mano klientas prašo įrodymų prie klausimyno, ką turiu pateikti

Įrodymas priklauso atsakymui, ne visam klausimui

Nėra fiksuoto sąrašo "kiberneto atsakymų įrodomoji medžiaga" — įrodymas priklauso nuo to, kuriuos iš dešimties priemonių iš NIS2 direktyvos 21 straipsnio 2 dalies klientas užklausinėja. Jei jis klausinėja apie prieigos valdymą, tinka išrašas iš prieigos politikos, ne visa informacijos saugumo politika. Jei jis klausinėja apie incidento reagavimą, dažnai pakanka proceso aprašymo su eskalacijos linijomis, o ne incidento žurnalo su detalėmis. Skiriant į kategorijas, atsižvelkite į rizikos analizės politikoje, das Verfahren bei Sicherheitsvorfällen ir reikalavimus saviems tiekėjams kiekvienas keliamas skirtingas pagrindimo reikalavimas.

Jei neturi įrodymo — pavyzdžiui, todėl, kad politika egzistuoja, bet niekada nebuvo rašyta — tai "ne" su trumpu paaiškinimu yra sąžiningas atsakymas, o ne nuoroda į dokumentą, kurio nėra. ISO 27001 sertifikat vienu metu apima kelis klausimus, tačiau tik jei to sertifikato aprėptis iš tikrųjų liečia dalis, kuriomis klientas interesavosi; kitaip jis sukuria melagingą užtikrinimą, kuris grįžta audito metu. Todėl pirmiausia patikrink, ar sertifikatas taikytinas paklausytam komponentui, prieš jį naudodamas kaip įrodymą.

Iš kur tai seka: straipsnis 21 2 dalies ir A priedo

NIS2 direktyvos 21 straipsnio 2 dalis nurodo dešimt priemonių, apie kurias klientas paprastai giliau užklausinėja — nuo rizikos valdymo iki prieigos politikos iki tiekėjo saugumo — ir kiekviena priemonė turi savo rūšį įrodymą, o ne vieną visuotinį dokumentą. ISO/IEC 27001 Annex A apima saugumo kontrolės priemones, kurios dažnai naudojamos kaip kontrolinis sąrašas, siekiant nustatyti, kuris įrodymo dalis priklauso kuriam klausimui; sertifikatas pagal tą normą nėra pagrindinio dokumento pakeitimas, bet patvirtinimas, kad jie buvo tikrinti. Kibernetinio saugumo įstatymas, Nyderlandų NIS2 transponavimas, pradeda galioti 2026 m. rugpjūčio 15 d. ir apima tą patį suskirstymą — tiems, kurie jau dabar renkate įrodymus, suderinti su ta struktūra todėl nėra prarastas laikas.