Όχι, δεν υπάρχει πιστοποίηση NIS2. Δεν υπάρχει κάποιος φορέας — κανένα πιστοποιητικό σώμα, κανένα όργανο εποπτείας, κανέναν κλαδική οργάνωση — που να εκδίδει σήμα ή πιστοποίηση με το οποίο μια επιχείρηση να μπορεί να αποδείξει ότι είναι «πιστοποιημένη σύμφωνα με NIS2». Όποιος προσφέρει ή πουλάει τέτια πιστοποίηση, πουλάει κάτι που στην πραγματικότητα δεν υπάρχει στο πλαίσιο της Οδηγίας.
Δεν είναι μια μικρή λεπτομέρεια. Το NIS2 είναι μια Οδηγία που οι κράτη μέλη μετατρέπουν σε εθνική νομοθεσία, η οποία περιλαμβάνει υποχρέωση φροντίδας: κατάλληλα τεχνικά και οργανωτικά μέτρα για τη διαχείριση των κινδύνων για δικτυακά και πληροφοριακά συστήματα. Οι φορείς εποπτείας ελέγχουν αν μια οργάνωση συμμορφώνεται με αυτή την υποχρέωση φροντίδας, όχι αν υπάρχει ένα πιστοποιητικό στον τοίχο. Δεν υπάρχει λοιπόν εξέταση, κανένα σήμα και κανένα σφραγίδα που η ίδια η νομοθεσία να προσδιορίζει ή να αναγνωρίζει.
Γιατί η ερώτηση επανέρχεται συνεχώς
Η σύγχυση είναι κατανοητή. Με άλλες κανονιστικές διατάξεις, σκεφτείτε ορισμένα πρότυπα ποιότητας στις κατασκευές ή την ασφάλεια των τροφίμων, υπάρχει πράγματι μια διαδικασία πιστοποίησης με ένα ανεξάρτητο όργανο ελέγχου και ένα έγκυρο πιστοποιητικό. Προμηθευτές που θέλουν να εκμεταλλευθούν εμπορικά την αβεβαιότητα γύρω από το NIS2 παίζουν σε αυτό: υποδηλώνουν ότι υπάρχει μια παρόμοια διαδικασία, με έναν έλεγχο, μια αναφορά και ένα όμορφο έγγραφο στο τέλος. Ακούγεται καθησυχαστικό, ειδικά για έναν διευθυντή ή διαχειριστή γραφείου που μόλις άκουσε ότι κάτι «έρχεται» και ψάχνει γρήγορα ένα μενού ελέγχου.
Το πρόβλημα είναι ότι τέτιο πιστοποιητικό, όσο πειστικό κι αν φαίνεται, δεν έχει νομική κατάσταση στο πλαίσιο της Οδηγίας ή της εθνικής μετατροπής της. Ένας φορέας εποπτείας δεν ζητάει πιστοποιητικό. Εξετάζει τα ίδια τα μέτρα, τον τρόπο που είναι τεκμηριωμένα και ποιος είναι υπεύθυνος γι' αυτά.
Τι πράγματι υπάρχει: αναγνωρισμένα πρότυπα, όχι σφραγίδα NIS2
Υπάρχουν πράγματι διεθνώς αναγνωρισμένα πρότυπα για την ασφάλεια της πληροφορίας, με μια διαδικασία πιστοποίησης από ένα κατάλληλο σώμα. Τέτιο πιστοποιητικό αποδεικνύει ότι έχει δημιουργηθεί ένα σύστημα διαχείρισης ασφάλειας πληροφοριών και ελέγχεται περιοδικά. Αυτό είναι πολύτιμο και μπορεί να διευκολύνει μέρος της συζήτησης με έναν φορέα εποπτείας ή έναν αγοραστή, επειδή παρέχει δομή και στοιχεία. Αλλά πρόκειται για ένα διαφορετικό σύστημα, με δικό του πεδίο εφαρμογής και δικό του ελεγκτή, και δεν καλύπτει αυτόματα κάθε μέτρο που η υποχρέωση φροντίδας περιμένει. Όποιος θέλει να κατανοήσει ακριβώς αυτή τη διαφορά, βρίσκει τη σύγκριση σε την επισκόπηση των θεμάτων ανά περίσταση.
Τι περιμένει πραγματικά ένας φορέας εποπτείας ή αγοραστής
Αντί για πιστοποιητικό, η υποχρέωση φροντίδας απαιτεί αποδεικτικότητα: μπορεί η οργάνωση να δείξει ποια μέτρα έχουν ληφθεί, ποιος είναι υπεύθυνος γι' αυτά και ποιο στοιχείο συνοδεύει αυτά. Είναι λιγότερο ένα σήμα και περισσότερο ένα ζωντανό αρχείο — ένα δοσσιέ που κινείται με την οργάνωση, με ανά μέτρο μια κατάσταση και έναν ιδιοκτήτη. Για όποιον δεν γνωρίζει ακόμα αν αυτό είναι σχετικό για τη δική του οργάνωση, το πρώτο βήμα είναι συνήθως απλό: εξέταση του κλάδου, του μεγέθους και του ρόλου στην αλυσίδα εφοδιασμού. Αυτό μπορεί να γίνει δωρεάν και χωρίς λογαριασμό μέσω μερικές ερωτήσεις που δίνουν αμέσως μια ένδειξη.
Και προς αγοραστές που στέλνουν λίστα ερωτήσεων ασφάλειας, ένα πιστοποιητικό δεν είναι ο συντομότερος δρόμος. Οι αγοραστές συνήθως θέλουν να δουν συγκεκριμένες απαντήσεις: ποια μέτρα υπάρχουν, πώς έχουν ανατεθεί, τι συμβαίνει σε περίπτωση περιστατικού. Ένα πιστοποιητικό μπορεί να βοηθήσει, αλλά δεν αντικαθιστά τα υποκείμενα στοιχεία.
Εάν ένας προμηθευτής προσφέρει ακόμα ένα «πιστοποιητικό NIS2»
Εάν προσφέρεται ένα πρόγραμμα πιστοποίησης συγκεκριμένα με το όνομα NIS2, είναι σκόπιμο να κοιτάξετε κριτικά ποιος το εκδίδει και σε ποια βάση. Ζητήστε την διαπίστευση, το ακριβές πεδίο εφαρμογής και τι καλύπτει και τι δεν καλύπτει το πιστοποιητικό. Ένας έλεγχος, μια δοκιμή διείσδυσης ή μια πιστοποίηση σύμφωνα με αναγνωρισμένο πρότυπο είναι έργο ανθρώπων από εξειδικευμένα κόμματα — αυτό είναι σαφώς κάτι διαφορετικό από την προετοιμασία πολιτικών, δοσσιέδων και ερωτηματολογίων. Πώς φαίνεται μια τέτοια προετοιμασία και πού προέρχονται οι πηγές που χρησιμοποιούνται, εξηγείται στη σελίδα σχετικά με τον τρόπο δομής των πληροφοριών.
Για τη δική σας κατάσταση και για το ερώτημα εάν ένα προσφερόμενο πιστοποιητικό συμφωνεί με αυτό που ζητά ακριβώς ο νόμος στη χώρα σας, ένας δικηγόρος ή η αρμόδια αρχή εποπτείας παραμένει το σωστό σημείο επαφής. Εάν έχετε αμφιβολίες για το αν ένα πιστοποιητικό, ένα πρότυπο ή ένα ερωτηματολόγιο είναι σχετικά με την οργάνωσή σας, τότε ο παρών έλεγχος προσφέρει το σύνολο των συχνών ερωτημάτων συχνά ήδη μια πρώτη απάντηση.
Θέλετε να ξέρετε πού ακριβώς βρίσκεται η οργάνωσή σας, χωρίς πρόλογο πώλησης σχετικά με πιστοποιητικά που δεν υπάρχουν; Κάντε τον δωρεάν έλεγχο NIS2 ή περιηγηθείτε στη βάση γνώσεων — και τα δύο είναι προσβάσιμα χωρίς λογαριασμό.