χρειάζομαι ακόμα ISO 27001 αν ήδη συμμορφώνομαι με το NIS2

Η πιστοποίηση δεν είναι υποχρεωτική, αλλά συχνά χρήσιμη

Όχι, το ISO 27001 δεν είναι απαραίτητο για τη συμμόρφωση με το Νόμο Κυβερνοασφάλειας — ο νόμος δεν απαιτεί πιστοποίηση, αλλά ένα σύνολο μέτρων. Το άρθρο 21 παράγραφος 2 της οδηγίας NIS2 αναφέρει δέκα θέματα για τα οποία ένα υπόχρεο έργο πρέπει να έχει πολιτική και μέτρα, από ανάλυση κινδύνου έως έλεγχο πρόσβασης έως διαδικασίες ειδοποίησης. Αυτή είναι μια υποχρέωση αποτελέσματος: πρόκειται για το τι έχει ρυθμιστεί, όχι για ποιο ετικέτα υπάρχει σε αυτό. Ποιος τα δέκα μέτρα από το νόμο έχει τακτοποιημένα χωρίς πιστοποιητικό, συμμορφώνεται εξίσου και αυτός που το έχει.

Ωστόσο, στην πράξη οι δύο συχνά συμπορεύονται. Το ISO 27001, και ιδίως τα μέτρα ελέγχου στο Παράρτημα A, καλύπτει ουσιαστικά πολλά από τα ίδια θέματα: διαχείριση κινδύνου, διαχείριση προμηθευτών, διαχείριση περιστατικών, έλεγχος πρόσβασης. Ένας οργανισμός που είναι ήδη πιστοποιημένος κατά ISO 27001 έχει συνήθως ήδη αποδεικτικά στοιχεία που είναι επίσης χρήσιμα για την υποχρέωση φροντίδας — το έργο είναι τότε στη μετάφραση της υπάρχουσας πολιτικής στη διάταξη του νόμου, όχι στην ανασυγκρότησή της. Αντιστρόφως: ποιος ακολουθεί το νόμο χωρίς πιστοποίηση, συχνά χτίζει ήδη ασυνείδητα ένα μεγάλο μέρος ενός συστήματος διαχείρισης ISO 27001, μόνο χωρίς τον εξωτερικό έλεγχο και το πιστοποιητικό. Για επιχειρήσεις που ζητείται από την αλυσίδα για αποδεικτική ασφάλεια — δείτε τη λίστα ελέγχου που μπορεί να επιβάλει ένας πελάτης — ένα πιστοποιητικό μετράει ως εξωτερικό απόδειξη, ενώ ένα εσωτερικό δοσιέ χωρίς πιστοποίηση μπορεί να είναι εξίσου ουσιαστικά ολοκληρωμένο, απλά λιγότερο εύκολο να επαληθευθεί για έναν τρίτο.

Πού αυτό είναι ορατό: άρθρο 21 έναντι Παραρτήματος A

Ο Νόμος Κυβερνοασφάλειας, ως ολλανδική μετάφραση της οδηγίας NIS2, δεν αναφέρει πουθενά το ISO 27001 ως υποχρεωτικό πρότυπο· το άρθρο 21 παράγραφος 2 περιγράφει τα δέκα μέτρα με τις δικές του διατυπώσεις, ανεξάρτητα από οποιοδήποτε πρότυπο πιστοποίησης. Το ISO/IEC 27001 είναι ένα προαιρετικό πρότυπο με τη δική του δομή, όπου το Παράρτημα A παρέχει μια λίστα μέτρων ελέγχου που επικαλύπτονται με αυτό που ζητά ο νόμος, αλλά δεν έχει καμία τυπική σύνδεση με αυτό. Η καθοδήγηση του NCSC σχετικά με την υποχρέωση φροντίδας επιβεβαιώνει ότι πρόκειται για αποδεικτικά μέτρα, όχι για υποχρεωτικό πιστοποιητικό.