neesame ISO 27001 sertifikuoti, ką rašau klausimyne

Be sertifikato vis tiek atsakyti iš esmės

Be ISO 27001 neinvedate "ne" ir nenustojate ten — atsakote į pagrindinį klausimą iš esmės, kiekviena priemone. Klausimynas, kuriame klausiama apie sertifikatą, iš tikrųjų nori žinoti, ar yra tvarkoje dešimt priemonių iš NIS2 direktyvos 21 straipsnio 2 dalies (rizikos analizė, incidentų valdymas, verslo tęstinumas, grandinės saugumas, pažeidžiamumo valdymas, kriptografijos politika, prieigos valdymas, MFA ir kita). Sertifikatas yra vienas būdas tai parodyti, o ne vienintelis. Be sertifikato kiekvienos priemonės atžvilgiu atsakote, ką turite: politikos dokumentą, procedūrą, įrankį, sutartinę sutartį su tiekėju.

Praktikoje tai reiškia, kad trumpai ir faktiškai atsakote į klausimą apie patį sertifikatą — ar įmonė turi ISO 27001 sertifikatą? apibūdinate, kaip pagrįsti tą konkretų klausimą be sertifikato — ir kad neskipsite tolesnių klausimų. Daugelis portalų sertifikatą ir pagrindines priemones skiria į atskirus klausimus; jei tik pildysite "ne" prie sertifikato ir likutį paliksite tuščią, gavėjui trūksta tiksliai tos informacijos, kuria jis daro savo rizikos vertinimą. Geriau pildykite kiekvieną dalį tuo, kas faktiškai egzistuoja, net jei tai nėra išorės audituotas visums.

Kur šis ryšys išplaukia iš: A priedas ir NIS2 direktyvos 21 straipsnis 2 dalis

ISO/IEC 27001 A priedas apibūdina valdymo priemones, kurias turi apimti vadybos sistema, ir tos priemonės labai sutampa su dešimčia kategorijų iš NIS2 direktyvos 21 straipsnio 2 dalies. Gavėjas, kuris klausia apie sertifikatą, iš esmės tikrina, ar egzistuoja tos pagrindinės priemonės; sertifikatas yra išorinės šalies patvirtinimas, tačiau pats klausimynas dažnai klausia ir atskirai apie dalies, tokias kaip Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen ar saugumo incidentų tvarkos procedūra. Be sertifikato ta pagrindinė klausimė lieka, ir tas atsakymas išlieka vertas.