każdym przeglądzie zarządzania — zmiany w tych kwestiach są jego obowiązkowym punktem (9.3.2 b).
Co pokazać audytorowi
- listę kwestii zewnętrznych i wewnętrznych z datą ostatniej aktualizacji,
- decyzję w sprawie zmian klimatu z krótkim uzasadnieniem,
- ślad, że wyniki tej analizy trafiły do oceny ryzyka (6.1).