Сертификат за ISO 27001 помага видимо при отговорността за киберсигурност по NIS2, но не я покрива напълно. Стандартът описва как една организация системно подхожда към защитата на информацията чрез система за управление; Директива (EU) 2022/2555 (по-специално член 21) описва кои конкретни мерки трябва да предприемат критичните или важните образувания, а член 23 наложава задължението за докладване на инциденти на надзорния орган. Последното не е регламентирано в нито един ISO стандарт, колкото и добро да е сертификатът.
Разликата е в целта, а не в качеството. ISO 27001 е доброволен стандарт, който организация може да сертифицира, за да докаже, че защитата на информацията й е в ред. NIS2 е законодателство със законодателна отговорност за киберсигурност, задължение за регистрация и задължение за докладване на инциденти, което всяка страна е преобразила в национален закон — в Нидерландия със Закона за киберсигурността. Фирма може да бъде сертифицирана за ISO 27001 и все още да трябва да предприеме стъпки, за да изпълни законовите задължения, и обратно — фирма може да работи върху законовата отговорност без да желае някога сертификат.
Където съществува съвпадението
ISO 27001 работи с оценка на риска и списък контролни мерки (така наречената Приложение A), които силно приличат на десетте мерки, които отговорността по NIS2 посочва: контрол на достъпа, криптография, резервни копия, оценка на доставчици, управление на инциденти и други се появяват в двете. Организация, която сериозно поддържа своята ISO система, вече има доказателство и отговорник за много от тези мерки. Това спестява значителна работа при разработване на досие за отговорността, и това е именно защо купувачи, които изпращат списък с въпроси относно киберсигурността, често разглеждат ISO 27001 сертификат като силен сигнал.
Обхватът е донякъде различен. ISO 27001 позволява на организацията да определи самостоятелно обхвата на системата за управление — например само IT отдела или само един клон. Отговорността по NIS2 се отнася за цялото образувание, което попада под закона, както е определено от законодателя и сектора. Сертификат с ограничен обхват не казва задължително нещо за останалата част на организацията. Кой желае да провери как тази делимитация функционира за своята собствена сектор, ще я намери по-ясно чрез търсене в темите по ситуация отколкото в самия стандарт.
Където ISO 27001 не регламентира нищо
Две задължения от закона нямат еквивалент в стандарта. Първото е задължението за регистрация: критичните и важните образувания трябва да се регистрират при национално надзорния орган със сведения за организацията и нейните контактни лица. ISO 27001 не иска нищо по това — това е стандарт за сертификация, не правно окончателно място.
Второто е задължението за докладване при инциденти. Член 23 на Директивата описва поетапен процес на докладване на компетентния надзорен орган, с начално съобщение кратко след откриване и следващи стъпки след това. ISO 27001 изисква процес за управление на инциденти, но този процес е вътрешно насочен: описва как организация самостоятелно отговаря на инцидент, а не на кого и кога трябва да го докладва външно. Кой желае да разясни остро тази разлика, може да прочете развитието на тези периоди в по-ранния член относно задължението за докладване на този сайт.
И начинът, по който се оценяват доставчици, се различава по значение. ISO 27001 обръща внимание на отношения с доставчици като част от по-широката оценка на риска. Отговорността по NIS2 прави оценката на веригата изрично част от член 21, което обяснява защо пълнозависимите организации толкова ясно връщат този предмет на своите MKB доставчици чрез списъци с въпроси и договорни условия.
Какво означава това на практика
За организация, която вече е сертифицирана по ISO 27001, това обикновено означава, че голяма част от доказателствата вече съществуват, но трябва да бъдат преорганизирани по различен начин: за всяка мярка от задълженията за грижа — статус, доказателство и отговорен — плюс текстовете за регистрация и докладване, които стандартът не предписва. За организация без сертификат това означава, че не е задължително да започне ISO процес, за да работи върху задълженията за грижа — законът изисква мерките, а не самия сертификат.
Как точно това се развива за конкретна организация, зависи от сектора, размера и ролята в веригата на доставки, и това в крайна сметка преценяват компетентният надзорен орган или юрист, а не този статия. Първоначална представа получавате, като отговорите на няколко въпроса, за да видите где стойте, а всеки, който иска да знае как информацията на този сайт е структурирана и откъде идват източниците, чете това на страницата за как secria.eu събира информацията.
Ако след прочитането имате конкретен въпрос за вашата собствена ситуация, например за това какво един сертификат доказва и не доказва към купувача? Погледнете отговорите на често задавани въпроси, или започнете безплатната проверка, за да видите какъв е следващият етап за вашата организация.