nie mamy certyfikacji ISO 27001, ale dużo robimy w dziedzinie bezpieczeństwa, co mam wpisać

Nie-na-certyfikacie, tak-w-praktyce mogą być oba prawdziwe

Tak, wolno ci — pod warunkiem że traktujesz to niezależnie od pytania o sam certyfikat. Pytanie o ISO 27001 w kwestionariuszu to zwykle zamknięte tak/nie dotyczące posiadania certyfikatu. certifikatJeśli go nie masz, wówczas "nie" jest faktycznie prawidłową odpowiedzią na to konkretne pytanie, i żadne wyjaśnienie tu nie pomoże. Co natomiast może: wiele kwestionariuszy zawiera pytania — po lub obok pytania o certyfikat — dotyczące konkretnych środków: analizy ryzyka, kontroli dostępu, obsługi incydentów. Na te pytania odpowiadasz na ich własnych zasadach, z własnymi dowodami, niezależnie od certyfikatu.

Zamieszanie wynika stąd, że certyfikacja i środki dotyczą tej samej zawartości, ale nie są synonimami. Audytor przechodzący przez Załącznik A i przedsiębiorstwo, które "zwyczajnie" wdrożyło MFA, kopie zapasowe i proces obsługi incydentów, mogą mieć materialnie te same kontrole — różnica polega na tym, że jeden przeszedł niezależną ocenę i ma certyfikat, drugi nie. W ketendossier wpisanego zatem dwie niezależne odpowiedzi: przy pytaniu o certyfikat "nie" oraz przy pytaniu o np. uwierzytelnianie wieloskładnikowe lub obsługę incydentów bezpieczeństwa faktyczną odpowiedź ze stosownym dowodem — dokument polityki, export konfiguracji, opis procesu. Nigdy nie wpisuj jedno jako dowód drugiego.

Załącznik A i artykuł 21 ust. 2 nakładają się, ale nie są wymienne

ISO/IEC 27001 Załącznik A opisuje środki kontrolne, które musi pokrywać certyfikowany system zarządzania; Dyrektywa (UE) 2022/2555 artykuł 21 ust. 2 wymienia dziesięć środków obowiązkowych zgodnie z NIS2 dla podmiotów podlegających tej dyrektywie. Obie listy wymienią zarządzanie ryzykiem, dostęp, kryptografię i reagowanie na incydenty, lecz jedno to norma certyfikacyjna z audytorem przeprowadzającym ocenę, drugie to prawo bez obowiązku certyfikacji. "Nie" na certyfikacie nic zatem nie mówi o tym, czy ktoś spełnia artykuł 21 ust. 2 — to oddzielne pytanie, które staje się istotne dopiero po ustaleniu, czy przedsiębiorstwo samo podlega Dyrektywie NIS2 lub Ustawie o cyberbezpieczeństwie.