me ei ole sertifitseeritud, kuid küsimustik seda küsib

Ärge täitke sertifikaati ilma põhjenduseta välja mõtlemata

Ilma ISO 27001-sertifikaadita täidate "ei" sertifitseerimisküsimusele, ja see pole probleem — sertifikaat ei ole kohustuslik, ka mitte NIS2 alusel. Mis loeb, on see, kas aluseks olevad meetmed on olemas. Teie kliendi küsimustik küsib sertifikaadi järele tavaliselt lühimana teed, et kontrollida, kas teie riskihaldus on korras; ilma sertifikaadita peate seda muul viisil näitama.

Seega vaadake mitte ainult jah/ei-küsimust, vaid seda, mis sellega seotud on. Sageli järgneb täiendav küsimus konkreetsete meetmete kohta: juurdepääsu kontroll, intsidentide reageerimine, järjepidevus. Need on samad teemad, mis ISO 27001 lisa A kontrollmeetmeted, ja ka samad teemad, mis kümme meetmet artiklist 21 lõige 2 NIS2-s. Kui teie ketidossieega on vastused risikoanalüüsi poliitika ja infosüsteemide kaitse kohta ja turbe-intsidentideks menetluse kohtasiis täidate need järelküsimused tõepoolest põhjendatud vastusega, kuigi selle taga pole sertifikaati. Süsteem pakub seda vastust teie dossieest; te kinnitate selle küsimuse kaupa jah või ei, enne kui see läheb teie kliendi portaali.

Sertifitseerimine ja meetmed on kaks eraldi küsimust

ISO/IEC 27001 annab sertifikaadi auditi alusel Lisa A juhtimismeetmete suhtes; NIS2 (Direktiiv (EU) 2022/2555, artikkel 21 lõige 2) kohustab neid kümmet meetmet ise, sertifitseerimisest eraldi. Hollandi küberturvalisuse seadus rakendab seda kohustust ja jõustub 15. augustil 2026. Klient, kes sertifikaadi järele küsib, tegelikult testib, kas sa nendele alusmeetmetele vastad — sertifikaat on tõendamisvahend, mitte nõue ise. Kas sa ise selle kohustuse alla kuulud, sõltub sellest, kas ettevõte kuulub NIS2-direktiivi või rahvuslike rakendamiste alla; see määrab, kui raskelt täiendavad küsimused kaasa kaaluvad, sertifikaatita ka.