nie sme certifikovaní, ale dotazník na to pýta

Nevyplňujte certifikát bez podloženia údajov

Bez certifikátu ISO 27001 vyplníte "nie" na otázku o certifikácii, a to nie je problém — certifikát nie je povinný, ani podľa NIS2. Dôležité je, či sú zavedené príslušné opatrenia. Zoznam otázok od vášho klienta sa zvyčajne pýta na certifikát ako najrýchlejší spôsob, ako skontrolovať, či máte riadenie rizík v poriadku; bez certifikátu to musíte preukázať iným spôsobom.

Pozrite sa preto nie len na otázku áno/nie, ale na to, čo za ňou stojí. Často nasleduje ďalšia otázka o konkrétnych opatreniach: kontrola prístupu, reakcia na incidenty, kontinuita. Ide o rovnaké témy ako kontrolné opatrenia v prílohe A normy ISO 27001 a aj rovnaké témy ako desať opatrení z článku 21 ods. 2 NIS2. Ak váš dossier reťazca obsahuje odpovede na či existuje politika analýzy rizík a bezpečnosti informačných systémov a na či existuje postup pre bezpečnostné incidenty, potom tieto ďalšie otázky vyplníte veľmi dobre podloženou odpoveďou, aj keď za ňou nestojí žiadny certifikát. Systém navrhne túto odpoveď z vášho dossiera; vy ju potvrdíte na každú otázku áno alebo nie, kým sa nepošle na portál vášho klienta.

Certifikácia a opatrenia sú dve samostatné otázky

ISO/IEC 27001 udeľuje certifikát na základe auditu voči kontrolným opatreniam v prílohe A; NIS2 (Smernica (EÚ) 2022/2555, článok 21 ods. 2) predpisuje tieto desať opatrení ako takých, nezávisle od certifikácie. Holandský zákon o kybernetickej bezpečnosti tieto povinnosti implementuje a nadobúda platnosť 15. augusta 2026. Klient, ktorý sa pýta na certifikát, v podstate overuje, či spĺňate príslušné opatrenia — certifikát je dôkazom, nie samotnou požiadavkou. To, či vy sám podliehate tejto povinnosti, závisí od či podnik podlieha smernici NIS2 alebo jej národnej implementácii; to určuje, ako závažné sú ďalšie otázky, aj bez certifikátu.