nie mamy certyfikacji, ale ankieta o nią pyta

Nie wpisuj certyfikatu bez uzasadnienia

Bez certyfikatu ISO 27001 wpisujesz "nie" w pytaniu dotyczącym certyfikacji, i to nie stanowi problemu — certyfikat nie jest obowiązkowy, także w ramach NIS2. Liczy się natomiast to, czy zastosowano podstawowe środki. Lista pytań od twojego klienta pyta zwykle o certyfikat jako najkrótszą drogę do sprawdzenia, czy zarządzanie ryzykiem jest na porządku; bez certyfikatu musisz to wykazać w inny sposób.

Dlatego zwróć uwagę nie tylko na pytanie tak/nie, ale także na to, co za nim się kryje. Często pojawia się pytanie dodatkowe dotyczące konkretnych środków: kontrola dostępu, reagowanie na incydenty, ciągłość działalności. To te same zagadnienia co środki kontroli w Załączniku A normy ISO 27001, i to te same zagadnienia co dziesięć środków z artykułu 21 ust. 2 dyrektywy NIS2. Jeśli twój dokument łańcucha dostaw zawiera odpowiedzi na czy istnieje polityka analizy ryzyka i bezpieczeństwa systemów informatycznych i na czy istnieje procedura obsługi incydentów bezpieczeństwa, to wypełniasz te pytania dodatkowe uzasadnioną odpowiedzią, nawet jeśli nie masz certyfikatu. System proponuje tę odpowiedź z twojego dokumentu; ty potwierdzasz ją dla każdego pytania tak lub nie, zanim trafi do portalu twojego klienta.

Certyfikacja i środki to dwa odrębne pytania

ISO/IEC 27001 przyznaje certyfikat na podstawie audytu przeprowadzonego wobec środków kontroli zawartych w Załączniku A; NIS2 (Dyrektywa (UE) 2022/2555, artykuł 21 ust. 2) wymaga tych dziesięciu środków jako takich, niezależnie od certyfikacji. Holenderska ustawa o bezpieczeństwie cybernetycznym implementuje ten obowiązek i wchodzi w życie 15 sierpnia 2026 r. Klient, który pyta o certyfikat, sprawdza faktycznie, czy spełniasz podstawowe wymogi — certyfikat jest dowodem, a nie warunkiem jako taki. To, czy ty sam podlegasz temu obowiązkowi, zależy od czy przedsiębiorstwo podlega dyrektywie NIS2 lub krajowej implementacji; to determinuje wagę pytań dodatkowych, także bez certyfikatu.