Ένα πιστοποιητικό ISO 27001 βοηθά επιδεικτικά στην υποχρέωση φροντίδας της NIS2, αλλά δεν την καλύπτει πλήρως. Ο κανόνας περιγράφει τον τρόπο με τον οποίο ένας οργανισμός αντιμετωπίζει δομικά την ασφάλεια πληροφοριών μέσω ενός συστήματος διαχείρισης· η Οδηγία NIS2 (ιδίως το άρθρο 21) περιγράφει ποια συγκεκριμένα μέτρα πρέπει να λάβει μια ζωτική ή σημαντική οντότητα, και το άρθρο 23 υποχρεώνει στην αναφορά συμβάντων σε αρμόδια αρχή. Το τελευταίο δεν ρυθμίζεται από κανέναν ISO κανόνα, όσο καλό και αν είναι το πιστοποιητικό.
Η διαφορά δεν είναι λοιπόν θέμα ποιότητας αλλά σκοπού. Το ISO 27001 είναι ένας εθελοντικός κανόνας που ένας οργανισμός μπορεί να πιστοποιηθεί για να αποδείξει ότι έχει την ασφάλεια πληροφοριών σε τάξη. Το NIS2 είναι νομοθεσία με νόμιμη υποχρέωση φροντίδας, υποχρέωση εγγραφής και υποχρέωση αναφοράς, η οποία έχει μετατραπεί σε κάθε χώρα — στην Ολλανδία στο νόμο περί κυβερνοασφάλειας. Μια επιχείρηση μπορεί λοιπόν να είναι πιστοποιημένη για ISO 27001 και ακόμη να πρέπει να κάνει επιπλέον βήματα για να συμμορφωθεί με τις νόμιμες υποχρεώσεις, και αντίστροφα μια επιχείρηση μπορεί να εργάζεται για τη νόμιμη υποχρέωση φροντίδας χωρίς ποτέ να θέλει πιστοποιητικό.
Πού είναι η επικάλυψη
Το ISO 27001 λειτουργεί με αξιολόγηση κινδύνου και μια λίστα μέτρων ελέγχου (τα λεγόμενα Παράρτημα A) που μοιάζουν πολύ με τα δέκα μέτρα που αναφέρει η υποχρέωση φροντίδας NIS2: έλεγχος πρόσβασης, κρυπτογράφηση, εφεδρικές αντίγραφα, αξιολόγηση προμηθευτών, χειρισμός συμβάντων και άλλα εμφανίζονται και στα δύο. Ένας οργανισμός που διατηρεί σοβαρά το σύστημα ISO του, έχει ήδη αποδεικτικό στοιχείο και ιδιοκτήτη για πολλά από αυτά τα μέτρα. Αυτό εξοικονομεί σημαντικό έργο κατά την κατασκευή ενός αρχείου για την υποχρέωση φροντίδας, και είναι επίσης ακριβώς γιατί οι αγοραστές που στέλνουν ένα ερωτηματολόγιο ασφάλειας συχνά θεωρούν ένα πιστοποιητικό ISO 27001 ως ισχυρό σήμα.
Η εμβέλεια είναι κάπως διαφορετική. Το ISO 27001 επιτρέπει σε έναν οργανισμό να καθορίσει ο ίδιος το πεδίο εφαρμογής του συστήματος διαχείρισης — για παράδειγμα μόνο το τμήμα ΙΤ ή μόνο ένα υποκατάστημα. Η υποχρέωση φροντίδας NIS2 ισχύει για ολόκληρη την οντότητα που υπόκειται στο νόμο, όπως έχει οριοθετηθεί από τον νομοθέτη και τον κλάδο. Ένα πιστοποιητικό με περιορισμένο πεδίο εφαρμογής δεν λέει λοιπόν αυτόματα κάτι για το υπόλοιπο του οργανισμού. Όποιος θέλει να ελέγξει πώς εκείνη η οριοθέτηση λειτουργεί για τον δικό του κλάδο, θα το βρει πιο καθαρά μέσω αναζήτησης θεμάτων ανά κατάσταση παρά στον ίδιο τον κανόνα.
Πού δεν ρυθμίζει το ISO 27001
Δύο υποχρεώσεις από το νόμο δεν έχουν ισοδύναμο στον κανόνα. Η πρώτη είναι η υποχρέωση εγγραφής: ζωτικές και σημαντικές οντότητες πρέπει να εγγραφούν στην εθνική αρμόδια αρχή, με δεδομένα σχετικά με τον οργανισμό και τα στοιχεία επικοινωνίας του. Το ISO 27001 δεν ζητά τίποτα για αυτό — είναι κανόνας πιστοποίησης, όχι νόμιμη πύλη.
Η δεύτερη είναι η υποχρέωση αναφοράς συμβάντων. Το άρθρο 23 της Οδηγίας περιγράφει μια σταδιακή διαδικασία αναφοράς προς την αρμόδια αρχή, με ένα αρχικό σήμα σύντομα μετά την ανακάλυψη και περαιτέρω βήματα μετά. Το ISO 27001 ζητά πράγματι μια διαδικασία για χειρισμό συμβάντων, αλλά εκείνη η διαδικασία είναι εσωτερικά κατευθυνόμενη: περιγράφει τον τρόπο με τον οποίο ένας οργανισμός χειρίζεται ένα συμβάν μόνος του, όχι σε ποιον και πότε πρέπει να το αναφέρει εξωτερικά. Όποιος θέλει να καταστήσει αυτή τη διαφορά εμφανή, μπορεί να δει την κατασκευή εκείνων των προθεσμιών στο προηγούμενο άρθρο σχετικά με τη υποχρέωση αναφοράς σε αυτό το site.
Και ο τρόπος με τον οποίο αξιολογούνται οι προμηθευτές διαφέρει σε βάρος. Το ISO 27001 δίνει προσοχή σε σχέσεις προμηθευτών ως μέρος της ευρύτερης αξιολόγησης κινδύνου. Η υποχρέωση φροντίδας NIS2 κάνει την αξιολόγηση αλυσίδας παραγωγής ένα ρητό μέρος του άρθρου 21, γεγονός που εξηγεί γιατί οι φορείς υπό την υποχρέωση αυτό το θέμα την τοποθετούν τόσο ευδιάκριτα στους MKB προμηθευτές τους μέσω ερωτηματολογίων και συμβατικών απαιτήσεων.
Τι σημαίνει αυτό στην πράξη
Για έναν οργανισμό που είναι ήδη πιστοποιημένος κατά ISO 27001, αυτό συνήθως σημαίνει ότι ένα μεγάλο μέρος των αποδείξεων υπάρχει ήδη, αλλά πρέπει να οργανωθεί διαφορετικά: ανά μέτρο διαχείρισης κινδύνου μια κατάσταση, ένα αποδεικτικό στοιχείο και ένας υπεύθυνος, συν τα κείμενα για την εγγραφή και την ειδοποίηση που δεν προβλέπονται από το πρότυπο. Για έναν οργανισμό χωρίς πιστοποίηση, σημαίνει ότι δεν χρειάζεται αναγκαστικά να ξεκινήσει ένα διαδικασία ISO για να εργαστεί στις υποχρεώσεις του — ο νόμος ζητά τα μέτρα, όχι το πιστοποιητικό ως τέτοιο.
Το αν και πώς αυτό έχει ακριβώς εφαρμογή για έναν συγκεκριμένο οργανισμό εξαρτάται από τον τομέα, το μέγεθος και τον ρόλο στην αλυσίδα εφοδιασμού, και αυτό τελικά το κρίνει η αρμόδια αρχή εποπτείας ή ένας νομικός, όχι αυτό το άρθρο. Μια πρώτη ένδειξη λαμβάνετε μέσω απάντησης σε μερικές ερωτήσεις για να δείτε πού στέκεστε, και όποιος θέλει να γνωρίζει πώς οι πληροφορίες σε αυτή την ιστοσελίδα είναι δομημένες και από πού προέρχονται οι πηγές, διαβάζει ότι στη σελίδα σχετικά με πώς η secria.eu συγκεντρώνει τις πληροφορίες.
Εάν μετά την ανάγνωση έχετε ακόμη μια συγκεκριμένη ερώτηση σχετικά με την δική σας κατάσταση, για παράδειγμα σχετικά με το τι αποδεικνύει ένα πιστοποιητικό και τι όχι προς έναν αγοραστή; Δείτε τη απαντήσεις σε συχνές ερωτήσεις, ή ξεκινήστε τον δωρεάν έλεγχο για να δείτε ποιο είναι το επόμενο βήμα για τον οργανισμό σας.