nu avem certificat ISO, cum răspund totuși bine la acea întrebare

Fără certificat nu înseamnă "nu", ci o altă justificare

Nu completați automat "nu" la această întrebare. Un certificat ISO 27001 este o dovadă din partea unui auditor că sistemul de management respectă norma — dar întrebarea subiacentă a clientului dumneavoastră se referă de obicei la măsurile în sine, nu la hârtia respectivă. Dacă aveți politici pentru controlul accesului, gestionarea incidentelor, continuitate și celelalte componente din Anexa A a ISO 27001, le puteți descrie fără a revendica certificare. Răspundeți deci la întrebare în două straturi: mai întâi faptul ("necertificat"), apoi explicația ("politici care se aliniază cu următoarele componente"). Astfel răspunsul rămâne adevărat și totuși oferă clientului ceva util.

În practică, lista de întrebări de obicei o împarte deja: o întrebare separată pentru certificatul ISO 27001 și întrebări separate pentru măsurile subiacente. Răspundeți la acestea din urmă pe meritele lor proprii — de exemplu, întrebarea despre politica de acces și gestionarea activelor afacerii sau aceea despre analiza riscurilor și securitatea sistemelor informatice. Dacă nu ai un document pentru o anumită parte, răspunde atunci "nu" sau "parțial" la aceasta — nu la întreaga listă deodată pentru că certificatul lipsește. O singură parte lipsă nu trebuie să contamineze fiecare alt răspuns.

Anexa A și articolul 21 alineatul 2 cer măsuri, nu un certificat

ISO/IEC 27001 în sine constă din două părți: cerințele pentru sistemul de management și Anexa A cu măsurile de control (acces, criptografie, furnizori, incidente, continuitate și așa mai departe). Un certificat arată că un auditor a evaluat sistemul; nu este singurul mod de a demonstra că măsurile sunt implementate. De asemenea, articolul 21 alineatul 2 din Directiva NIS2, cu cele zece măsuri obligatorii, cere ce face o organizație — nu ce certificat are. Pentru majoritatea chestionarelor se aplică deci: politici și o practică demonstrabilă răspund la esența întrebării, chiar și fără certificat ISO.