не сме сертифицирани, но въпросникът пита за това

Не попълвайте сертификат без обоснование

Без ISO 27001 сертификат попълвате "не" при въпроса за сертификацията и това не е проблем — сертификатът не е задължителен, дори и по NIS2. Важното е дали основните мерки са налични. Въпросникът на вашия клиент обикновено задава вопроса за сертификата като най-кратък начин да провери дали управлението на рисковете ви е в ред; без сертификат трябва да го докажете по други начини.

Затова не гледайте само на да/не-въпроса, а на това, което стои зад него. Често следва дополнителен въпрос относно конкретни мерки: управление на достъпа, реагиране на инциденти, непрекъснатост. Това са същите теми като мерките за управление на Приложение A на ISO 27001 и същите теми като десетте мерки от член 21, параграф 2 на NIS2. Ако в документацията на вашата верига има отговори за наличието ли на политика за анализ на рисковете и сигурността на информационните системи и за наличието ли на процедура за инциденти в областта на сигурността, тогава попълвате тези дополнителни въпроси обоснован отговор, дори и да няма сертификат зад тях. Системата предлага този отговор от вашата документация; вие го потвърждавате с да или не всеки път преди да бъде изпратен в портала на вашия клиент.

Сертификацията и мерките са два отделни въпроса

ISO/IEC 27001 издава сертификата въз основа на одит срещу мерките за управление в Приложение A; NIS2 (Директива (EU) 2022/2555, член 21, параграф 2) задължава самите десет мерки, независимо от сертификацията. Холандския закон за кибербезопасност транспонира това задължение и влиза в сила на 15 август 2026 г. Клиент, който пита за сертификата, всъщност проверява дали отговаряте на основните мерки — сертификатът е доказателство, не изискване. Дали сами попадате под това задължение, зависи от дали предприятието попада под Директива NIS2 или национална транспозиция; това определя колко тежки са дополнителните въпроси, дори без сертификат.