negalime patvirtinti, tačiau klausimyne to klausiama

Neužpildykite sertifikato be pagrindo sugalvojus

Be ISO 27001 sertifikato atsakysite "ne" į sertifikavimo klausimą, ir tai nėra problema — sertifikatas nėra privalomas, net pagal NIS2. Tai, kas iš tikrųjų svarbu, yra tai, ar yra pagrindinės priemonės. Jūsų kliento klausimynas dažniausiai klausia apie sertifikatą kaip trumpiausią kelią patikrinti, ar jūsų rizikos valdymas yra tvarkoje; be sertifikato turite tai įrodyti kitu būdu.

Todėl žiūrėkite ne tik į taip/ne klausimą, bet į tai, kas už jo slypi. Dažnai seka tolesnis klausimas apie konkrečias priemones: prieigos kontrolę, incidento reagavimą, tęstinumą. Tai yra tos pačios temos kaip ISO 27001 Priedo A valdymo priemonės, ir taip pat tos pačios temos kaip dešimt priemonių iš NIS2 21 straipsnio 2 dalies. Jei jūsų tiekimo grandinės failas turi atsakymus į ar yra politika rizikos analizei ir informacinių sistemų apsaugai ir į ar yra procedūra saugumo incidentams, tada jūs iš tiesų užpildysite tuos tolimesnius klausimus pagrįstu atsakymu, nors jų nereglamentuoja sertifikat. Sistema siūlo tą atsakymą iš jūsų failo; jūs tai patvirtinate kiekviename klausime „taip

Sertifikavimas ir priemonės yra dvi atskiros klausimai

ISO/IEC 27001 suteikia sertifikatą remiantis auditu pagal Priedo A saugos priemones; NIS2 (Direktyva (ES) 2022/2555, 21 straipsnio 2 dalis) įpareigoja tas dešimt priemonių pačias, nepriklausomai nuo sertifikavimo. Olandijos kibernetinio saugumo įstatymas įgyvendina šią pareigą ir įsigalioja 2026 m. rugpjūčio 15 d. Klientas, kuris klausia dėl sertifikato, iš esmės patikrina, ar tu atitinki pagrindinės priemonės — sertifikatas yra įrodymų priemonė, o ne pats reikalavimas. Tai, ar tu pats atitinki tą pareigą, priklauso nuo ar organizacija patenka į NIS2 direktyvą arba nacionalinį jos įgyvendinimą; tai nulemia, kaip svarūs yra tolesni klausimai, ir be sertifikato.