mēs neesom sertificēti, bet jautājumu saraksts to tomēr prasa

Neaizpildiet sertifikātu, neizveidojot pamatojumu

Bez ISO 27001 sertifikāta jautājumā par sertificēšanu aizpildāt "nē", un tas nav problēma — sertifikāts nav obligāts, arī saskaņā ar NIS2. Svarīgi ir, vai ir pieņemti nepieciešamie pasākumi. Jūsu klienta jautājumu saraksts parasti prasa par sertifikātu kā īsāko ceļu pārbaudīt, vai jūsu riska pārvaldība ir kārtībā; bez sertifikāta to jums jāpierāda citā veidā.

Tāpēc skatieties ne tikai uz jā/nē jautājumu, bet arī uz to, kas tam seko. Bieži vien seko jautājums par konkrētiem pasākumiem: piekļuves kontrole, incidentu reaģēšana, nepārtrauktība. Tie ir tie paši jautājumi kā ISO 27001 Pielikuma A vadības pasākumi un arī tie paši jautājumi kā desmit pasākumi no NIS2 21. panta 2. punkta. Ja jūsu ketendosijē ir atbildes uz vai ir politika risku analīzei un informācijas sistēmu drošībai un uz vai ir procedūra drošības incidentiem, tad šos turpmākos jautājumus aizpildāt ar pamatotu atbildi, pat ja aiz tās nav sertifikāta. Sistēma piedāvā šo atbildi no jūsu dosija; jūs to apstiprināt pie katra jautājuma ar jā vai nē, pirms tas nonāk pie jūsu klienta portāla.

Sertifikācija un pasākumi ir divi atsevišķi jautājumi

ISO/IEC 27001 piešķir sertifikātu pamatā uz revīziju pret kontroles pasākumiem A pielikumā; NIS2 (Direktīva (ES) 2022/2555, 21. panta 2. punkts) paredz tos desmit pasākumus pašus, neatkarīgi no sertifikācijas. Nīderlandes Cybersecurity Act īsteno šo pienākumu un stājas spēkā 2026. gada 15. augustā. Klients, kurš jautā par sertifikātu, faktiski pārbauda, vai tu atbilsti pamatā esošajiem pasākumiem — sertifikāts ir pierādījuma līdzeklis, nevis pats pienākums. Tas, vai tu pats pakļauts šim pienākumam, ir atkarīgs no vai uzņēmums ietilpst NIS2 direktīvā vai tās nacionālajā transponēšanā; tas nosaka, cik nozīmīgi ir turpmākie jautājumi, arī bez sertifikāta.