NIS2 и ISO 27001: каква е разликата?
Стандартът помага, но не покрива всичко. Където се припокриват и където не.
Закон срещу стандарт
NIS2 е законодателство: вие попадате под него или не, и ако попадате, имате задължения, които контролният орган може да налага. ISO 27001 е стандарт, към който можете доброволно да се сертифицирате чрез одитор. Никой не може да ви задължи да получите този сертификат и той не ви освобождава от закона.
На практика те се допълват. Всяка организация, която е сертифицирана по ISO 27001, вече е решила голяма част от десетте области и е документирала всичко, което е именно там, където повечето организации се затрудняват.
Какво стандартът не покрива
Липсват три неща. Задължението за регистрация при контролния орган не фигурира в стандарта. Също и задължението за докладване с крайни срокове от 24 часа, 72 часа и един месец. И отговорността на управителите с задължението за обучение е законодателна конструкция, която никой стандарт не може да регулира.
От другата страна, стандартът изисква неща, които законът не изисква, като напълно документирана система за управление с вътрешни проверки. Това е полезно, но не е нещо, за което ще бъдете съдени.
Какво трябва да направите
Ако имате ISO 27001, използвайте го като основа и добавете това, което законът допълнително изисква. Ако нямате, не започвайте поради NIS2 причини: процесът на сертификация отнема една година и десетки хиляди евро и ви дава законно нещо, което можете да постигнете и без него.
Това, което наистина помага, е да направите същото, което стандартът прави добре: документирайте какво сте решили, с отговорник и дата.
Често задавани въпроси
Клиентът ми иска ли ISO 27001?
Това се случва, особено при по-големи клиенти. Тогава това е договорно изискване и не законодателно. Добре обоснован собствен дossier понякога е приемливо при лернатива; попитайте преди да започнете процес.
NEN 7510 ли е същото?
Това е нидерландският стандарт за защита на информацията в здравеопазването, базиран на ISO 27001 със специфични за здравеопазването допълнения. Същото съотношение спрямо NIS2 е валидно: помага, но не покрива всичко.
Извършвате ли одити или сертификация?
Не, и това е намерено. Одитът е работа на независима страна, и някой, който изгражда дossier-а, не може да го оценява. Ние структурираме това, което предоставляте, нищо повече.
Това е обяснение, а не съвет за вашата конкретна ситуация. secria.eu не оценява вашата организация и не предоставя гаранция.