ISO 27001 pentru licitații SEAP: cum transformi conformitatea în contracte

01De ce ISO 27001 ajunge cerință în licitații

Logica e aceeași ca la orice client mare: cine cumpără vrea să-și reducă riscul de furnizor fără să-ți auditeze el însuși securitatea. Certificatul ISO 27001 e cel mai simplu semnal verificabil — un organism acreditat a confirmat, în urma unui audit, că ai un sistem de management al securității informației care chiar funcționează. În achizițiile publice și în contractele B2B mari, asta se traduce în una din două forme: fie condiție de calificare (fără certificat nu poți depune ofertă la acel lot), fie criteriu de punctaj (certificatul îți aduce puncte la evaluare). În ambele cazuri, absența lui te dezavantajează măsurabil față de un competitor care îl are.

02Cum apare concret: DUAE și platforma SEAP/SICAP

În achizițiile publice din România, ofertele se depun electronic prin SEAP — astăzi SICAP, Sistemul Informatic Colaborativ pentru mediul de Achiziții Publice. Cerințele de calificare se declară inițial prin DUAE (Documentul Unic de Achiziție European), formularul standardizat prin care afirmi pe proprie răspundere că îndeplinești condițiile, urmând ca documentele doveditoare — inclusiv certificatul ISO 27001 — să fie prezentate la cererea autorității contractante. Practic: dacă anunțul de participare cere un sistem de management al securității informației certificat, îl declari în DUAE și îl dovedești cu certificatul emis de un organism acreditat. Fără el, oferta poate fi respinsă ca neconformă la acel criteriu.

03Cât de des se cere, de fapt

Onest: nu la orice licitație. ISO 27001 apare ca cerință mai ales acolo unde obiectul contractului atinge date sau sisteme sensibile — servicii IT, software, găzduire, prelucrare de date, telecomunicații, uneori consultanță care lucrează cu informații critice. În numeric absolut, numărul firmelor certificate ISO 27001 în România rămâne mic în raport cu economia — certificarea e relativ rară. Iar asta e, pentru un ofertant, o veste bună: tocmai pentru că puține firme o au, certificatul te scoate din mulțime exact la licitațiile unde contează. Nu îl obții „pentru orice eventualitate”; îl obții dacă vinzi în piețele unde e cerut sau punctat.

04Condiție de calificare vs. criteriu de punctaj

Distincția contează pentru cât de tare te doare absența certificatului. Ca condiție de calificare — cerință minimă sau criteriu de selecție — certificatul e binar: îl ai și poți depune, nu îl ai și ești exclus de la acel lot, oricât de bună ar fi oferta. Ca criteriu de punctaj — factor de evaluare — certificatul îți aduce puncte care se adună la preț și la ceilalți factori: poți câștiga și fără el, dar pornești din urmă. Citește anunțul de participare și fișa de date a achiziției exact pe acest punct — îți spune dacă certificarea e obligatorie ca să poți depune sau doar utilă ca să câștigi.

05NIS2 te obligă, ISO te diferențiază

Aici e legătura care schimbă calculul. Dacă ești în domeniul de aplicare al NIS2 — Directiva (UE) 2022/2555, transpusă în România prin OUG nr. 155/2024, aprobată prin Legea nr. 124/2025 — oricum ești obligat să implementezi măsurile minime de securitate din art. 13: management de risc, control al accesului, backup, gestionarea incidentelor, securitatea furnizorilor. Aceleași măsuri stau la baza controalelor din Anexa A a ISO 27001, iar suprapunerea dintre cele două cadre e substanțială (am detaliat-o, cu mapările control-cu-control, într-un ghid separat). Concluzia practică: munca pe care o faci oricum pentru NIS2 te duce la cea mai mare parte a conținutului unui sistem ISO 27001. Diferența până la certificat e disciplina de sistem — Declarația de aplicabilitate, auditul intern, analiza de management — plus auditul unui organism acreditat. NIS2 e obligația; ISO e aceeași muncă reambalată ca avantaj comercial.

06Pașii spre certificare, pe scurt

• Definește domeniul (SMSI): ce sisteme, locații și servicii acoperă certificarea — adesea exact perimetrul cerut de licitațiile pe care le țintești.
• Evaluează riscurile și tratează-le: activele importante, amenințările realiste, controalele alese din Anexa A.
• Construiește Declarația de aplicabilitate (SoA): pentru fiecare control — aplicabil sau nu, și de ce.
• Implementează efectiv și adună dovezi de funcționare: auditorul vrea istoric, nu documente scrise săptămâna trecută.
• Fă auditul intern și analiza de management, apoi contractează auditul de certificare la un organism acreditat (în România, acreditarea o dă RENAR).

Drumul complet — cu durate, costuri, cele două etape de audit și greșelile de evitat — e în ghidul dedicat ISO 27001 din secțiunea de resurse.

07Greșeli care te costă contractul

• Începi certificarea cu o săptămână înainte de termenul licitației — certificarea durează luni, nu zile; certificatul nu se cumpără de pe azi pe mâine.
• Confunzi conformitatea cu certificarea — o autodeclarație nu trece unde anunțul cere „certificat de un organism acreditat”.
• Definești domeniul SMSI ca să excluzi exact sistemele din obiectul contractului — auditorul o observă, iar clientul poate cere ca perimetrul certificat să acopere serviciul livrat.
• Verifici acreditarea organismului de certificare abia după — un certificat de la un organism neacreditat poate fi respins; cere acreditarea (RENAR sau un omolog din UE, prin recunoașterea reciprocă).
• Tratezi certificatul ca pe un tablou de pus pe perete — el se menține prin audituri de supraveghere anuale; un certificat suspendat te lasă descoperit exact când depui oferta.

08Cum te ajută Cremene

Cremene nu emite certificate — asta rămâne treaba unui organism acreditat. Ce face e să-ți construiască dosarul pe care organismul îl va cere: evaluezi controalele ISO 27001 pe același motor pe care evaluezi și NIS2, cu „documentat” și „implementat” separate, scor, lacune și plan de remediere. Declarația de aplicabilitate — documentul-pivot al certificării — se generează cu AI direct din evaluarea ta reală. Auditul intern (cerința ISO 9.2) și registrul de dovezi legate pe fiecare control îți dau istoricul pe care auditorul îl verifică. Iar dacă ai evaluat deja NIS2, mapările îți pre-completează sugestii pe controalele ISO echivalente — pe care le confirmi tu, nu se scrie nimic automat.

Instrument de suport, nu garanție de conformitate — și cu atât mai puțin garanție că vei câștiga o licitație. Dar la întrebarea concretă „ai sau nu sistemul cerut, cu dovezi”, Cremene te duce de la zero la dosar prezentabil. Primul pas e să știi ce ți se cere: dacă intri sub NIS2 (deci ai oricum de făcut cea mai mare parte a muncii) și de unde pornești spre ISO 27001 — cadrul care îți transformă conformitatea în argument la ofertare.