nejsme certifikováni, ale dotazník se na certifikaci ptá

Nevyplňujte certifikát bez zdůvodnění

Bez certifikátu ISO 27001 vyplníte "ne" na otázku o certifikaci, a to není problém — certifikát není povinný, ani podle NIS2. Důležité je, zda jsou zavedena příslušná opatření. Dotazník vašeho zákazníka se ptá na certifikát obvykle jako nejrychlejší cestu k ověření, že máte řízení rizik v pořádku; bez certifikátu to musíte prokázat jiným způsobem.

Proto se nedívejte pouze na otázku ano/ne, ale na to, co za ní následuje. Často následuje doplňující otázka na konkrétní opatření: řízení přístupu, reakce na incidenty, kontinuita. Jedná se o stejná témata jako opatření Přílohy A normy ISO 27001 a také o stejná témata jako deset opatření z článku 21 odst. 2 směrnice NIS2. Pokud váš řetězový soubor obsahuje odpovědi na zda existují zásady pro analýzu rizik a ochranu informačních systémů a na zda existuje postup pro bezpečnostní incidenty, pak vyplníte tyto doplňující otázky zdůvodněnou odpovědí, i když za ním nestojí žádný certifikát. Systém navrne tuto odpověď z vašeho souboru; vy ji potvrdíte u každé otázky ano nebo ne, než půjde na portál vašeho zákazníka.

Certifikace a opatření jsou dvě oddělené otázky

Norma ISO/IEC 27001 uděluje certifikát na základě auditu proti opatřením v Příloze A; NIS2 (směrnice (EU) 2022/2555, článek 21 odst. 2) sama ukládá povinnost těchto deseti opatření, nezávisle na certifikaci. Nizozemský zákon o kybernetické bezpečnosti tuto povinnost transpozuje a vstoupí v platnost 15. srpna 2026. Zákazník, který se ptá na certifikát, vlastně ověřuje, zda splňujete příslušná opatření — certifikát je důkazní prostředek, ne sám požadavek. Zda sami spadáte pod tuto povinnost, závisí na zda podnik spadá pod směrnici NIS2 nebo národní transpozici; to určuje, jak důležitý jsou doplňující otázky i bez certifikátu.