nemamo ISO certifikata, kako kljub temu dobro odgovorim na to vprašanje

Ni certificiranja ni »ne«, je pa drugačna utemeljitev

Ne izpolnite samodejno »ne« pri tem vprašanju. Certifikat ISO 27001 je dokaz revizorja, da upravljavski sistem izpolnjuje standard — toda vprašanje vašega naročnika se običajno nanaša na sam ukrepe, ne na listino. Če imate politiko za nadzor dostopa, obravnavo incidentov, kontinuiteto in druge sestavne dele Priloge A standarda ISO 27001, jo lahko opišete brez trditve, da imate certifikat. Vprašanje odgovorite torej v dveh plasteh: prvo dejstvo (»ni certificirano«), nato pojasnilo (»imamo politiko, ki je usklađena z naslednjimi elementi«). Tako ostane odgovor resničen in daje naročniku kljub temu kaj uporabnega.

V praksi vprašalnik to običajno že sam loči: eno vprašanje o certifikat ISO 27001 posebej, in ločena vprašanja o temeljnih ukrepih. Odgovorite na slednja po lastnih zaslugah — na primer vprašanje o politiki dostopa in upravljanju poslovnih sredstev ali analiza tveganja in zaščita informacijskih sistemov. Če za posamezen element nimate dokumenta, tam odgovorite z »ne« ali »delno« — ne na celoten seznam hkrati, ker manjka certificirani sistem. Ena manjkajoča stvar ne sme »okužiti« vsakega drugega odgovora.

Priloga A in člen 21(2) zahtevajo ukrepe, ne certificiranja

ISO/IEC 27001 sam po sebi sestoji iz dveh delov: zahteve glede upravljavskega sistema in Priloge A z upravičenimi ukrepi (dostop, kriptografija, dobavitelji, incidenti, kontinuiteta in tako naprej). Certifikat dokazuje, da je revizor sistem pregledal; to ni edini način, da pokažete, da so ukrepi prisotni. Tudi člen 21(2) direktive NIS2 z desetimi obveznimi ukrepi sprašuje po tem, kaj počne organizacija — ne po tem, kateri certifikat ima. Za večino vprašalnikov torej velja: politika in dokazljiva praksa odgovarjata jedru vprašanja tudi brez ISO-certificirata.