Не, NIS2-сертификат не съществува. Няма органи — няма сертифициращо учреждение, няма надзорен орган, няма браншово сдружение — които издават знак за съответствие или сертификат, с който дадено предприятие може да докаже, че е "NIS2-сертифицирано". Всеки, който предлага или продава такъв сертификат, продава нещо, което фактически не съществува в системата на директивата.
Това не е малко нюанс. NIS2 е директива, която страните-членки трансформират в национално законодателство със задължение за редност: подходящи технически и организационни мерки за управление на рисковете към мрежовите и информационните системи. Надзорните органи проверяват дали дадена организация изпълнява това задължение за редност, а не дали има сертификат на стената. Следователно няма изпит, няма знак за съответствие и няма печат, който самият закон предписва или признава.
Защо въпросът постоянно се повтаря
Объркването е разбираемо. При други нормативни документи, като например определени стандарти за качество в строителството или безопасност на храните, всъщност съществува процес на сертификация с независим инспектор и валиден сертификат. Доставчици, които искат да правят комерческа гара от несигурността около NIS2, играят на това: те предлагат, че съществува подобен процес с одит, доклад и хубав документ в края. Звучи успокояващо, особено за управител или офис-мениджър, който новосъслови, че идва "нещо" и бързо си потърси контролен списък.
Проблемът е, че такъв сертификат, колкото и убедителен да изглежда, няма правен статус според директивата или нейната национална трансформация. Надзорният орган не иска сертификат; той гледа самите мерки, как са установени и кой е отговорен за тях.
Какво всъщност съществува: признати стандарти, не NIS2-печат
Наистина съществуват международно признати стандарти за информационна безопасност със сертификационен процес чрез акредитирано учреждение. Такъв сертификат показва, че е установена система за управление на информационната безопасност и се тества периодично. Това е ценно и може да улесни разговора с надзорния орган или клиента, защото дава структура и доказателство. Но това е друга система със своя обхват и свой одитор, и не покрива автоматично всяка мярка, която задължението за редност изисква. Всеки, който иска да разберем точно това разлика, намира сравнението в преглед на темите по ситуация.
Какво всъщност очаква надзорният орган или клиентът
Вместо сертификат, задължението за редност изисква демонстрируемост: може ли организацията да покаже кои мерки са предприети, кой е отговорен за тях и какво доказателство към това принадлежи. Това е по-малко знак за съответствие и повече жив регистър — един файл, който движи организацията, с状态 и собственик за всяка мярка. За тези, които все още не знаят дали това е релевантно за собствената организация, първата стъпка обикновено е проста: разглеждане на браншата, размера и ролята в веригата. Това може да стане безплатно и без профил чрез няколко въпроса, които веднага дават показание.
По отношение на клиентите, които изпращат анкета за безопасност, сертификатът също не е най-краткия път. Клиентите обикновено искат да видят конкретни отговори: кои мерки има, как са организирани, какво се случва при инцидент. Сертификатът може да помогне, но не замества основното доказателство.
Ако доставчик все пак предлага "NIS2-сертификат"
Ако се предлага определен сертификационен процес специално под името NIS2, разумно е да разгледате критично кой го издава и на база на какъв стандарт. Попитайте за акредитацията, за точния обхват и за това какво покрива сертификатът и какво не. Одит, тест на проникване или сертификация по признат стандарт е работа на специализирани страни — това е явно различно от подготовката на политики, досиета и въпросници. Как изглежда такава подготовка и откъде идват използваните източници, е обяснено на страницата за начина, по който е структурирана информацията.
За вашата собствена ситуация и за въпроса дали предложен сертификат отговаря на точното, което законодателството във вашата страна изисква, юрист или компетентният надзорен орган остават правилната точка на контакт. Ако усъмнявате дали сертификат, стандарт или въпросник е релевантен за вашата организация, то преглед с често задавани въпроси често вече дава първи отговор.
Желаете ли да знаете точното положение на вашата организация, без продажни разговори за сертификати, които не съществуват? Направете безплатната NIS2-проверка или разгледайте базата от знания — и двете са достъпни без акаунт.