nismo ISO 27001 certificirani, što napišem u upitnik

Bez certifikata ipak dati sadržajne odgovore

Bez ISO 27001 ne unosiš "ne" i ne stavljaš točku tamo — odgovaraš na temeljno pitanje sadržajno, po mjeri. Popis pitanja koji se pita za certifikat zapravo želi znati jesu li deset mjera iz članka 21. stavka 2. Direktive NIS2 (analiza rizika, rukovanje incidentima, kontinuitet poslovanja, sigurnost u lancu opskrbe, upravljanje ranjivostima, politika kriptografije, kontrola pristupa, MFA, i ostalo) u redu. Certifikat je jedan način da se to dokaže, ali nije jedini. Bez certifikata odgovaraš dakle po mjeri što imaš: dokument politike, postupak, alat, ugovorni dogovor s dobavljačem.

U praksi to znači da kraće i činjenično odgovoraš na samo pitanje o certifikatu — je li poduzeće ISO 27001 certificirano? opisuješ kako tu specifičnu pitanja bez certifikata ipak opravdavaš — i da potom ne preskačeš nastavna pitanja. Mnogi portali dijele certifikat i temeljne mjere na odvojena pitanja; ako samo upišeš "ne" na pitanju o certifikatu i ostaviš ostatak prazno, primatelja nedostaje upravo informacija s kojom pravi svoju vlastitu procjenu rizika. Radije upuni svaki dio s onim što faktički postoji, čak i ako to nije vanjski provjeravana cjelina.

Gdje se taj odnos javlja: Prilog A i članak 21. stavak 2.

ISO/IEC 27001 Prilog A opisuje mjere upravljanja koje sustav upravljanja mora pokrivati, a te mjere uvelike se preklapaju s deset kategorija iz članka 21. stavka 2. Direktive NIS2. Primatelj koji se pita za certifikat zapravo provjerava jesu li te temeljne mjere prisutne; certifikat je potvrda vanjske stranke, ali sam popis pitanja često se posebno pita i za dijelove kao što su politiku pristupa i upravljanje poslovnom imovinom ili postupka za sigurnosne incidente. Bez certifikata to temeljno pitanje ostaje, i ostaje vrijednosti odgovora.