Ние не сме сертифицирани по ISO 27001, какво напишем тогава в списъка с въпроси

Без сертификат въпреки това отговаряйте по същество

Без ISO 27001 не попълвате "не" и не спирате там — отговаряте по същество на подложения въпрос, за всяка мярка. Список с въпроси, който пита за сертификата, всъщност иска да знае дали десетте мерки от член 21, параграф 2 на Директива NIS2 (анализ на риска, управление на инцидентите, непрекъснатост на дейността, сигурност на веригата, управление на уязвимостите, криптографската политика, контрол на достъпа, MFA и останалото) са в ред. Сертификатът е един начин да се докаже това, но не е единственият. Без сертификат отговаряте на всяка мярка какво имате: политически документ, процедура, инструмент, договорно споразумение с доставчик.

На практика това означава, че кратко и фактически отговаряш на въпроса за сертификата — е ли предприятието ISO 27001-сертифицирано? описваш как онази конкретна вопрос без сертификат все пак обосновавш — и че след това не пропускаш следващите въпроси. Много портали разделят сертификата и базовите мерки в отделни въпроси; ако само попълниш "не" при сертификата и оставиш остатъка празно, клиентът ще пропусне точно информацията, с която прави собствена оценка на риска. По-скоро попълни всяка част с това, което фактически съществува, дори ако това не е външно проверено цяло.

Откъде произтича тази връзка: Приложение A и член 21(2)

Приложение A на ISO/IEC 27001 описва мерките за управление, които трябва да бъдат обхванати от система за управление, и тези мерки до голяма степен съвпадат с десетте категории от член 21(2) на Директива NIS2. Клиент, който поиска сертификата, по същество проверява дали съществуват тези основни мерки; сертификатът е потвърждението от трета страна, но самата анкета често също така поставя отделни въпроси относно компоненти като политиката за достъп и управлението на активите или процедурата за инциденти в областта на сигурността. Без сертификат този основен въпрос остава, и той остава достоен от отговор.