emme ole sertifioituja, mutta kyselylomakkeessa sitä kysytään

Älä täytä sertifikaattia keksimällä perusteluja

Ilman ISO 27001 -sertifikaattia vastaat "ei" sertifiointikysymykseen, eikä se ole ongelma — sertifikaatti ei ole pakollinen, ei myöskään NIS2:n mukaan. Mikä on tärkeää, on se, ovatko taustalla olevat toimenpiteet paikoillaan. Asiakkaasi kysymysluettelo kysyy sertifikaatista yleensä lyhimpänä tapana tarkistaa, onko riskienhallintasi kunnossa; ilman sertifikaattia sinun on osoitettava se toisella tavalla.

Katso siksi paitsi kyllä/ei-kysymystä, myös siitä seuraavaa. Usein seuraa jatkokysymys konkreeteista toimenpiteistä: pääsynhallinnasta, häiriöiden vastauksesta, jatkuvuudesta. Nämä ovat samat aiheet kuin ISO 27001:n liitteen A hallintavälineet, ja myös samat aiheet kuin kymmenen toimenpidettä artiklan 21 kohdan 2 NIS2:sta. Jos ketjuarkistosi sisältää vastauksia siitä, onko riskianalyysin ja tietojärjestelmien turvaamiseen liittyvää politiikkaa ja siitä, onko tietoturvahäiriöitä varten menettelytapaa, täytät nämä jatkokysymykset hyvin perustellulla vastauksella, vaikka taustalla ei olisi sertifikaattia. Järjestelmä ehdottaa vastauksen arkistostasi; vahvistat sen kysymys kerrallaan kyllä tai ei, ennen kuin se lähetetään asiakkaasi portaaliin.

Sertifiointi ja toimenpiteet ovat kaksi erillistä kysymystä

ISO/IEC 27001 myöntää sertifikaatin auditoin perusteella liitteen A hallintavälineitä vastaan; NIS2 (Direktiivi (EU) 2022/2555, artikla 21 kohta 2) velvoittaa nämä kymmenen toimenpidettä itsessään, sertifioinnista riippumatta. Alankomaiden kyberturvallisuuslaki panee tämän velvoitteen täytäntöön ja astuu voimaan 15. elokuuta 2026. Asiakas, joka kysyy sertifikaatista, testaa siis itse asiassa, noudatatko olemassa olevien toimenpiteiden velvoitetta — sertifikaatti on todistusväline, ei itse vaatimus. Se, oletko itse tämän velvoitteen piirissä, riippuu siitä, onko yritys NIS2-direktiivin tai kansallisen täytäntöönpanon piirissä; se määrää, kuinka painavia jatkokysymykset ovat, myös ilman sertifikaattia.