Ние не сме сертифицирани по ISO 27001, но правим много за сигурност, какво попълвам

Не-на-сертификата, да-на-практиката могат и двете да са верни

Да, това е позволено — при условие че го третираш отделно от въпроса за самия сертификат. Въпрос за ISO 27001 в един въпросник обикновено е затворен да/не относно притежаването на сертификатътАко нямаш това, то "не" е фактически правилният отговор на този конкретен въпрос, и никакво обяснение не помага. Това, което може да помогне: много въпросници поставят след или наред с въпроса за сертификата и отделни въпроси относно основните мерки — анализ на риска, управление на достъпа, управление на инцидентите. На тези отговаряш по техните собствени достойнства, със своя собствено доказателство, независимо от сертификата.

Объркването възниква защото сертифицирането и мерките докосват едно и също съдържание, но не са синоним. Одитор, който преминава през Приложение А, и фирма, която "просто" е внедрила MFA, резервни копия и процес за управление на инцидентите, могат материално да имат едни и същи управления — разликата е, че единият има независима оценка и сертификат, другият не. В дневника на веригата поставяш така две отделни отговора: при въпроса за сертификата "не", и при въпроса за например многофакторната аутентификация или управлението на инцидентите от гледна точка на сигурността фактическия отговор със свидетелството, което имаш за това — политически документ, експорт на конфигурация, описание на процеса. Никога не попълвай един като доказателство за другия.

Приложение А и член 21 параграф 2 се припокриват, но не са взаимозаменяеми

ISO/IEC 27001 Приложение А описва мерките за управление, които трябва да бъдат обхванати от сертифицирана система за управление; Директива (ЕС) 2022/2555 член 21 параграф 2 посочва десетте мерки, които са задължителни по NIS2 за субектите, попадащи под тази директива. И двата списъка споменават управление на риска, достъп, крипто и реагиране на инцидентите, но единият е стандарт за сертификация с одитор, който оценява, другият е законодателство без задължение за сертификация. Един "не" на сертификата따 не казва нищо за това дали някой отговаря на член 21 параграф 2 — това е отделен въпрос, който е уместен само когато установиш дали предприятието самото попада под Директива NIS2 или Закона за киберсигурност.