non siamo certificati ISO 27001, cosa scrivo allora nel questionario

Rispondete in merito senza certificato

Senza ISO 27001 non rispondete "no" e non vi fermate lì — rispondete alla domanda sottostante in termini concreti, per ogni misura. Un questionario che chiede il certificato vuole in realtà sapere se le dieci misure dell'articolo 21 paragrafo 2 della direttiva NIS2 (analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, gestione delle vulnerabilità, politica crittografica, controllo degli accessi, MFA, e il resto) sono in ordine. Il certificato è un modo per dimostrarlo, non l'unico. Senza certificato rispondete quindi per ogni misura cosa avete effettivamente: un documento di policy, una procedura, uno strumento, un accordo contrattuale con un fornitore.

In pratica questo significa che rispondete in modo breve e fattuale alla domanda sul certificato stesso — l'azienda è certificata ISO 27001? descrivi come sostanzi quella specifica domanda senza certificato — e che successivamente non saltate le domande successive. Molti portali dividono il certificato e le misure sottostanti in domande separate; se compilate solo "no" al certificato e lasciate il resto vuoto, il cliente perde esattamente le informazioni con cui fa la propria valutazione del rischio. È preferibile compilare ogni sezione con ciò che è effettivamente presente, anche se non è un insieme controllato esternamente.

Da dove proviene questo collegamento: Allegato A e articolo 21 paragrafo 2

L'ISO/IEC 27001 Allegato A descrive le misure di controllo che un sistema di gestione deve coprire, e queste misure si sovrappongono in gran parte alle dieci categorie dell'articolo 21 paragrafo 2 della direttiva NIS2. Un cliente che chiede il certificato sta in effetti verificando se quelle misure sottostanti esistono; il certificato è la conferma di una parte esterna, ma il questionario stesso spesso chiede anche separatamente sezioni come la politica di accesso e la gestione dei beni aziendali o la procedura per gli incidenti di sicurezza. Senza certificato quella domanda sottostante rimane, e rimane degna di una risposta.