nismo certificirani, ali upitnik to ipak traži

Nemojte unijeti certifikat bez opravdanja

Bez ISO 27001-certifikata unosite "ne" u pitanje o certificiranju, što nije problem — certifikat nije obavezan, čak ni prema NIS2. Ono što je važno je jesu li temeljne mjere na mjestu. Popis pitanja vašeg klijenta obično pita o certifikatu kao najbrži način da provjeri jesu li vaš upravljanje rizicima u redu; bez certifikata to morate dokazati na drugi način.

Zato ne gledate samo na pitanje da/ne, već na ono što iza njega dolazi. Često slijedi dodatno pitanje o konkretnim mjerama: kontrola pristupa, brzo reagiranje na incident, kontinuitet. To su iste teme kao mjere kontrole Dodatka A ISO 27001 standarda, i iste teme kao deset mjera iz članka 21. stav 2. NIS2. Ako vaš lanac dokaza ima odgovore na postoji li pravilo za analizu rizika i zaštitu informacijskih sustava i na postoji li postupak za sigurnosne incidente, tada te dodatne pitanje stvarno popunite sa obrazloženim odgovorom, čak i ako nema certifikata iza toga. Sustav predlaže taj odgovor iz vašeg dosijera; vi ga potvrđujete po pitanju s da ili ne prije nego što ide na portal vašeg klijenta.

Certificiranje i mjere su dva odvojena pitanja

ISO/IEC 27001 dodjeljuje certifikat na temelju revizije prema mjerama kontrole u Dodatku A; NIS2 (Direktiva (EU) 2022/2555, članak 21. stav 2) sama nameće te deset mjera, neovisno o certificiranju. Nizozemski Zakon o kibernetskoj sigurnosti provodi tu obvezu i stupa na snagu 15. kolovoza 2026. Klijent koji pita o certifikatu zapravo provjerava jesu li ispunili temeljne mjere — certifikat je dokaz, ne uvjet sam. Padne li vaša poduzeća pod tu obvezu ovisi o jesu li poduzeća obuhvaćena NIS2-direktivom ili nacionalnom primjenom; to određuje koliko su teška dodatna pitanja, čak i bez certifikata.