nismo certificirani po ISO 27001, vendar se intenzivno ukvarjamo z varnostjo, kaj vnesem

Ne-na-certifikatu, ja-v-praksi je lahko oboje res

Ja, to je dovoljeno — če ga obravnavaš ločeno od vprašanja o samem certifikatu. Vprašanje o ISO 27001 v vprašalniku je običajno zaprto da/ne o posedovanju je potrdilo. Če ga nemaš, je »ne« dejansko pravilen odgovor na to specifično vprašanje, in nobena dodatna pojasnila pri tem ne pomagajo. Kaj pa se lahko naredi: številni vprašalniki postavljajo po ali ob vprašanju o certifikatu tudi ločena vprašanja o temeljnih ukrepih — analiza tveganja, nadzor dostopa, obravnava incidentov. Na ta vprašanja odgovoriš na njihove lastne zasluge, s svojim lastnim dokazilom, ne glede na certifikat.

Zmešnjava nastane, ker certificiranje in ukrepi zajameta isti vsebini, vendar nista sopomenki. Revizor, ki se sprehodi skozi Prilogo A, in podjetje, ki ima »preprosto« MFA, varnostne kopije in vzpostavljen proces obravnave incidentov, lahko imajo materialno iste kontrole — razlika je v tem, da ima eden neodvisno pregled in certifikat, drugi pa ne. V verižnem dosjeju zato vpišeš dve ločeni odgovori: pri vprašanju o certifikatu »ne«, pri vprašanju o npr. večfaktorska avtentifikacija ali obravnavo varnostnih incidentov dejanskega odgovora s dokazilom, ki ga zanj imaš — pravilnik, izvoz konfiguracije, opis procesa. Nikoli enega ne vpišeš kot dokaza za drugega.

Priloga A in člen 21 odstavek 2 se prekrivata, vendar nista zamenljiva

ISO/IEC 27001 Priloga A opisuje ukrepe nadzora, ki jih mora zajemati certificiran sistem upravljanja; Direktiva (EU) 2022/2555 člen 21 odstavek 2 navaja deset ukrepov, ki so po NIS2 obvezni za subjekte, ki spadajo pod to direktivo. Oba seznama omenjata upravljanje tveganja, dostop, kriptografijo in odziv na incidente, vendar je eden standard certificiranja s revizorjem, ki izvaja presojo, drugi pa je zakonodaja brez obveznosti certificiranja. »Ne« na certifikatu torej ne pove nič o tem, ali nekdo izpolnjuje člen 21 odstavek 2 — to je ločeno vprašanje, ki postane relevantno šele, ko se ugotovi, ali podjetje samo spada pod direktivo NIS2 ali Zakon o kibernetski varnosti.