ISMS-programvare
for ISO 27001

ISO/IEC 27001 er den internasjonalt anerkjente standarden for styringssystemer for informasjonssikkerhet (ISMS). Den fastsetter hvordan en organisasjon planlegger, gjennomfører, overvåker og forbedrer informasjonssikkerhet systematisk — med risikovurderingen som kjerne og de 93 kontrollene i Annex A som tiltakskatalog; ISO/IEC 27002:2022 gir gjennomføringsveiledning for dem. Gjeldende utgave er ISO/IEC 27001:2022.

ISMS-programvare avbilder delene av et styringssystem for informasjonssikkerhet i én datamodell — omfang, aktiva, krav, risikoer, kontroller og bevis — og kobler dem sammen. I stedet for å holde regneark og dokumenter konsistente for hånd vedlikeholder du hvert objekt én gang, og rapporter som erklæringen om anvendelighet genereres fra dataene.

Minst: kravene i ISO/IEC 27001:2022 og Annex A-kontrollene med gjennomføringsstatus, en aktivastruktur med avhengigheter, risikoanalyse og risikohåndtering med konfigurerbar risikomatrise, tiltak med ansvarlige og frister, bevis på objektet, erklæringen om anvendelighet, rapporter for ledelsens gjennomgang og revisjon — og grensesnitt mot systemene der aktivaene og oppgavene dine allerede ligger.

Ja. Kravene i ISO/IEC 27001:2022 og de 93 Annex A-kontrollene i standarden er inkludert som katalog — med gjennomføringsveiledning fra ISO/IEC 27002:2022 — og vurderes på aktivatreet ditt. Kommer en ny utgave av standarden, oppdateres katalogen; eksisterende vurderinger og bevis følger med.

Ja. SoA-en oppstår på grunnlag av kravene og kontrollene: for hver kontroll dokumenteres anvendelighet, begrunnelse og gjennomføringsstatus, og rapporten genereres derfra — ved førstegangsrevisjonen som før hver oppfølgingsrevisjon, uten å skrive erklæringen på nytt.

Trusler identifiseres per aktivum — fra standard- eller egne trusselkataloger — og vurderes i en konfigurerbar risikomatrise. For hver risiko fastsettes håndteringsalternativ og tiltak; brutto- og restrisiko kan følges over tid, og risikohåndteringsplanen genereres som rapport.

Ja — som veiledning, ikke som sertifiseringsstandard: ISO/IEC 27005 beskriver prosessen for risikostyring av informasjonssikkerhet som ISO/IEC 27001 krever. Complaica avbilder denne prosessen: risikoer identifiseres, analyseres og evalueres per aktivum, for hver risiko fastsettes håndteringsalternativ, kontroller og tiltak, og restrisikoen forblir koblet til aktivum, risiko og bevis. Det finnes ingen sertifisering etter ISO/IEC 27005; resultatene går inn i risikohåndteringsplanen og SoA-en for ISO 27001-revisjonen.

Ja. Complaica importerer og eksporterer data fra og til Excel, via REST API og fra andre ISMS-verktøy; migreringen av dataene dine er gratis og følges opp av våre spesialister. Slik vurderer du verktøyet på ditt eget datasett i stedet for på demodata.

Ja. TISAX, BSI IT-Grundschutz, NIS2, GDPR, ISO 22301 og flere standarder vurderes på samme omfangsmodell og bruker de samme aktivaene, risikoene, tiltakene og bevisene. Det som er dokumentert for ISO 27001, teller også for de andre standardene.

Ja, begge deler. SaaS-varianten driftes i Tyskland; on-premises kjører du Complaica i din egen infrastruktur. Lisensen koster det samme i begge tilfeller.

Via REST API aktivaforvaltnings- og CMDB-systemer som i-doit, GLPI, FNT Command og andre, samt Jira, SAP og Microsoft Azure. Applikasjonsdata er tilgjengelige via data marts for eksterne analyse- og rapporteringssystemer, og via MCP kan en KI-assistent kobles til.

Bevisene ligger på objektet de dokumenterer, og rapportene — SoA, risikohåndteringsplan, gjennomføringsstatus — genereres fra det gjeldende datasettet. Dashbord viser status før revisjonen, og eksterne revisorer kan få målrettet tilgang. Fordi det samme datasettet lever videre, forberedes oppfølgingsrevisjoner og resertifiseringen etter tre år ut fra den løpende driften. Selve sertifiseringen utføres av et uavhengig sertifiseringsorgan.

For enhver organisasjon som behandler konfidensiell informasjon og vil dokumentere det overfor kunder, partnere eller tilsynsmyndigheter — uavhengig av størrelse og bransje. Den er særlig utbredt blant IT- og skytjenesteleverandører, underleverandører til regulerte bransjer, operatører av kritisk infrastruktur og virksomheter som står overfor NIS2 eller TISAX: et ISMS etter ISO 27001 dekker en stor del av disse kravene også.

Den er ikke lovpålagt. I praksis blir den obligatorisk gjennom kontrakter og anbud — mange kunder krever sertifikatet som dokumentasjon — og indirekte gjennom regelverk som NIS2, KRITIS eller DORA, som krever et ISMS; ISO 27001 er den vanlige måten å drive dette ISMS-et dokumenterbart på.

Kostnadene består av tre deler: innsatsen for oppbygging og drift av ISMS-et (intern tid, rådgivning, programvare), sertifiseringsrevisjonen ved et akkreditert organ og de årlige oppfølgingsrevisjonene. De avhenger først og fremst av omfangets størrelse, antall lokasjoner og modenheten til de eksisterende prosessene dine. Complaica reduserer den første delen: det forberedte innholdet, bevisene som genereres fra dataene, og KI-integrasjonen sparer mesteparten av dokumentasjonsarbeidet. En prisliste sender vi deg på forespørsel.

Typisk tre til tolv måneder fra start til sertifikat — avhengig av omfang, eksisterende dokumentasjon og tilgjengelige ressurser. Med forberedt innhold og rådgivning ligger mindre organisasjoner i den nedre enden. Sertifikatet gjelder i tre år, med årlige oppfølgingsrevisjoner og deretter resertifisering — Complaica holder datasettet oppdatert hele veien.