nie sme certifikovaní podľa ISO 27001, ale robíme veľa na bezpečnosti, čo mám vyplniť

Nie na certifikáte, áno v praxi môžu byť obe pravdivé

Áno, to je povolené — pokiaľ to spracovávaš oddelene od otázky týkajúcej sa samotného certifikátu. Otázka o ISO 27001 v zozname otázok je zvyčajne zatvorená áno/nie na vlastníctvo je certifikát. Ak ho nemáš, potom je "nie" fakticky správna odpoveď na túto konkrétnu otázku, a žiadne vysvetlenie na tom nič nezmení. Čo sa však dá urobiť: mnohé zoznamy otázok kladú po alebo vedľa otázky na certifikát aj samostatné otázky o základných opatreniach — analýza rizík, riadenie prístupu, spracovanie incidentov. Tie zodpovedáš na základe ich vlastných zásluh, s vlastným dôkazom, bez ohľadu na certifikát.

Zmätok vzniká preto, že certifikácia a opatrenia sa dotýkajú rovnakého obsahu, ale nie sú synonymom. Audítor, ktorý prechádza Prílohu A, a spoločnosť, ktorá "jednoducho" zaviedla MFA, zálohy a proces spracovávania incidentov, môžu mať podstatne rovnaké kontroly — rozdiel je v tom, že jedna má nezávislú kontrolu a certifikát, druhá nie. V reťazcovom spise teda uvedieš dva samostatné odpovede: na otázku certifikácie "nie", a na otázku na príklad viacfaktorové overovanie alebo spracovanie bezpečnostných incidentov skutočnú odpoveď s dokladom, ktorý na to máš — strategický dokument, export konfigurácie, popis procesu. Nikdy neplniš jednu ako dôkaz pre druhú.

Príloha A a článok 21 ods. 2 sa prekrývajú, ale nie sú vzájomne vymeniteľné

ISO/IEC 27001 Príloha A popisuje opatrenia na riadenie, ktoré musí pokrývať certifikovaný systém riadenia; Smernica (EÚ) 2022/2555 článok 21 ods. 2 uvedie desať opatrení, ktoré sú v rámci NIS2 povinné pre subjekty spadajúce pod túto smernicu. Oba zoznamy spomínajú riadenie rizík, prístup, kryptografiu a reakciu na incidenty, ale jeden je certifikačná norma s audítorom, ktorý posúdi, druhý je právna norma bez povinnosti certifikácie. "Nie" na certifikáte teda nič nehovorí o tom, či niekto spĺňa článok 21 ods. 2 — to je samostatná otázka, ktorá sa stáva relevantnou iba keď sa zistí, či podnik spadá pod smernicu NIS2 alebo Zákon o kybernetickej bezpečnosti.