Ne, certifikát NIS2 neexistuje. Neexistuje žádná instituce — certifikační orgán, regulátor, ani průmyslová organizace — která by vydávala osvědčení nebo značku, kterou by podnik mohl prokázat, že je "certifikován NIS2". Každý, kdo takový certifikát nabízí nebo prodává, prodává něco, co fakticky v rámci systému směrnice neexistuje.
Nejde o malou nuanci. NIS2 je směrnice, kterou členské státy transponují do národního právního předpisu obsahujícího povinnost zajistit řádné zabezpečení: vhodná technická a organizační opatření ke zvládání rizik pro sítě a informační systémy. Regulátoři kontrolují, zda organizace tuto povinnost plní, nikoliv zda má certifikát na stěně. Neexistuje tedy žádná zkouška, žádné osvědčení a žádné razítko, které by samotný právní předpis předepisoval nebo uznaval.
Proč se otázka neustále vrací
Zmatek je pochopitelný. Při jiné regulaci, například určitých normách kvality ve stavebnictví nebo bezpečnosti potravin, existuje certifikační proces s nezávislým inspektorem a platným certifikátem. Poskytovatelé, kteří chtějí komerčně těžit z nejistoty kolem NIS2, na to hrají: naznačují, že podobný proces existuje, s auditem, zprávou a pěkným dokumentem na konci. Zní to uklidňujícím způsobem, zvláště pro ředitele nebo kancelářního manažera, který právě slyšel, že se něco chystá a rychle hledá kontrolní seznam.
Problém spočívá v tom, že takový certifikát, kterýkoliv přesvědčivý může vypadat, nemá právní status podle směrnice nebo její národní transpozice. Regulátor se neptá na certifikát; dívá se na samotná opatření, jak jsou zaznamenána a kdo za ně odpovídá.
Co skutečně existuje: uznávané normy, ne razítko NIS2
Existují mezinárodně uznávané normy pro bezpečnost informací s certifikačním procesem prostřednictvím akreditované instituce. Takový certifikát dokazuje, že byl zaveden a pravidelně testován systém řízení bezpečnosti informací. To má hodnotu a může usnadnit rozhovor s regulátorem nebo odběratelem, protože poskytuje strukturu a důkazy. Jedná se však o jiný systém se svým vlastním rozsahem a vlastním auditorem a neabsorbuje automaticky každé opatření, které povinnost zajistit řádné zabezpečení očekává. Kdo chce tento rozdíl přesně pochopit, najde porovnání v přehledu témat podle situace.
Co regulátor nebo odběratel skutečně očekává
Místo certifikátu povinnost zajistit řádné zabezpečení vyžaduje prokazatelnost: může organizace ukázat, která opatření byla přijata, kdo za ně odpovídá a jaký důkaz k tomu patří. To je spíše méně osvědčení a více živý registr — spis, který se pohybuje s organizací, s každým opatřením má stav a odpovědného člověka. Pro ty, kteří ještě neví, zda je to pro jejich organizaci relevantní, je obvykle první krok jednoduchý: podívat se na sektor, velikost a roli v dodavatelském řetězci. To lze zdarma a bez účtu prostřednictvím několik otázek, které okamžitě poskytnou orientaci.
I směrem k odběratelům, kteří zasílají bezpečnostní dotazník, certifikát není nejkratší cestou. Odběratelé obvykle chtějí vidět konkrétní odpovědi: která opatření existují, jak jsou organizována, co se stane v případě incidentu. Certifikát zde může pomoci, ale nenahrazuje základní důkazy.
Pokud poskytovatel přesto nabízí "certifikát NIS2"
Pokud je nabízeno certifikační řízení konkrétně pod názvem NIS2, je rozumné se kriticky podívat na to, kdo jej vydává a na základě jaké normy. Zeptejte se na akreditaci, na přesný rozsah a na to, co certifikát pokrývá a co nikoli. Audit, penetrační test nebo certifikace podle uznávané normy je odborná práce specializovaných subjektů — je to rozhodně něco jiného než příprava politik, dokumentace a seznamů otázek. Jak taková příprava vypadá a odkud pocházejí použité zdroje, je vysvětleno na stránce o tom, jak jsou informace strukturovány.
Pro vaši specifickou situaci a otázku, zda nabízené certifikáty odpovídají tomu, co zákon ve vaší zemi přesně vyžaduje, zůstává právník nebo příslušný regulační orgán správným kontaktním místem. Pokud si nejste jisti, zda je certifikát, norma nebo seznam otázek relevantní pro vaši organizaci, přehled často kladených otázek často již poskytuje první odpověď.
Chcete vědět, kde se vaše organizace přesně nachází, bez nákupního řeči o certifikátech, které neexistují? Udělejte bezplatnou NIS2-kontrolu nebo si prohlédněte znalostní bázi — obě jsou přístupné bez účtu.