ISO 27001 sertifikaat aitab demonstreeritavalt NIS2 hoolduskohustusega, kuid ei kata seda täielikult. Standard kirjeldab, kuidas organisatsioon tegeleb infosisesuse struktureeritud käsitlemisega juhtimissüsteemi kaudu; NIS2 direktiiv (eriti artikkel 21) kirjeldab, milliseid konkreetseid meetmeid peab rakendama oluline või oluline üksus, ja artikkel 23 kohustab teatama intsidentidest pädevale järelevalveasutusele. Viimast ei reguleerida ühegi ISO standardiga, olenemata sellest, kui hea sertifikaat muul juhul on.
Erinevus ei seisneta kõrgust, vaid eesmärgis. ISO 27001 on vabatahtlik standard, mille alusel võib organisatsioon lasta end sertifitseerida, et tõendada, et tema infosisesus on korrektne. NIS2 on õigusakt, millel on õiguslik hoolduskohustus, registreerimiskohustus ja teatamisplikt, mis on iga riigi poolt üle võetud — Hollandis Cybersecurityseaduse (Cyberbeveiligingswet) kaudu. Ettevõte võib siis olla sertifitseeritud ISO 27001 jaoks ja siiski peavad tegema samme õiguslike kohustuste täitmiseks, ja vastupidi võib ettevõte töötada õigusliku hoolduskohustusega, ilma et kunagi sertifikaati tahaks.
Kus on kattuvus
ISO 27001 töötab riskihinnanguga ja kontrollmeetmete loendiga (nn lisa A), mis meenutavad tugevasti kümmet meetmet, mida NIS2 hoolduskohustus nimetab: ligipääsu kontroll, krüpteerimine, varukoopiaid, hankijate hindamine, intsidendi käsitlus ja palju muud on mõlemas olemas. Organisatsioon, kes oma ISO-süsteemi tõsiselt hooldab, on paljude nende meetmete jaoks juba tõendi ja omaniku dokumenteerinud. See kokkuhoid olulisel määral tööd hoolduskohustuse dokumendi koostamisel ja see on ka täpselt põhjus, miks ostjad, kes saadavad turvalisuse küsimustiku, peavad ISO 27001 sertifikaati sageli tugevaks signaaliks.
Ulatus on siiski pisut erinev. ISO 27001 lubab organisatsioonil ise määrata juhtimissüsteemi ulatuse — näiteks ainult IT-osakond või ainult üks kohvi. NIS2 hoolduskohustus kehtib kogu üksusele, kes kuulub seaduse alla, nagu seadusandja ja sektor on määratlenud. Sertifikaat piiratud ulatusega ei näita seega automaatselt midagi ülejäänud organisatsioonist. Kes tahab teada, kuidas see määratlemine oma sektori jaoks välja näeb, leiab selle selgemalt üles läbi teemade otsimine olukorra kaupa kui standardist endale.
Kuidas ISO 27001 ei reguleeri
Kaks õigusseadusest tulenevat kohustust ei oma normi ekvivalenti. Esimene on registreerimiskohustus: olulised ja olulised üksused peavad registreeruma riikliku järelevalveasutuse juures, andmetega organisatsiooni ja tema kontaktisikute kohta. ISO 27001 ei küsi selle kohta midagi — see on sertifitseerimisstandard, mitte õiguslik värav.
Teine on teatamiskohustus intsidentide puhul. Direktiivi artikkel 23 kirjeldab toimingute astmelist protsessi, kus teatamine pädevale järelevalveasutusele toimub varsti pärast avastamist ja järgnev samm seejärel. ISO 27001 küsib küll intsidendi käsitlemise protsessi, kuid see protsess on siseselt suunatud: see kirjeldab, kuidas organisatsioon intsidenti ise käsitleb, mitte kellele ja millal ta seda väljaspool teatama peab. Kes tahab seda erinevust teravalt näha, saab neid tähtaegu lugeda selle saidi varasemast artiklist teatamiskohustuse kohta.
Ka viis, kuidas hankijaid hinnatakse, erineb kaalus. ISO 27001 pöörab tähelepanu hankijasuhetele kui laiema riskihinnanguga seotud osale. NIS2 hoolduskohustus teeb tarneahela hindamise artikli 21 selgeks osaks, mis selgitab, miks kohustuslikud organisatsioonid seda teemat nii selgesti jäävad oma MKB-hankijate juurde küsimustike ja lepinguliste nõuete kaudu.
Mida see praktikas tähendab
Organisatsiooni puhul, mis on juba ISO 27001-sertifitseeritud, tähendab see tavaliselt seda, et suur osa tõendusmaterjalist on juba olemas, kuid see tuleb lihtsalt teisiti organiseerida: iga riskijuhtimise abinõu kohta olek, tõendusmaterjal ja vastutav isik, pluss registreerimise ja teatamise tekstid, mida norm ei nõua. Organisatsiooni puhul, millel sertifikaati pole, tähendab see seda, et ta ei pea tingimata ISO-programmi alustama, et töötada riskijuhtimisettevõtmiste kallal — seadus nõuab abinõusid, mitte sertifikaati kui sellist.
Selle puhul, kuidas see konkreetsele organisatsioonile täpselt välja käib, sõltub sektorist, suurusest ja rollist toiteahelas, ja lõpuks hindab seda pädev järelevalveasutus või jurist, mitte käesolev artikkel. Esmase ülevaate saad mõne küsimusega näha, kus sa seisad, ja kes soovib teada, kuidas selle saidi teave on koostatud ja kust allikad pärinevad, loeb seda lehel kuidas secria.eu teabe kokku paneb.
Kui teil on pärast lugemist konkreetne küsimus oma olukorra kohta, näiteks selle kohta, mida sertifikaat tõestab ja mida mitte ostja suunal? Vaadake siis vastuseid korduma kippuvatele küsimustele, või alustage tasuta kontrolli, et näha, milline järgnev samm teie organisatsiooni jaoks sobib.