nejsme certifikováni podle ISO 27001, co napíšu do dotazníku

Bez certifikátu stále smysluplně odpovídejte

Bez ISO 27001 si nezapíšete "ne" a neskončíte tam — odpovídáte na základní otázku věcně, pro každé opatření. Dotazník, který se ptá na certifikát, vlastně chce vědět, zda je na místě deset opatření z článku 21 odst. 2 směrnice NIS2 (analýza rizik, řešení incidentů, kontinuita podnikání, bezpečnost v řetězci, správa zranitelností, politika kryptografie, řízení přístupu, MFA a zbytek). Certifikát je jedním ze způsobů, jak to prokázat, nikoli jediným. Bez certifikátu tedy odpovídáte pro každé opatření, co skutečně máte: dokument s politikou, postup, nástroj, smluvní ujednání se subdodavatelem.

V praxi to znamená, že otázku na certifikát sám si krátce a fakticky odpovídáte — je podnikání certifikováno podle ISO 27001? popisuje, jak tu specifickou otázku bez certifikátu i tak podloží — a pak nezacházíte se následujícími otázkami. Mnoho portálů rozděluje certifikát a základní opatření na samostatné otázky; pokud si u otázky na certifikát zapíšete jen "ne" a zbytek ponecháte prázdný, příslušející osoba si vezme přesně ty informace, s nimiž si udělá své vlastní posouzení rizika. Místo toho si raději zapište každou část tím, co je skutečně přítomné, i když to není externě ověřený celek.

Kde z toho plyne: Příloha A a článek 21 odst. 2

ISO/IEC 27001 Příloha A popisuje kontrolní opatření, která musí managementový systém pokrývat, a ta opatření se z velké části překrývají s deseti kategoriemi z článku 21 odst. 2 směrnice NIS2. Příslušející osoba, která se ptá na certifikát, v podstatě prověřuje, zda ta základní opatření existují; certifikát je potvrzením třetí stranou, ale dotazník sám se často ptá také odděleně na součásti jako zásad přístupu a správy podnikových prostředků nebo postupu pro bezpečnostní incidenty. Bez certifikátu ta základní otázka zůstává, a stojí za odpověď.