nemamo ISO certifikat, kako mogu dobro odgovoriti na to pitanje

Nema certifikata nije "ne", već drugačija dokaznica

Ne popunjavajte automatski "ne" za ovo pitanje. ISO 27001-certifikat je dokaz revizora da sustav upravljanja zadovoljava normu — ali temeljno pitanje vašeg klijenta obično se odnosi na same mjere, a ne na papirni dokument. Ako imate politiku za kontrolu pristupa, upravljanje incidentima, kontinuitet i ostale dijelove iz Prilogea A standarda ISO 27001, možete to opisati bez da tvrdite certifikat. Odgovorite na pitanje u dva sloja: prvo činjenica ("nije certificirano"), zatim pojašnjenje ("ima politike koja usklađena sa sljedećim dijelovima"). Na taj način ostaje odgovor istinit, a ipak pruža klijentu nešto korisno.

U praksi se na taj način obično podijeli lista: jedno pitanje o ISO 27001 sertifikat zasebno, te odvojena pitanja o temeljnim mjerama. Na ta sljedeća pitanja odgovorite na njihovim vlastitim zaslugama — na primjer pitanje o politici pristupa i upravljanju poslovnim sredstvima ili o analizi rizika i zaštiti sustava obrade podataka. Ako za specifičan dio nemate dokument, odgovorite tamo s "ne" ili "dijelomično" — a ne na cijelu listu odjednom jer certifikat nedostaje. Jedan nedostajući dio ne treba da zarazi sve ostale odgovore.

Prilog A i članak 21. stavak 2. zahtijevaju mjere, a ne certifikat

ISO/IEC 27001 se sastoji od dva dijela: zahtjeving za sustav upravljanja i Prilog A s upraviteljskim mjerama (pristup, kriptografija, dobavljači, incidenti, kontinuitet i tako dalje). Certifikat pokazuje da je revizor provjerio sustav; nije to jedini način da se pokaže da mjere postoje. I članak 21. stavak 2. Direktive NIS2 sa deset obaveznih mjera traži što organizacija čini — ne koji certifikat ima. Za većinu upitnika zato vrijedi: politika i dokaziva praksa odgovaraju na jezgru pitanja, čak i bez ISO-certifikata.