Certifikát ISO 27001 pomáhá prokazatelně plnit povinnosti NIS2 v oblasti řízení kybernetických rizik, ale nekrývá je zcela. Norma popisuje, jak organizace systematicky přistupuje k bezpečnosti informací prostřednictvím systému řízení; směrnice NIS2 (zejména článek 21) popisuje konkrétní opatření, která musí přijmout podstatný nebo důležitý subjekt, a článek 23 ukládá povinnost hlásit incidenty příslušnému orgánu. Poslední jmenovanou povinnost neupravuje žádná norma ISO, bez ohledu na to, jak kvalitní je certifikát.
Rozdíl tedy nespočívá v kvalitě, ale v účelu. ISO 27001 je dobrovolná norma, kterou si může organizace nechat certifikovat, aby prokázala, že má bezpečnost informací v pořádku. NIS2 je právní předpis se zákonnou povinností řízení kybernetických rizik, registrační povinností a hlašovací povinností, která je v jednotlivých zemích převedena do národní legislativy – v České republice do zákona o kybernetické bezpečnosti. Podnik může být tedy certifikován podle ISO 27001 a přesto muset podniknout další kroky k plnění zákonných povinností, a naopak může na plnění zákonné povinnosti v oblasti řízení kybernetických rizik pracovat, aniž by si kdy přál získat certifikát.
Kde se překrývají
ISO 27001 pracuje s posouzením rizik a seznamem kontrolních opatření (tzv. přílohou A), která se silně podobají deseti opatřením, která povinnost NIS2 v oblasti řízení kybernetických rizik uvádí: řízení přístupu, šifrování, zálohování, posouzení dodavatelů, zpracování incidentů a další se v obou objevují. Organizace, která svůj systém ISO důsledně udržuje, má pro mnoho těchto opatření již připraveno doklady a určeného vlastníka. To výrazně ušetří práci při budování spisu na plnění povinnosti v oblasti řízení kybernetických rizik, a je to právě důvod, proč odběratelé, kteří zasílají dotazníky bezpečnosti, často považují certifikát ISO 27001 za silný signál.
Rozsah je však poněkud jiný. ISO 27001 nechává organizaci, aby si sama určila rozsah systému řízení – například jen oddělení IT nebo jen jednu pobočku. Povinnost NIS2 v oblasti řízení kybernetických rizik se vztahuje na celý subjekt, který podle zákona podléhá, tak jak jej definoval zákonodárce a sektor. Certifikát s omezeným rozsahem tedy automaticky nenaznačuje nic o zbytku organizace. Kdo si chce ověřit, jak se toto ohraničení v jeho sektoru promítá, najde to přehledněji prostřednictvím procházení témat podle situace než v samotné normě.
Co norma ISO 27001 neupravuje
Dvě povinnosti ze zákona nemají ekvivalent v normě. První je registrační povinnost: podstatné a důležité subjekty se musí zaregistrovat u národního regulačního orgánu s údaji o organizaci a jejích kontaktních osobách. ISO 27001 o tom nic nevyžaduje – je to certifikační norma, ne právní portál.
Druhá je hlašovací povinnost v případě incidentů. Článek 23 směrnice popisuje postupné hlášení příslušnému orgánu, s počátečním oznámením krátce po zjištění a dalšími kroky poté. ISO 27001 sice vyžaduje proces pro zpracování incidentů, ale tento proces je zaměřen interně: popisuje, jak si organizace incident sama vyřeší, ne komu a kdy o tom musí externě hlásit. Kdo si chce tento rozdíl objasnit, může si přečíst strukturu těchto lhůt v dřívějším článku o hlašovací povinnosti na tomto webu.
Také způsob, jakým jsou posuzováni dodavatelé, se liší v důležitosti. ISO 27001 věnuje pozornost vztahům s dodavateli jako součást širšího posouzení rizik. Povinnost NIS2 v oblasti řízení kybernetických rizik činí posouzení dodavatelů explicitní součástí článku 21, což vysvětluje, proč subjekty podléhající povinnostem toto téma tak důrazně vracejí svým malým a středním podnikům prostřednictvím dotazníků a smluvních požadavků.
Co to v praxi znamená
Pro organizaci, která je již certifikována podle ISO 27001, to obvykle znamená, že velká část důkazů již existuje, ale je třeba ji reorganizovat jinak: na každé opatření v rámci povinnosti péče sStatusem, dokladem a vlastníkem, plus texty pro registraci a oznámení, které norma nevyžaduje. Pro organizaci bez certifikátu to znamená, že nemusí nutně zahajovat proces podle ISO, aby splnila povinnost péče — zákon vyžaduje opatření, nikoli certifikát jako takový.
Jak se to konkrétně vyvine pro konkrétní organizaci, závisí na sektoru, velikosti a roli v dodavatelském řetězci, a nakonec to posoudí příslušný dohledový orgán nebo právník, nikoli tento článek. Počáteční představu si můžete udělat tím, že v několika otázkách uvidíte, kde stojíte, a kdo chce vědět, jak je informace na těchto stránkách strukturována a odkud pocházejí zdroje, přečte si to na stránce o jak secria.eu informace sestavuje.
Máte-li po přečtení konkrétní otázku o vaší vlastní situaci, například o tom, co certifikát dokazuje nebo neprokazuje vůči odběrateli? Podívejte se pak na odpovědi na často kladené otázky, nebo zahajte bezplatnou kontrolu, abyste viděli, který další krok se hodí pro vaši organizaci.