NIS2 και ISO 27001: ποια είναι η διαφορά;
Το πρότυπο βοηθά, αλλά δεν το καλύπτει πλήρως. Πού επικαλύπτονται και πού όχι.
Ένας κανονισμός έναντι ενός προτύπου
Το NIS2 είναι κανονισμός: υπόκειστε σε αυτόν ή όχι, και εάν υπόκειστε έχετε υποχρεώσεις που ένας ρυθμιστικός φορέας μπορεί να επιβάλει. Το ISO 27001 είναι ένα πρότυπο στο οποίο μπορείτε να πιστοποιηθείτε εθελοντικά από έναν ελεγκτή. Κανείς δεν μπορεί να σας υποχρεώσει να λάβετε αυτό το πιστοποιητικό, και δεν σας απαλλάσσει από τον κανονισμό.
Στην πράξη συμπληρώνουν ο ένας τον άλλον. Εάν έχετε ISO 27001 πιστοποίηση έχετε ήδη ρυθμίσει και τεκμηριώσει ένα μεγάλο μέρος των δέκα θεμάτων, και αυτό το τεκμηρίωση είναι ακριβώς το σημείο στο οποίο περισσότερες οργανώσεις δυσκολεύονται.
Ό,τι το πρότυπο δεν καλύπτει
Τρία πράγματα λείπουν. Η υποχρέωση εγγραφής στον ρυθμιστικό φορέα δεν περιλαμβάνεται στο πρότυπο. Ούτε η υποχρέωση δήλωσης με τις προθεσμίες 24 ωρών, 72 ωρών και ενός μήνα. Και η ευθύνη διευθυντικών στελεχών με την υποχρέωση κατάρτισης είναι μια ρυθμιστική δομή που κανένα πρότυπο δεν μπορεί να ρυθμίσει.
Αντιστρόφως, το πρότυπο ζητά πράγματα που ο κανονισμός δεν ζητά, όπως ένα πλήρως τεκμηριωμένο σύστημα διαχείρισης με εσωτερικούς ελέγχους. Αυτό είναι χρήσιμο, αλλά δεν είναι κάτι για το οποίο θα κριθείτε ρυθμιστικά.
Τι πρέπει να κάνετε με αυτά
Εάν έχετε ISO 27001, χρησιμοποιήστε το ως βάση και συμπληρώστε ό,τι ο κανονισμός ζητά επιπλέον. Εάν δεν το έχετε, μην ξεκινήσετε για λόγους NIS2: ένα πρόγραμμα πιστοποίησης διαρκεί ένα χρόνο και δεκάδες χιλιάδες ευρώ και σας δίνει ρυθμιστικά τίποτα που δεν μπορείτε να επιτύχετε και χωρίς αυτό.
Αυτό που βοηθά είναι το ίδιο που κάνει καλά το πρότυπο: να τεκμηριώνετε ό,τι έχετε ρυθμίσει, με κάποιον υπεύθυνο και μια ημερομηνία.
Συχνές ερωτήσεις
Ο πελάτης μου ζητά ISO 27001;
Αυτό συμβαίνει, ιδίως με μεγαλύτερους αγοραστές. Είναι τότε μια συμβατική απαίτηση και όχι ρυθμιστική. Ένα καλά τεκμηριωμένο δικό σας αρχείο είναι μερικές φορές αποδεκτό εναλλακτικό· ρωτήστε πριν ξεκινήσετε ένα πρόγραμμα.
Είναι το NEN 7510 το ίδιο;
Αυτό είναι το ολλανδικό πρότυπο για ασφάλεια πληροφοριών στον χώρο της υγειονομικής περίθαλψης, βασισμένο στο ISO 27001 με κλινικές προσθήκες. Η ίδια σχέση με το NIS2 ισχύει: βοηθά, δεν το καλύπτει πλήρως.
Πραγματοποιείτε ελέγχους ή πιστοποίηση;
Όχι, και αυτό είναι σκόπιμο. Ένας έλεγχος είναι δουλειά ανθρώπων από ένα ανεξάρτητο μέρος, και όποιος κατασκευάζει το αρχείο δεν μπορεί να το αξιολογήσει επίσης. Δομούμε αυτό που υποβάλλετε, τίποτα περισσότερο.
Αυτό είναι εξήγηση, όχι συμβουλή σχετικά με τη δική σας κατάσταση. Το secria.eu δεν αξιολογεί τον οργανισμό σας και δεν παρέχει διασφάλιση.