nemáme certifikát ISO, jak přesto dobře odpovím na tuto otázku

Absence certifikátu není "ne", jedná se o jinou podporu

U této otázky nevyplňujte automaticky "ne". Certifikát ISO 27001 je důkaz od auditora, že systém řízení splňuje normu — ale základní otázka vašeho zákazníka se obvykle týká samotných opatření, nikoli papíru. Máte-li politiku pro správu přístupu, řešení incidentů, kontinuitu a další součásti z Přílohy A normy ISO 27001, můžete to popsat bez nároku na certifikaci. Odpovězte na otázku tedy dvoustupňově: nejdříve skutečnost ("není certifikováno"), pak vysvětlení ("máme politiku, která odpovídá následujícím součástem"). Odpověď tak zůstane správná a zákazníkovi přinese něco užitečného.

V praxi seznam otázek to obvykle rozděluje již sám: jednu otázku na certifikát ISO 27001 zvlášť, a samostatné otázky na základní opatření. Odpovídejte těmto otázkám na jejich vlastní zásluhy — například otázku o politice přístupu a správě obchodních aktiv nebo na analýzu rizik a zabezpečení informačních systémů. Pokud nemáte pro určitou součást dokument, odpovězte na ni "ne" nebo "částečně" — nikoli na celý seznam najednou jen proto, že chybí certifikát. Jedna chybějící součást nemusí infekovat všechny ostatní odpovědi.

Příloha A a článek 21 odstavec 2 vyžadují opatření, nikoli certifikát

ISO/IEC 27001 se skládá ze dvou částí: požadavky na systém řízení a Příloha A s kontrolními opatřeními (přístup, kryptografie, dodavatelé, incidenty, kontinuita a podobně). Certifikát dokazuje, že auditor systém ověřil; není to jediný způsob, jak prokázat existenci opatření. Také článek 21 odstavec 2 směrnice NIS2 s deseti povinnými opatřeními se ptá, co organizace dělá — nikoli jaký certifikát má. U většiny seznamů otázek tedy platí: politika a ověřitelná praxe odpovídají na jádro otázky, a to i bez certifikátu ISO.