nismo certificirani, vendar vprašalnik to vendar sprašuje

Ne izpolnjujte certifikata brez utemeljitve

Brez certifikata ISO 27001 pri vprašanju o certificiranju izpolnite »ne«, in to ni problem — certifikat ni obvezen, tudi ne po NIS2. Važno je, ali so vzpostavljeni potrebni ukrepi. Vprašalnik vašega odjemalca se na certifikat običajno sklicuje kot na krajši način za preverjanje, ali je vaš management tveganja v redu; brez certifikata to dokazati na drugačen način.

Zato ne pogledate samo na vprašanje da/ne, ampak na to, kaj je za njim. Pogosto sledi dodatno vprašanje o konkretnih ukrepih: nadzor dostopa, odziv na incidente, kontinuiteta. To so enaki predmeti kot upravljavski ukrepi v Prilogi A standarda ISO 27001 in tudi enaki predmeti kot deset ukrepov iz člena 21 odstavka 2 NIS2. Če vaš datoteki verige vsebujeta odgovore na ali obstaja politika za analizo tveganja in zaščito informacijskih sistemov in na ali obstaja postopek za varnostne incidente, potem ta dodatna vprašanja izpolnite z utemeljenim odgovorom, čeprav za njim ni certifikat. Sistem predlaga ta odgovor iz vaše datoteke; vi ga potrdite za vsako vprašanje z da ali ne, preden gre na portal vašega odjemalca.

Certificiranje in ukrepi sta dve ločeni vprašanji

ISO/IEC 27001 podeli certifikat na podlagi revizije upravljavskih ukrepov v Prilogi A; NIS2 (Direktiva (EU) 2022/2555, člen 21 odstavek 2) sama zahteva teh deset ukrepov, neodvisno od certificiranja. Nizozemski zakon o varnosti kibernetskega prostora to obveznost preslika in stopi v veljavo 15. avgusta 2026. Odjemalec, ki se sprašuje o certifikatu, torej dejansko preverja, ali ustrezate potrebnim ukrepom — certifikat je sredstvo dokazovanja, ne sama zahteva. Ali na vas sama obveznost velja, je odvisno od ali je podjetje zajeto v okviru direktive NIS2 ali nacionalne preslika; to določa, kako tehtna so dodatna vprašanja, tudi brez certifikata.