vi er ikke ISO 27001-certificeret, men gør meget for sikkerhed, hvad udfylder jeg

Nej-på-certifikat, ja-i-praksis kan begge være rigtige

Ja, det må du — forudsat at du behandler det separat fra spørgsmålet om selve certifikatet. Et ISO 27001-spørgsmål i en spørgeskema er normalt et lukket ja/nej om ejerskabet af certificatet. Hvis du ikke har det, så er "nej" det faktisk korrekte svar på det specifikke spørgsmål, og der hjælper ingen præcisering. Det kan dog være: mange spørgeskemaer stiller før eller ved siden af certifikatspørgsmålet også separate spørgsmål om de underliggende foranstaltninger — risikovurdering, adgangskontrol, håndtering af hændelser. Disse besvarer du på deres egne betingelser, med deres eget bevis, uanset certifikatet.

Forvirringen opstår, fordi certificering og foranstaltninger berører det samme indhold, men er ikke synonyme. En revisor, der gennemgår Bilag A, og en virksomhed, der "blot" har implementeret MFA, sikkerhedskopier og en hændelseproces, kan have materielt de samme kontrolforanstaltninger — forskellen er, at den ene har en uafhængig vurdering og et certifikat, den anden ikke. I kædeportfolioen sætter du derfor to separate svar: "nej" på certificeringsspørgsmålet, og på spørgsmålet om for eksempel multifaktor-godkendelse eller håndtering af sikkerhedshændelser det faktiske svar med det bevis, du har for det — et politikdokument, en konfigurationsudtog, en procesbeskrivelse. Aldrig det ene som bevis for det andet.

Bilag A og artikel 21 stk. 2 overlapper, men er ikke udskiftelige

ISO/IEC 27001 Bilag A beskriver de kontrolforanstaltninger, som et certificeret styringssystem skal dække; Direktiv (EU) 2022/2555 artikel 21 stk. 2 nævner de ti foranstaltninger, der er obligatoriske under NIS2 for enheder, der er omfattet af denne direktiv. Begge lister nævner risikostyring, adgang, kryptografi og hændelserespons, men den ene er en certificeringsnorm med en revisor, der foretager vurderingen, den anden er lovgivning uden certificeringskrav. Et "nej" på certificatet siger således intet om, hvorvidt nogen overholder artikel 21 stk. 2 — det er et separat spørgsmål, som først bliver relevant, når det er fastslået, om virksomheden selv falder ind under NIS2-direktivet eller cybersikkerhedsloven.