nismo ISO 27001 certificirani, ali puno radimo na sigurnosti, što trebam ispuniti

Ne-na-certifikatu, da-u-praksi može biti oboje točno

Da, to smijete — pod uvjetom da to tretirате odvojeno od samog pitanja o certifikatu. ISO 27001 pitanje u upitnicima obično je zatvoreno da/ne pitanje o posjedovanju certifikatAko to nemate, tada je "ne" faktički točan odgovor na to specifično pitanje, i nikakav naputak tu ne pomaže. Što pak može pomoći: mnogi upitnici postavljaju nakon ili pored pitanja o certifikatu i odvojena pitanja o temeljnim mjerama — analiza rizika, kontrola pristupa, rukovanje incidentima. Na njih odgovarate prema njihovim vlastitim meritama, sa vlastitim dokazima, neovisno o certifikatu.

Zabuna nastaje jer su certifikacija i mjere sadržajno povezani, ali nisu sinonimi. Revizor koji prolazi kroz Dodatak A i poduzeće koje je "samo" uvelo MFA, sigurnosne kopije i proces rukovanja incidentima mogu materijalno imati iste kontrole — razlika je u tome što jedan ima nezavisnu provjeru i certifikat, a drugi nema. U lancnom dosjeju dakle napišete dva odvojena odgovora: na pitanje o certifikatu "ne", a na pitanje npr. autentifikacija s više čimbenika ili rukovanje sigurnosnim incidentima faktički odgovor sa dokazom koji za to imate — dokument politike, izvoz konfiguracije, opis procesa. Nikada jedino ne stavljajte kao dokaz za drugo.

Dodatak A i članak 21 stavak 2 se preklapaju, ali nisu zamjenjivi

ISO/IEC 27001 Dodatak A opisuje mjere kontrole koje mora pokrivati certificirani sustav upravljanja; Direktiva (EU) 2022/2555 članak 21 stavak 2 navodi deset mjera koje su prema NIS2 obavezne za subjekte koji spadaju pod tu direktivu. Obje liste spominju upravljanje rizikom, pristup, kriptografiju i odgovor na incidente, ali jedna je norma certifikacije sa revizorem koji provjerava, a druga je zakonodavstvo bez obveze certifikacije. "Ne" na certifikatu dakle ništa ne govori o tome jesu li ljudi u skladu s člankom 21 stavkom 2 — to je odvojeno pitanje, koje postaje relevantno tek kada se utvrdi spadaju li pod NIS2 direktivu ili Zakon o kibernetskoj sigurnosti.