имам ли все още нужда от ISO 27001 ако вече отговарям на NIS2

Сертификацията не е задължителна, но често е полезна

Не, ISO 27001 не е необходим, за да отговорите на Закона за киберсигурност — законът не предписва сертификация, а набор от мерки. Член 21, параграф 2 на Директива NIS2 посочва десет области, за които организация с отговорност за защита трябва да има политика и мерки, от анализ на рисковете до управление на достъпа до процедури за докладване. Това е задължение за постигане на резултат: важното е какво е регулирано, не кой етикет е поставен върху това. Всеки, който десетте мерки от закона има в ред без сертификат, отговаря в същата степен като този, който го има.

Въпреки това на практика двете често ходят заедно. ISO 27001, и особено контролните мерки в Приложение A, покрива значително много от същия терен: управление на риска, управление на доставчиците, управление на инциденти, контрол на достъпа. Организация, която вече е сертифицирана по ISO 27001, обикновено вече има доказателства, които са полезни и за задължението за защита — работата е тогава в превеждането на съществуващата политика на структурата на закона, а не в преиграването й. И обратното: всеки, който следва закона без сертификация, често неосъзнато вече изгражда голяма част от система за управление по ISO 27001, само без външни одит и сертификат. За компании, от които се иска верифицируема сигурност чрез веригата на доставки — вижте въпросника, който клиент може да наложи — сертификатът брои като външно доказателство, докато вътрешен файл без сертификация е еднакво съдържателно убедителен, просто по-трудно за проверка за външна страна.

Където това се вижда: член 21 спрямо Приложение A

Законът за киберсигурност, като нидерландско превод на Директива NIS2, не се позовава никъде на ISO 27001 като задължителен стандарт; член 21, параграф 2 описва десетте мерки в собствени термини, независимо от какъвто и да е стандарт за сертификация. ISO/IEC 27001 е доброволен стандарт със своя собствена структура, където Приложение A предоставя списък с контролни мерки, които се припокриват с това, което се изисква от закона, но няма официално свързване с него. Информацията на NCSC за задължението за защита потвърждава, че е въпрос за верифицируеми мерки, а не за задължителен сертификат.