Nej, et NIS2-certifikat findes ikke. Der er ingen instans — ingen certificeringsorgan, ingen tilsynsmyndighed, ingen brancheorganisation — der udsteder et kvalitetsmærke eller certifikat, hvormed en virksomhed kan påvise, at den er "NIS2-certificeret". Hvem der tilbyder eller sælger sådan et certifikat, sælger noget, der faktisk ikke findes inden for direktivets system.
Det er ikke en lille detalje. NIS2 er et direktiv, som medlemsstater implementerer i national lovgivning med en pligt til at træffe passende tekniske og organisatoriske foranstaltninger for at håndtere risici for net- og informationssystemer. Tilsynsmyndigheder kontrollerer, om en organisation opfylder denne pligt, ikke om der hænger et certifikat på væggen. Der er derfor ingen eksamen, intet kvalitetsmærke og intet stempel, som loven selv foreskriver eller anerkender.
Hvorfor spørgsmålet kommer igen og igen
Forvirringen er forståelig. Ved anden regulering, for eksempel visse kvalitetsstandarder inden for byggeri eller fødevaresikkerhed, findes der faktisk et certificeringstrajet med en uafhængig revisor og et gyldigt certifikat. Udbydere, der kommercielt vil profitere på usikkerheden omkring NIS2, spiller ind herpå: de antyder, at der findes et tilsvarende trajet, med en revision, en rapport og et flot dokument til sidst. Det lyder beroligende, især for en direktør eller kontorleder, der lige har hørt, at der "kommer noget" og hurtigt søger en aflysningsliste.
Problemet er, at sådant et certifikat, hvor overbevisende det end ser ud, ikke har nogen juridisk status under direktivet eller dets nationale implementering. En tilsynsmyndighed spørger ikke efter et certifikat; den ser på de faktiske foranstaltninger, hvordan de er dokumenteret, og hvem der er ansvarlig for dem.
Hvad der faktisk findes: anerkendte standarder, ikke et NIS2-stempel
Der findes internationale anerkendte standarder for informationssikkerhed med et certificeringstrajet gennem et akkrediteret organ. Sådant et certifikat viser, at et informationssikkerhedsledelsessystem er etableret og periodisk kontrolleret. Det er værdifuldt og kan lette samtalen med en tilsynsmyndighed eller en aftager, fordi det giver struktur og beviser. Men det er et andet system med sin egen scope og sin egen revisor, og det dækker ikke automatisk enhver foranstaltning, som pligten forventer. Hvem der ønsker at forstå denne forskel helt præcist, finder sammenligningen i oversigten over emner pr. situation.
Hvad en tilsynsmyndighed eller aftager i stedet forventer
I stedet for et certifikat kræver pligten dokumenterbarhed: kan organisationen vise, hvilke foranstaltninger der er truffet, hvem der er ansvarlig for dem, og hvilket bevisstof der høres til? Det er mindre et kvalitetsmærke og mere et levende register — et dossier, der følger med organisationen, med status og ansvarlig for hver foranstaltning. For den, der endnu ikke ved, om dette er relevant for egen organisation, er det første skridt sædvanligvis enkelt: se på sektor, størrelse og rolle i leverandørkæden. Det kan gøres gratis og uden konto via et par spørgsmål, der straks giver en indikation.
Også over for aftager, der sender et sikkerhedsspørgeskema, er et certifikat ikke den korteste vej. Aftager ønsker typisk konkrete svar: hvilke foranstaltninger er der, hvordan er de organiseret, hvad sker der ved hændelsen. Et certifikat kan støtte hertil, men erstatter ikke det underliggende bevis.
Hvis en leverandør alligevel tilbyder et "NIS2-certifikat"
Hvis der tilbydes en certificeringsvej specifikt under navnet NIS2, er det klogt at se kritisk på, hvem der udsteder det, og på basis af hvilken standard. Spørg om akkrediteringen, om det præcise omfang og om hvad certificatet dækker og ikke dækker. En revision, en penetrationstest eller en certificering mod en anerkendt standard er specialisternes arbejde — det er markant noget helt tredje end at forberede politikker, dokumenter og spørgeskemaer. Hvordan sådan en forberedelse ser ud, og hvor de anvendte kilder kommer fra, er forklaret på siden om, hvordan informationen er struktureret.
For din egen situation og for spørgsmålet om et tilbudt certificat passer til det, loven præcist kræver i dit land, er en jurist eller den relevante tilsynsmyndighed det rigtige kontaktpunkt. Hvis du er usikker på, om et certificat, en standard eller et spørgeskema er relevant for din organisation, giver oversigten over ofte stillede spørgsmål ofte allerede et første svar.
Vil du vide, hvor din organisation præcist står uden salgsprat om certificater, der ikke findes? Foretag den gratis NIS2-check eller gennemse videnbanken — begge er tilgængelige uden konto.