nem vagyunk tanúsított, de a kérdőív erre kérdez rá

Ne töltsön ki tanúsítványt alátámasztás nélkül

ISO 27001 tanúsítvány nélkül a tanúsítási kérdésre a "nem" válasz bejelölésével válaszolsz, és ez nem jelent problémát — a tanúsítvány nem kötelező, még a NIS2 szerinti előírások szerint sem. Az, ami számít, az az, hogy megvannak-e az alapul szolgáló intézkedések. Az ügyfeled kérdéslistája általában azért kérdezi a tanúsítványt, mint a leggyorsabb módot annak ellenőrzésére, hogy a kockázatkezelésed rendben van-e; tanúsítvány nélkül ezt másik módon kell igazolnod.

Ezért ne csak az igen/nem kérdésre figyelj, hanem arra, hogy mi következik utána. Gyakran további kérdés következik a konkrét intézkedésekről: hozzáférés-ellenőrzés, incidensmegoldás, üzletmenet-folytonosság. Ezek ugyanazok a témák, mint az ISO 27001 Annex A biztonsági intézkedései, és ugyanezek a témák, mint a NIS2 21. cikk 2. bekezdésének tíz intézkedése is. Ha az ügyfél-dokumentációd választ tartalmaz arra, hogy van-e az információs rendszerek kockázatelemzésére és védelmezhető irányelvek és arra, hogy van-e a biztonsági incidensekre vonatkozó eljárásakkor ezeket a következő kérdéseket valóban alátámasztott válasszal töltöd ki, még akkor is, ha nincs mögötte tanúsítvány. A rendszer ezt a választ javaslatként felajánlja az ügyfél-dokumentációdból; te minden egyes kérdésnél igen vagy nem gombbal erősítöd meg, mielőtt az ügyfeled portáljára kerülne.

A tanúsítás és az intézkedések két külön kérdés

Az ISO/IEC 27001 az Annex A biztonsági intézkedéseihez képest végzett audit alapján adja ki a tanúsítványt; a NIS2 (2022/2555 (EU) irányelv, 21. cikk 2. bekezdés) ezeket a tíz intézkedéseket kötelezően írja elő, a tanúsítástól függetlenül. A holland Cybersecurity Act ezt az előírást átveszi, és 2026. augusztus 15-én lép hatályba. Az a kliens, aki a tanúsítványt kérdezi, valójában azt vizsgálja, hogy teljesítesz-e az alapul szolgáló intézkedéseket — a tanúsítvány a bizonyítási eszköz, nem maga a követelmény. Az, hogy te maga alá tartozol-e ennek az előírásnak, attól függ, hogy az vállalkozás a NIS2 irányelv vagy annak nemzeti átültetésének hatálya alá tartozik-e; ez határozza meg, hogy a következő kérdések milyen súlyúak, tanúsítvány nélkül is.