NIS2 a ISO 27001: jaký je rozdíl?
Norma pomáhá, ale není komplexní. Kde se překrývají a kde se rozcházejí.
Zákon versus norma
NIS2 je legislativa: buď na ni podléháte, nebo ne, a pokud podléháte, máte povinnosti, které může dozorný orgán prosazovat. ISO 27001 je norma, kterou se můžete dobrovolně nechat certifikovat auditorem. Nikdo vás k tomuto certifikátu nemůže nutit a nezprostí vás zákona.
V praxi se navzájem doplňují. Kdo je certifikován podle ISO 27001, má již vyřešenu a zdokumentovánu velkou část deseti oblastí, a právě toto zdokumentování je to, na čem se zaseká většina organizací.
Co norma nepokrývá
Chybí tři věci. Povinnost registrace u dozorného orgánu v normě není obsažena. Stejně tak povinnost hlášení s lhůtami 24 hodin, 72 hodin a jeden měsíc. A odpovědnost vedení společně s povinností školení je právní konstrukce, kterou norma nemůže upravit.
Naopak norma vyžaduje věci, které zákon nevyžaduje, jako je kompletně zdokumentovaný systém řízení s interními audity. To je užitečné, ale není to to, za co vás bude soud zatresťován.
Co s tím dělat
Máte-li ISO 27001, použijte jej jako základ a doplňte to, co zákon vyžaduje navíc. Pokud jej nemáte, nezačínejte s ním z důvodů NIS2: certifikační proces trvá rok a stojí desítky tisíc eur a právně vám nepřinese nic, co byste nemohli dosáhnout bez něj.
Co skutečně pomáhá, je dělat totéž, co norma dělá dobře: zdokumentovat, co jste vyřešili, s označením odpovědné osoby a datem.
Často kladené otázky
Žádá po mně můj klient ISO 27001?
Stává se to, zejména u větších odběratelů. Jde pak o smluvní požadavek, nikoli zákonný. Dobře podložený vlastní dossier je někdy přijatelnou alternativou; zeptejte se na to dříve, než zahájíte proces.
Je NEN 7510 totéž?
Jde o nizozemskou normu pro bezpečnost informací ve zdravotnictví, založenou na ISO 27001 se specifickými zdravotnickými doplňky. Stejný vztah k NIS2 platí: pomáhá, ale není komplexní.
Provádíte audity nebo certifikaci?
Ne, a to je vědomé rozhodnutí. Audit je práce nezávislé strany, a kdo sestavuje dossier, nemůže jej zároveň posuzovat. My strukturujeme to, co vy dodáte, nic víc.
Jedná se o vysvětlení, nikoli o radu ohledně vaší konkrétní situace. secria.eu vaši organizaci neposuzuje a neposkytuje ujištění.