Et ISO 27001-certifikat hjælper påviseligt med NIS2-behandlingspligten, men dækker den ikke fuldt ud. Standarden beskriver, hvordan en organisation systematisk håndterer informationssikkerhed gennem et ledelsessystem; NIS2-direktivet (især artikel 21) beskriver, hvilke konkrete foranstaltninger en væsentlig eller vigtig enhed skal træffe, og artikel 23 forpligter til at indberette hændelser til en tilsynsmyndighed. Sidstnævnte reguleres ikke af nogen ISO-standard, hvor godt certificatet ellers end er.
Forskellen ligger således ikke i kvalitet, men i formål. ISO 27001 er en frivillig standard, som en organisation kan få certificeret for at påvise, at informationssikkerhed er ordnet. NIS2 er lovgivning med en juridisk behandlingspligt, en registreringspligt og en indberetningspligt, som hver land har implementeret – i Danmark gennem lovgivningen om informationssikkerhed og cyber-sikkerhed. En virksomhed kan således være certificeret for ISO 27001 og stadig skulle træffe yderligere skridt for at opfylde de juridiske forpligtelser, og omvendt kan en virksomhed arbejde på at opfylde den juridiske behandlingspligt uden nogensinde at ville have et certifikat.
Hvor der er overlap
ISO 27001 arbejder med en risikovurdering og en liste over kontrolforanstaltninger (såkaldt Annex A), som minder stærkt om de ti foranstaltninger, som NIS2-behandlingspligten nævner: adgangskontrol, kryptering, backup, vurdering af leverandører, håndtering af hændelser og meget andet genfindes i begge. En organisation, som vedligeholder sit ISO-system seriøst, har allerede dokumentation og ansvarlige personer for mange af disse foranstaltninger. Det sparer betydeligt arbejde ved opbygningen af et dossier for behandlingspligten, og det er også præcis grunden til, at indkøbere, som sender spørgeskemaer om sikkerhed, ofte ser et ISO 27001-certifikat som et stærkt signal.
Omfanget er dog noget anderledes. ISO 27001 lader organisationen selv fastlægge omfanget af ledelsessystemet – for eksempel kun IT-afdelingen eller kun ét kontor. NIS2-behandlingspligten gælder for hele den enhed, som omfattes af loven, således som den er afgrænset af lovgiveren og sektoren. Et certifikat med begrænset omfang siger således ikke automatisk noget om resten af organisationen. Den, som ønsker at få klarhed over, hvordan denne afgrænsning udmønter sig for den egen sektor, finder det mere overskueligt via søg i emnerne efter situation end i selve standarden.
Hvor ISO 27001 ikke regulerer
To forpligtelser fra loven har ingen pendant i standarden. Den første er registreringspligten: væsentlige og vigtige enheder skal registreres hos den nationale tilsynsmyndighed med oplysninger om organisationen og dens kontaktpersoner. ISO 27001 stiller ingen krav hertil – det er en certificeringsstandard, ikke en juridisk portal.
Den anden er indberetningspligten ved hændelser. Artikel 23 i direktivet beskriver en trinvis proces for indberetning til den kompetente tilsynsmyndighed, med et første signal kort efter konstatering og efterfølgende skridt herefter. ISO 27001 kræver ganske vist en proces for håndtering af hændelser, men denne proces er internt fokuseret: den beskriver, hvordan en organisation selv håndterer en hændelse, ikke til hvem og hvornår organisationen skal rapportere det eksternt. Den, som ønsker at få præcisering af denne forskel, kan læse opgørelsen af disse frister i det tidligere artikel om indberetningspligten på dette websted.
Også måden, hvorpå leverandører vurderes, er forskellig i vægt. ISO 27001 tildeler opmærksomhed til leverandørforhold som en del af den bredere risikovurdering. NIS2-behandlingspligten gør vurdering af forsyningskæden til en eksplicit del af artikel 21, hvilket forklarer, hvorfor pligtige organisationer så kraftigt lægger dette emne over på deres MKB-leverandører gennem spørgeskemaer og kontraktvilkår.
Hvad det betyder i praksis
For en organisation, der allerede er ISO 27001-certificeret, betyder det som regel, at en stor del af dokumentationen allerede findes, men skal blot organiseres anderledes: for hver sikkerhedsmål en status, et bevisstykke og en ansvarlig, plus de tekster til registrering og anmeldelse, som standarden ikke foreskriver. For en organisation uden certificering betyder det, at de ikke nødvendigvis behøver at starte et ISO-projekt for at arbejde med sikkerhedsmålene — loven kræver foranstaltningerne, ikke certificeringen som sådan.
Hvorvidt og hvordan dette præcis påvirker en specifik organisation, afhænger af sektoren, størrelsen og rollen i leverandørkæden, og det vurderes i sidste instans af den kompetente tilsynsmyndighed eller en jurist, ikke af denne artikel. Et første indtryk får du ved at besvare et par spørgsmål for at se, hvor du står, og den, der gerne vil vide, hvordan informationen på dette websted er opbygget, og hvor kilderne kommer fra, læser det på siden om hvordan secria.eu samler informationen.
Har du efter læsningen stadig et konkret spørgsmål om din egen situation, for eksempel om hvad et certificering beviser og ikke beviser over for en kunde? Se da svarene på hyppigt stillede spørgsmål, eller start den gratis check for at se, hvilken næste skridt der passer til din organisation.