vi är inte ISO 27001-certifierade, vad skriver jag då i enkäten

Svara innehållsligt utan certifikat

Utan ISO 27001 fyller du inte i "nej" och stannar där — du besvarar den underliggande frågan innehållsligt, per åtgärd. En frågelista som frågar om certifikatet vill egentligen veta om de tio åtgärderna från artikel 21 stycke 2 i NIS2-direktivet (riskanalys, incidenthantering, affärskontinuitet, försörjningskedjans säkerhet, sårbarhetshantering, kryptografiepolicy, åtkomstkontroll, MFA och övriga) är på plats. Certifikatet är ett sätt att visa det, men inte det enda. Utan certifikat besvarar du därför per åtgärd vad du faktiskt har: ett policydokument, en procedur, ett verktyg, ett avtal med en leverantör.

I praktiken betyder det att du besvarar frågan om själva certifikatet kort och faktiskt — är organisationen ISO 27001-certifierad? beskriver hur du underbygger den specifika frågan utan certifikat — och att du sedan inte hoppar över följdfrågorna. Många portaler delar upp certifikatet och de underliggande åtgärderna i separata frågor; om du endast fyller i "nej" på certifikatfrågan och lämnar resten tomt, missar mottagaren precis den information han behöver för sin egen riskbedömning. Fyll hellre i varje del med vad som faktiskt finns på plats, även om det inte är ett externt granskat helhet.

Var detta sambandet kommer från: Annex A och artikel 21 stycke 2

ISO/IEC 27001 Annex A beskriver de kontrollåtgärder som ett ledningssystem måste täcka, och dessa åtgärder överlappar i stor utsträckning de tio kategorierna i artikel 21 stycke 2 i NIS2-direktivet. En mottagare som frågar om certifikatet testar i praktiken om dessa underliggande åtgärder finns; certifikatet är bekräftelsen från en extern part, men själva frågelistan frågar ofta också separat efter komponenter som åtkomstpolicy och hantering av företagstillgångar eller proceduren för säkerhetsincidenter. Utan certifikat kvarstår den underliggande frågan, och den är fortfarande värd att besvaras.