nu suntem certificați ISO 27001, ce scriu atunci în chestionar

Fără certificat, totuși răspundeți substantiv

Fără ISO 27001 nu completezi "nu" și nu te oprești acolo — răspunzi la întrebarea de bază substantiv, pentru fiecare măsură. Un chestionar care întreabă despre certificat, vrea de fapt să afle dacă cele zece măsuri din articolul 21 alineatul 2 al Directivei NIS2 (analiza riscurilor, gestionarea incidentelor, continuitatea activității, securitatea lanțului de aprovizionare, gestionarea vulnerabilităților, politica de criptografie, controlul accesului, MFA și restul) sunt în regulă. Certificatul este o modalitate de a demonstra aceasta, nu singura. Fără certificat răspunzi deci pentru fiecare măsură ce ai tu: un document de politică, o procedură, un instrument, o înțelegere contractuală cu un furnizor.

În practică, aceasta înseamnă că răspunzi la întrebarea despre certificat în sine scurt și factual — este organizația certificată ISO 27001? descrii cum substanțiezi acea întrebare specifică fără certificat și că nu omiti apoi întrebările de urmărire. Multe portaluri divizează certificatul și măsurile de bază în întrebări separate; dacă completezi doar "nu" la certificat și lași restul gol, beneficiarul pierde exact informația cu care face propria sa evaluare a riscului. Completează mai degrabă fiecare secțiune cu ceea ce există de fapt, chiar dacă acela nu este un întreg evaluat extern.

De unde decurge această legătură: Anexa A și articolul 21 alineatul 2

ISO/IEC 27001 Anexa A descrie măsurile de control pe care trebuie să le acopere un sistem de management și acele măsuri se suprapun în mare măsură cu cele zece categorii din articolul 21 alineatul 2 al Directivei NIS2. Un beneficiar care întreabă despre certificat testează în fapt dacă acele măsuri de bază există; certificatul este confirmarea de către o terță parte, dar chestionarul în sine cere adesea și separat după componente cum ar fi politica de acces și gestiunea activelor de afaceri sau procedurii pentru incidente de securitateFără certificat acea întrebare de bază rămâne și merită răspunsul.