nejsme certifikováni podle ISO 27001, ale s bezpečností děláme hodně, co vyplním

Ne na certifikátu, ano v praxi mohou být obě varianty správné

Ano, to je možné — pokud to zpracováváš odděleně od otázky na samotný certifikát. Otázka na ISO 27001 v dotazníku je obvykle uzavřená ano/ne na vlastnictví je certifikátNemáš-li jej, pak je "ne" fakticky správná odpověď na tuto konkrétní otázku, a žádné vysvětlení ti v tom nepomůže. Co je však možné: mnoho dotazníků formuluje po nebo vedle otázky na certifikát také samostatné otázky na podkladové opatření — analýzu rizik, řízení přístupu, zpracování incidentů. Ty odpovídáš podle jejich vlastních zásluh, s vlastním důkazem, bez ohledu na certifikát.

Zmatení vzniká proto, že certifikace a opatření se dotýkají stejného obsahu, ale nejsou synonymem. Auditor procházející Přílohu A a podnik, který si "prostě" nastavil MFA, zálohování a proces zpracování incidentů, mohou mít fakticky stejné kontroly — rozdíl je v tom, že jeden má nezávislé testování a certifikát, druhý nikoliv. V řetězcovém souboru tedy uvedeš dva samostatné odpovědi: u otázky na certifikát "ne" a u otázky na například vícefaktorové ověřování nebo zpracování bezpečnostních incidentů faktickou odpověď s důkazem, který pro to máš — politický dokument, export konfigurace, popis procesu. Nikdy nevyplňuj jeden jako důkaz pro druhý.

Příloha A a článek 21 odstavec 2 se překrývají, ale nejsou zaměnitelné

ISO/IEC 27001 Příloha A popisuje kontrolní opatření, která musí krýt certifikovaný managementový systém; Směrnice (EU) 2022/2555 článek 21 odstavec 2 jmenuje deset opatření, která jsou podle NIS2 povinná pro subjekty spadající pod tuto směrnici. Oba seznamy zmiňují řízení rizik, přístup, kryptografii a reakci na incidenty, ale jeden je certifikační norma s auditorem, který provádí zkoušku, druhý je právní předpis bez povinnosti certifikace. "Ne" na certifikátu tedy nic neříká o tom, zda někdo splňuje článek 21 odstavec 2 — to je samostatná otázka, která se stává relevantní, až když se zjistí, zda podnik sám spadá pod směrnici NIS2 nebo Zákon o kybernetické bezpečnosti.