vi er ikke ISO 27001-certificeret, hvad skriver jeg så i spørgeskemaet

Svar substansielt uden certifikat

Uden ISO 27001 udfylder du ikke "nej" og stopper der ikke — du besvarer det underliggende spørgsmål substansielt, for hver enkelt foranstaltning. Et spørgeskema, der spørger om certifikatet, ønsker i virkeligheden at vide, om de ti foranstaltninger fra artikel 21, stk. 2 i NIS2-direktivet (risikovurdering, hændelseshåndtering, forretningskontinuitet, kædesikkerhed, sårbarhedsstyring, krypteringspolitik, adgangskontrol, MFA og resten) er i orden. Certifikatet er én måde at vise det på, ikke den eneste. Uden certifikat besvarer du således for hver foranstaltning, hvad du faktisk har: et politikdokument, en procedure, et værktøj, en kontraktlig aftale med en leverandør.

I praksis betyder det, at du besvarer spørgsmålet om selve certifikatet kort og faktisk — er virksomheden ISO 27001-certificeret? beskriver hvordan du understøtter det specifikke spørgsmål uden certifikat alligevel — og at du efterfølgende ikke springer opfølgningsspørgsmålene over. Mange portaler opdeler certifikatet og de underliggende foranstaltninger i separate spørgsmål; hvis du kun udfylder "nej" ved certifikatet og lader resten være tomt, mangler modtageren præcis den information, som han bruger til at foretage sin egen risikovurdering. Udfyld hellere hver del med det, der faktisk eksisterer, selvom det ikke er et eksternt kontrolleret hele.

Hvor denne sammenhæng stammer fra: Annex A og artikel 21, stk. 2

ISO/IEC 27001 Annex A beskriver de kontrolforanstaltninger, som et ledelsessystem skal dække, og disse foranstaltninger overlapper i høj grad med de ti kategorier fra artikel 21, stk. 2 i NIS2-direktivet. En modtager, der spørger om certifikatet, kontrollerer i virkeligheden, om disse underliggende foranstaltninger eksisterer; certifikatet er bekræftelsen fra en ekstern part, men spørgeskemaet selv spørger ofte også særskilt om elementer såsom adgangspolitikken og styringen af virksomhedsressourcer eller proceduren for sikkerhedsincidenter. Uden certifikat består det underliggende spørgsmål stadig, og det fortjener fortsat et svar.