Ei, NIS2-sertifikaat ei ole olemas. Ei ole ühtegi asutust — ei sertifitseerivat asutust, ei järelevalveasutust, ei erialalist organisatsiooni —, kes väljastaks tunnustust või sertifikaat, millega saaks ettevõte tõestada, et ta on "NIS2-sertifitseeritud". Kes sellist sertifikaat pakub või müüb, müüb midagi, mis tegelikult direktiivist lähtuvalt ei ole olemas.
See pole väike nüanss. NIS2 on direktiiv, mille liikmesriigid rakendavad rahvuslikuks seadusandluseks, mis sisaldab hoolsuskohustust: asjakohaseid tehislikke ja organisatsioonilisi meetmeid võrgu- ja infosüsteemide riskide maandamiseks. Järelevalveasutused kontrollivad, kas organisatsioon hoolsuskohustust täidab, mitte seda, kas sertifikaat seinale riputatud on. Seega ei ole olemas eksamit, tunnustust ega templist, mida seadus ise nõuab või tunnustab.
Miks küsimus ikka uuesti esile tuleb
Segadus on mõistetav. Muude õigusaktide puhul, näiteks mingite kvaliteedinormide korral ehituses või toiduohutuses, on tõepoolest sertifitseerimismenetlus iseseisvate kontrollija ja kehtiva sertifikaadiga. Pakkujad, kes tahavad NIS2-i ümber valitseva ebakindlusega äraliselt tulu teenida, mängivad selle peale: nad viitavad, et on olemas sarnane menetlus auditiga, aruandega ja kaunite dokumentidega lõpus. See kõlab rahustavam, eriti juhile või kantselei juhatajale, kes just kuulis, et "miski on tulemas" ja kiiresti kontrolllista otsib.
Probleem on see, et selline sertifikaat, olenemata sellest, kui veenev ta välja näeb, ei ole direktiivi või selle rahvusliku rakendamise alusel õiguslikult kehtiv. Järelevalveasutus ei küsi sertifikaat; see vaatleb meetmeid ise, nende kirjapanemist ja selle, kes nende eest vastutab.
Mis tõepoolest on olemas: tunnustatud standardid, mitte NIS2-templi
On olemas rahvusvaheliselt tunnustatud standardid infosüsteemi turvalisusele, millega kaasneb sertifitseerimismenetlus akrediteeritud asutuse kaudu. Selline sertifikaat tõestab, et infosüsteemi turvalisuse juhtimissüsteem on kehtestatud ja perioodiliselt kontrollitud. See on väärtuslik ja võib vestlust järelevalveasutuse või ostjaga kergendada, sest see annab struktuuri ja tõendid. Kuid see on muu süsteem, omaette ulatusega ja omaette audiitoriga, ja see ei katvad automaatselt iga meetme, mida hoolsuskohustus eeldab. Kes seda erinevust täpselt mõista tahab, leiab võrdluse iga olukorra teemade ülevaates.
Mida järelevalveasutus või ostja siis tegelikult ootab
Sertifikaadi asemel nõuab hoolsuskohustus tõestatavust: kas organisatsioon saab näidata, millised meetmed on võetud, kes nende eest vastutab ja milline tõendusdokument sellega kaasneb. See on vähem tunnustus ja rohkem reaalajas register — fail, mis organisatsiooniga kaasa käib, mille kohta iga meetmele on olek ja vastutaja. Kes pole veel kindel, kas see enda organisatsiooni jaoks oluline on, alustab tavaliselt lihtsalt: vaatab sektori, suuruse ja rolli tarneahelas. Seda saab tasuta ja ilma kontota külastades paar küsimust, mis kohe märguannust annavad.
Ka ostjatele, kes turvalisuskysimustiku saadavad, pole sertifikaat lühim tee. Ostjad tahavad tavaliselt konkreetseid vastuseid näha: millised meetmed on olemas, kuidas need käideldakse, mis juhtub intsidendi korral. Sertifikaat võib seda toetada, kuid ei asenda alustavat tõendit.
Kui tarnija pakubki "NIS2-sertifikaat"
Kui NIS2 nime all pakutakse konkreetset sertifitseerimisrada, on mõttekas kriitiliselt vaadata, kes selle väljastab ja millise standardi alusel. Küsige akreditatsiooni, täpset ulatust ja seda, mida sertifikaat katab ja mida mitte. Audit, penetratsioonitestimine või sertifitseerimine tunnustatud standardi järgi on spetsialiseeritud osapoolte inimtöö — see on selgelt midagi muud kui poliitika, failide ja küsimustikute ettevalmistamine. Kuidas selline ettevalmistamine välja näeb ja kust kasutatavad allikad pärinevad, on lahti seletatud lehel kuidas informatsioon on struktureeritud.
Oma olukorra ja küsimuse osas, kas pakutud sertifikaat vastab sellele, mida seadus teie riigis täpselt nõuab, on jurist või pädev järelevalveasutus õige kontaktisik. Kui te kahtlete, kas sertifikaat, standard või küsimustik on teie organisatsiooni jaoks asjakohane, annab korduma kippuvate küsimuste ülevaade sageli juba esimese vastuse.
Kas soovite teada, kus teie organisatsioon täpselt asub, ilma sertifikaatide müügipuhume, mis ei eksisteeri? Tehke tasuta NIS2-kontroll või lehitsege teadmusbaasi — mõlemad on juurdepääsetavad ilma kontota.