me ei ole ISO 27001 sertifitseeritud, mida ma küsimustikule sealt kirjutan

Sertifikaadita siiski sisuliselt vastamine

Ilma ISO 27001 sertifikaadita sa ei kirjuta "ei" ja jätad selle sinnapaika — vastadtegeliku küsimuse sisuliselt, iga meetme kohta. Küsimustik, mis sertifikaadi kohta küsib, tahab tegelikult teada, kas NIS2-direktiivi artikli 21 lõike 2 kümnest meetmest (riskianalüüs, intsidentide käsitlemine, ärikontinuaalsus, ketivaigelisuus, haavatavuste haldus, krüptograafiaalane poliitika, juurdepääsukontroll, MFA ja ülejäänud) on korrast ära. Sertifikaat on üks viis seda näidata, mitte ainuke. Ilma sertifikaadita vastad sa iga meetme kohta, mida sul on olemas: poliitikadokument, protseduur, tööriist, lepinguliste kokkulepete, mis on tehtud hankijatega.

Praktikas tähendab see, et vastad sertifikaadi enda kohta käivale küsimusele lühidalt ja faktiliselt — kas on organisatsioon ISO 27001-sertifitseeritud? kirjeldab, kuidas sa seda konkreetset küsimust ilma sertifikaadita siiski põhjendad — ja et sa seejärel järgnevaid küsimusi ei jäta vahele. Paljud portaalid jagavad sertifikaadi ja alusmaatmeid eraldi küsimusteks; kui sa kirjutad sertifikaadi kohta ainult "ei" ja jätad ülejäänu tühjaks, siis jääbab ostjale täpselt see informatsioon vahele, millega ta oma enda riski hindamist teeb. Kirjuta pigem iga osa täitesse, mis faktiliselt on olemas, isegi kui see pole välisel poolt kontrollitud tervik.

Kust see seos tuleb: Annex A ja artikli 21 lõige 2

ISO/IEC 27001 Annex A kirjeldab juhtimissüsteemi alusmeetmeid ja need meetmed kattuvad suuresti NIS2-direktiivi artikli 21 lõike 2 kümne kategooriaga. Ostja, kes sertifikaadi kohta küsib, kontrollib tegelikult, kas need alusmaatmed on olemas; sertifikaat on kinnitamine väliselt poolt, aga küsimustik ise küsib sageli ka eraldi osade kohta, näiteks juurdepääsupoliitikat ja IT-varade haldust või turvaintsidentide käsitlemise protseduurIlma sertifikaadita jääb see alusküsimus alles ja jääb see vastust vääriks.