nismo certificirani za ISO 27001, kaj napišem v vprašalnik

Brez certifikata vseeno vsebinsko odgovori

Brez ISO 27001 ne vstaviš »ne« in se s tem ne zadovoliš — odgovoriš na osnovno vprašanje vsebinsko, po ukrepu. Vprašalnik, ki sprašuje o certifikatu, želi pravzaprav vedeti, ali so deset ukrepov iz člena 21 odstavka 2 direktive NIS2 (analiza tveganja, obravnava incidentov, kontinuiteta poslovanja, varnost v dobavni verigi, upravljanje ranljivosti, politika kriptografije, kontrola dostopa, MFA in ostalo) v redu. Certifikat je en način, da to pokažeš, toda ne edini. Brez certifikata torej odgovoriš po ukrepu, kaj že imaš: politični dokument, postopek, orodje, pogodbeni dogovor s prejemcem.

V praksi to pomeni, da na vprašanje o samem certifikatu kratek in dejansko odgovoriš — ali je podjetje certificirano po ISO 27001? opiše, kako to specifično vprašanje brez certifikata vseeno utemeljiš — in da nato ne preskoči nadaljevanja. Številni portali certifikat in osnovne ukrepe razdelijo na ločena vprašanja; če samo »ne« vstaviš pri certifikatu in ostalo pustošiš prazno, prejemniku manjka natanko informacija, s katero si naredi svojo lastno oceno tveganja. Raje izpolni vsak del s tem, kar je dejansko prisotno, tudi če to ni zunanji pregledani celota.

Kje ta povezava izvira: Prilog A in člen 21 odstavek 2

ISO/IEC 27001 Prilog A opisuje nadzorne ukrepe, ki jih mora pokrivati sistem vodenja, in ti ukrepi se v veliki meri prekrivajo s desetimi kategorijami iz člena 21 odstavka 2 direktive NIS2. Prejemnik, ki sprašuje o certifikatu, pravzaprav preverja, ali obstajajo tisti osnovni ukrepi; certifikat je potrditev zunanje stranke, toda vprašalnik sam se pogosto tudi posebej sprašuje o delih, kot sta politiko dostopa in upravljanje sredstev podjetja ali postopek za varnostne incidente. Brez certifikata to osnovno vprašanje ostane, in ostane vrednega odgovora.