minu klient küsib küsimustiku juurde tõendeid, mida ma esitada peaksin

Tõendus kuulub vastuse juurde, mitte küsimuse tervikule

"Küberjärgsustuste tõendi" jaoks puudub kindel loetelu — tõend sõltub sellest, milliseid NIS2-direktiivi 21. artikli 2. lõike kümmest meetmest klient küsib. Kui ta küsib juurdepääsukontrolli kohta, siis sobib juurdepääsupoliitika väljavõte, mitte kogu infoturbealane poliitika. Kui ta küsib insidentide lahendamise kohta, siis piisab sageli protsessi kirjeldusest eskalatsioonikaartidega, mitte juhtumite logist üksikasjade kaasamisega. Kategooriaid valides arvestage riskianalüüsi poliitikale, turvalisusintsident ja oma tarnijatele esitatud nõudmisega kaasnevat: iga kategooria nõuab erinevat tüüpi põhjendust.

Kui teil tõendust pole — näiteks sellepärast, et poliitika küll eksisteerib, kuid kunagi kirjalikult sõnastatud pole — siis on "ei" lühikese selgitusega aus vastus, mitte viide dokumentile, mis pole olemas. ISO 27001-sertifikaat katab korraga mitut küsimust, kuid ainult siis, kui selle sertifikaadi ulatuspiir puudutab ka neid osi, mida klient küsib; muidu tekib see näivane kindlus, mis auditeerimisel ilmsiks tuleb. Enne kui esitate tõendina sertifikaati, kontrollige seega esiteks, kas sertifikaat on rakendatav nõutavale osale.

Kust see tuleb: artikkel 21 lõige 2 ja Lisa A

NIS2-direktiivi 21. artikli 2. lõige loetleb kümme meetmet, mille kohta klient tavaliselt edasi uurib — riskijuhtimisest kuni juurdepääsupoliitikani kuni tarnija turvalisuseni — ja igal meetmel on oma tõendi liik, mitte üks üleülemaailmne dokument. ISO/IEC 27001 Annex A sisaldab juhtimisvahendeid, mida kasutatakse sageli kontrollnimekirjana selleks, et määrata, milline tõendus millise küsimuse juurde sobib; sertifikaat selle normi vastu ei ole seega aluseks olevate dokumentide asendus, vaid kinnitus, et neid on kontrollitud. Küberturbealane seadus, NIS2 hollanduse omaksvõtt, jõustub 15. augustil 2026 ja sisaldab sama jaotust — kes kogub tõendust juba praegu, see strukturiga kooskõla saavutamine ei ole raisatud jõupingutus.