mūsu klients lūdz pierādījumus pie jautājumkopas, ko man jāpiegādā

Pierādījums pieder pie atbildes, nevis pie jautājuma kopumā

Nav pastāvīga "pierādījumu pie kiberdraudzības atbildēm" saraksta — pierādījums ir atkarīgs no tā, kuras no desmit pasākumiem no NIS2 direktīvas 21. panta 2. punkta klients vaicā. Ja viņš jautā par piekļuves kontroli, tad ir piemērots izraksts no piekļuves politikas, nevis viss informācijas drošības politika. Ja viņš jautā par incidentu reaģēšanu, tad bieži pietiek ar procesu aprakstu ar eskalācijas līnijām, bez incidentu žurnāla ar detaļām. Sadalot, ņem vērā kategorijas, kas arī parādās riska analīzes politikā, procedūru drošības incidentu gadījumā un prasībās attiecībā uz pašu piegādātājiem atpakaļ: katrs pieprasa citu veidu pamatojumu.

Ja jums nav pierādījuma — piemēram, tāpēc, ka politika pastāv, bet nekad nav uzrakstīta — tad "nē" ar īsu paskaidrojumu ir godīga atbilde, nevis atsauce uz dokumentu, kura nav. ISO 27001 sertifikāts vienlaikus sedz vairākus jautājumus, bet tikai tad, ja šī sertifikāta darbības joma patiešām ietver daļas, par kurām klients jautā; pretējā gadījumā tas rada šķietamu pārliecību, kas audita laikā atgriezīsies. Tāpēc vispirms pārbaudiet, vai sertifikāts attiecas uz jautāto daļu, pirms to iesniedzat kā pierādījumu.

Kur tas izriet no: 21. panta 2. punkts un A pielikums

NIS2 direktīvas 21. panta 2. punkts nosaka desmit pasākumus, par kuriem klients parasti jautā — no riska vadības līdz piekļuves politikai līdz piegādātāju drošībai — un katram pasākumam ir savs pierādījuma veids, nevis viens apvienojošs dokuments. ISO/IEC 27001 Pielikums A satur vadības pasākumus, kurus bieži izmanto kā kontrolsarakstu, lai noteiktu, kurš pierādījums attiecas uz kuru jautājumu; sertifikāts pret šo normu tāpēc nav pamats pamatdokumentiem, bet apstiprinājums, ka tie ir pārbaudīti. Kiberdraudzības likums, NIS2 nacionālā transponēšana, stājas spēkā 2026. gada 15. augustā un satur tādu pašu sadalījumu — kuriem jau tagad vāc pierādījumus, tas ir bezjēdzīgi saskaņot ar šo struktūru.