NIS2 ja ISO 27001: mis vahe on?
Standard aitab, kuid ei kata täielikult. Kus need kattuvad ja kus mitte.
Seadus versus standard
NIS2 on seadusandlus: teie kuulute selle alla või ei kuulu, ja kui kuulute, on teil kohustused, mida järelevalvaja saab jõustada. ISO 27001 on standard, millele saate vabatahtlikult sertifikaadiga lasta auditoril sertifitseerida. Keegi ei saa teid selle sertifikaadi saamiseks sundida ja see ei vabasta teid seadusest.
Praktikas täiendavad need üksteist. Kes on ISO 27001 sertifitseeritud, on juba suurema osa kümneest teemast korraldanud ja dokumenteerinud, ja just see dokumenteerimine on see, kus enamik organisatsioone takerdub.
Mida standard ei kata
Kolm asja puudub. Järelevalvajale registreerimise kohustust pole standardis. Samuti puuduvad teatamiskohustused ajavahemikutega 24 tundi, 72 tundi ja üks kuu. Ja juhatuse vastutus koos koolituskohustusega on seadusandlik konstruktsioon, mida ükski standard ei saa reguleerida.
Teisest küljest nõuab standard asju, mida seadus ei nõua, näiteks täielikult dokumenteeritud juhtimissüsteemi sisemiste audititega. See on kasulik, kuid selle eest teid ei hinnata.
Mida peate tegema
Kui teil on ISO 27001, kasutage seda alusena ja täiendage, mida seadus lisaks nõuab. Kui teil seda ei ole, ärge alustage NIS2 tõttu: sertifitseerimisprotsess võtab aega üks aasta ja maksab kümneid tuhandeid eurosid ning ei anna teile seaduslikult midagi, mida te ilma selleta ei saavutaks.
Aidab see, mida standard hästi teeb: dokumenteerige, mida olete reguleerinud, omanikule ja kuupäevale viitega.
Korduma kippuvad küsimused
Nõuab minu klient ISO 27001 sertifikaati?
Juhtub nii, eriti suurematel ostjatel. Sel juhul on see lepinguliste nõude aine, mitte seaduslik. Hästi põhjendatud enda dossier võib olla mõnikord vastuvõetav alternatiiv; uurige enne, kui alustada protsessi.
Kas NEN 7510 on sama?
See on Hollandi standard tervishoiuteabe kaitseks, mis põhineb ISO 27001-l koos tervishoiuspetsiifiliste täiendustega. Sama suhe NIS2-ga kehtib: aidab küll, kuid ei kata täielikult.
Kas te viite audite või sertifitseerimist?
Ei, ja see on tahtlik. Audit on sõltumatu osapoole inimeste töö, ja kes dossied koostab, ei saa seda ka hinnata. Me struktureerime seda, mida te esitate — midagi muud mitte.
See on selgitus, mitte nõu teie enda kohta. secria.eu ei hinda teie organisatsiooni ega anna kindlustust.