ISO/IEC 21964 — niszczenie nośników danych w organizacji (przewodnik 2026)

ISO/IEC 21964 (oparta o niemiecką normę DIN 66399) jest międzynarodową normą określającą wymagania dla bezpiecznego niszczenia nośników danych — papierowych, magnetycznych, optycznych i elektronicznych. Norma definiuje 7 klas ochrony (P-1 do P-7) zależnych od poziomu poufności niszczonych danych oraz 6 grup nośników (P, F, O, T, H, E) z odrębnymi wymaganiami technicznymi. Standard jest adresowany do firm niszczących nośniki na zlecenie klientów (mobilne, stacjonarne) oraz do organizacji niszczących własne nośniki w ramach cyklu życia danych.

Powiązania regulacyjne:

• Niszczenie danych jako część obowiązków RODO (art. 5 ust. 1 lit. f, art. 32, art. 17)
• Ustawa o krajowym systemie cyberbezpieczeństwa
• Ustawa o ochronie informacji niejawnych (klauzula tajności do P-7)
• Sektorowe regulacje (banki — Rekomendacja D KNF, ubezpieczenia — Solvency II, medyczne — Ustawa o prawach pacjenta)

Niniejszy artykuł nie zawiera oferty handlowej. Pełna wycena audytu zgodności jest sporządzana indywidualnie po analizie zakresu działalności, zgodnie z praktyką branżową wszystkich akredytowanych jednostek certyfikujących.

Siedem klas ochrony (P-1 do P-7)

Klasy ochrony odpowiadają poziomowi poufności niszczonych danych. Im wyższa klasa, tym mniejsze cząstki po zniszczeniu i większa odporność na próbę odzyskania danych:

W praktyce dla typowych zastosowań organizacyjnych (firmy, urzędy) najczęściej wymaganą klasą jest P-4 (dla danych osobowych) lub P-5 (dla sektorów regulowanych). Klasy P-6 i P-7 są zarezerwowane dla informacji niejawnych w rozumieniu Ustawy o ochronie informacji niejawnych z 5 sierpnia 2010 r.

Sześć grup nośników

ISO/IEC 21964 definiuje sześć grup, każda z własnymi wymaganiami fizycznego niszczenia:

P (Paper) — dokumenty papierowe, kopiarki, druki. Najczęściej audytowana grupa.

F (Film/Mikrofilm) — mikrofilmy, mikroformy, filmy fotograficzne. Coraz rzadziej spotykana — głównie archiwa medyczne i prawne.

O (Optical media) — płyty CD, DVD, Blu-ray. Wymagają mechanicznego niszczenia (rozdrabniarki, wybijaki) — nie wystarczy zwykłe rysowanie powierzchni.

T (Magnetic tape) — taśmy magnetyczne (LTO, DAT, archiwalne backupy). Wymagają demagnetyzacji (degausser) lub niszczenia mechanicznego.

H (Hard disk drives) — twarde dyski mechaniczne (HDD). Wymagają demagnetyzacji + rozdrabniania talerza, lub bezpośredniego rozdrabniania mechanicznego do określonych klas.

E (Electronic media) — pamięci elektroniczne (SSD, eMMC, USB, karty SD, smartfony, tablety). Najbardziej wymagająca grupa — demagnetyzacja nie działa na pamięci flash, wymagane mechaniczne rozdrabnianie do bardzo małych cząstek (E-7 = ≤ 0,2 mm² dla kart pamięci, smartfonów).

Audyt zgodności — co weryfikujemy

Audyt zgodności z ISO/IEC 21964 prowadzony przez akredytowaną jednostkę certyfikującą obejmuje:

1. System zarządzania bezpieczeństwem informacji

• Polityka bezpieczeństwa niszczenia danych
• Procedury operacyjne dla każdej grupy nośników i klasy ochrony
• Zarządzanie ryzykiem (identyfikacja zagrożeń, ocena, postępowanie)
• System zarządzania incydentami (utrata kontroli nad nośnikiem, awaria sprzętu)
• Łańcuch dowodowy — udokumentowana historia każdego nośnika od odbioru do zniszczenia

2. Infrastruktura techniczna

• Specyfikacja techniczna rozdrabniarek (zgodność z deklarowanymi klasami P-x)
• Kalibracje i przeglądy serwisowe (z udokumentowanym harmonogramem)
• Demagnetyzatory dla nośników magnetycznych (T, H) — z protokołami siły pola
• Systemy zarządzania pojazdami (dla mobilnego niszczenia) — telematyka, GPS, kamery
• Pomieszczenia stacjonarnego niszczenia — kontrola dostępu, monitoring CCTV

3. Kompetencje personelu

• Świadectwa szkoleń operatorów rozdrabniarek
• Świadectwa kompetencji audytorów wewnętrznych klasyfikacji nośników
• Dla informacji niejawnych — poświadczenia bezpieczeństwa zgodne z Ustawą o ochronie informacji niejawnych

4. Procedury obsługi klienta

• Umowa o niszczenie z klauzulami RODO (art. 28 — przetwarzanie powierzone)
• Wystawienie certyfikatu zniszczenia z numerem partii, datą, klasą ochrony, grupą nośnika
• System rejestracji łańcucha dowodowego — audyt śladu od odbioru do zniszczenia
• Procedura postępowania ze zdarzeniami niepożądanymi (zgubienie, kradzież, nieprawidłowe zniszczenie)

Powiązanie z RODO i innymi regulacjami

ISO/IEC 21964 nie jest formalnie wymagana przez RODO, ale stanowi dokumentowany dowód należytej staranności w zakresie:

RODO art. 5 ust. 1 lit. f — zasada integralności i poufności: dane są przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo. Niszczenie nośników wg ISO/IEC 21964 dokumentuje formalny system tej zasady.

RODO art. 17 — prawo do bycia zapomnianym: organizacja musi wykazać, że dane zostały skutecznie usunięte. Certyfikat zniszczenia wg ISO/IEC 21964 jest standardem rynkowym.

RODO art. 32 — środki bezpieczeństwa: stopień ryzyka określa wymagany poziom środków. ISO/IEC 21964 zapewnia dopasowanie do różnych poziomów ryzyka.

RODO art. 28 — umowa o przetwarzanie powierzone: gdy organizacja zleca niszczenie firmie zewnętrznej, umowa musi szczegółowo określać środki bezpieczeństwa. Certyfikat ISO/IEC 21964 dostawcy jest standardem branżowym.

Ustawa o ochronie informacji niejawnych z 5 sierpnia 2010 r. — dla informacji niejawnych (klauzule „Zastrzeżone”, „Poufne”, „Tajne”, „Ściśle tajne”) wymagane są klasy P-5 do P-7. Certyfikat ISO/IEC 21964 dla tych klas dokumentuje zgodność.

Co napędza cenę audytu

Wycena każdej jednostki certyfikującej (Multicert, TÜV, Bureau Veritas, Dekra) opiera się na pięciu czynnikach:

1. Skala działalności

• Pojedynczy zakład stacjonarny (1 lokalizacja, 1-2 rozdrabniarki) — zakres podstawowy
• Sieć regionalna (2-5 lokalizacji, flota mobilna) — cykl rozszerzony, audyt multi-site
• Sieć ogólnokrajowa (10+ lokalizacji, kompleksowa flota) — pełen zakres z próbkowaniem

2. Zakres usług

• Tylko papier (grupa P): zakres podstawowy
• Papier + nośniki magnetyczne (P + T + H): zakres rozszerzony
• Pełen zakres 6 grup (P + F + O + T + H + E): pełen zakres
• Z mobilnym niszczeniem na miejscu klienta: rozszerzona walidacja systemu telematyki + GPS

3. Klasy ochrony deklarowane

• P-1 do P-3 (dane ogólne i podstawowe): zakres bazowy
• P-4 do P-5 (dane osobowe, sektory regulowane): zakres rozszerzony
• P-6 do P-7 (informacje niejawne): pełen zakres z dodatkowym audytem zgodności z Ustawą o ochronie informacji niejawnych

4. Posiadana dokumentacja wstępna

Firmy posiadające już wdrożone:

• ISO 27001 (system zarządzania bezpieczeństwem informacji)
• ISO 9001 (zarządzanie jakością)
• System rejestracji łańcucha dowodowego
• System zarządzania incydentami

…mają krótszy cykl certyfikacyjny i niższą wycenę (audyt zintegrowany).

5. Branża klientów docelowych

• Standardowi klienci komercyjni: zakres bazowy
• Sektor finansowy regulowany (KNF, banki): rozszerzona walidacja zgodności z Rekomendacją D
• Sektor medyczny: walidacja zgodności z Ustawą o prawach pacjenta i RODO art. 9
• Sektor publiczny i obronny: walidacja Ustawy o ochronie informacji niejawnych

Procedura uzyskania wyceny

Multicert nie publikuje sztywnego cennika audytu ISO/IEC 21964 — formalna wycena wymaga analizy zakresu działalności. Praktyczny tryb postępowania:

1. Zapytanie wstępne przez formularz kontaktowy
2. Bezpłatna konsultacja — przegląd profilu firmy, omówienie zakresu usług, identyfikacja klas ochrony i grup nośników
3. Pisemna oferta indywidualna w 2 godziny w godzinach pracy — szczegółowy harmonogram audytu, pełna kalkulacja w 3-letnim cyklu
4. Decyzja klienta bez zobowiązań

Akredytacja jednostki certyfikującej

Multicert posiada akredytację PCA AC 210 (ISO/IEC 17065) oraz partnerstwo z ČIA 150/2025 dla wybranych systemów ISO. Status weryfikowalny w publicznym rejestrze pca.gov.pl.

Dotacje publiczne

Część kosztów certyfikacji może podlegać refundacji:

• PARP — Krajowy Fundusz Szkoleniowy (KFS): do 80% kosztu szkoleń personelu związanych z wdrożeniem standardu
• FENG 2027 / Fundusze Europejskie: refundacja kosztu certyfikacji bezpieczeństwa informacji dla mikro i małych przedsiębiorców
• Programy NCBR: przeznaczone na technologie bezpieczeństwa cybernetycznego

Multicert pomaga w identyfikacji właściwego programu w ramach wstępnej konsultacji — bez dodatkowej opłaty.

Podsumowanie

ISO/IEC 21964 jest najpełniejszym międzynarodowym standardem dla bezpiecznego niszczenia nośników danych — z jednolitym schematem 7 klas ochrony i 6 grup nośników. Jest adresowana do firm specjalizujących się w niszczeniu (na zlecenie klientów) oraz do organizacji niszczących własne nośniki w ramach cyklu życia danych. Stanowi udokumentowany dowód zgodności z RODO art. 5, 17, 28, 32 oraz Ustawą o ochronie informacji niejawnych w zakresie klas P-5 do P-7.

Kontakt

Renata Wojnowska · Doradca ds. certyfikacji · +48 730 668 341 · [email protected]

Powiązane artykuły:

• Certyfikat ISO 27001 — jak chronić dane
• Nowa-stara norma ISO 27001:2022
• ISO 27001 dla małej firmy IT i startupu SaaS
• Pełen przewodnik po ISO/IEC 21964 — iso-certyfikacja.pl (rozszerzona dokumentacja techniczna i przykłady wdrożeń)