Ei, NIS2-sertifikaattia ei ole olemassa. Ei ole mitään toimivaltaa — ei sertifioivaa laitosta, ei valvontaviranomaista, ei alan järjestöä — joka myöntäisi merkkiä tai sertifikaattia, jonka avulla yritys voisi osoittaa olevansa "NIS2-sertifioitu". Kuka tahansa, joka tarjoaa tai myy tällaista sertifikaattia, myy jotain, joka ei ole todellisuudessa olemassa direktiivin sääntöjärjestelmässä.
Tämä ei ole pieni vivahde. NIS2 on direktiivi, jonka jäsenvaltiot muuttavat kansalliseksi lainsäädännöksi, jossa on huolellisuusvelvollisuus: asianmukaiset tekniset ja organisatoriset toimenpiteet verkon ja tietojärjestelmien riskien hallitsemiseksi. Valvontaviranomaiset tarkastavat, vastaako organisaatio tähän huolellisuusvelvollisuuteen, eivät sitä, onko seinällä sertifikaatti. Näin ollen ei ole tenttiä, merkkiä eikä leimaa, jota laki itse määrää tai tunnustaa.
Miksi kysymys palaa kerta toisensa jälkeen
Sekaannus on ymmärrettävää. Muissa säädöksissä, ajattele vaikkapa tiettyjä rakentamisen tai elintarviketurvallisuuden laatunormeja, on kyllä sertifiointiprosessi, jossa on riippumaton tarkastaja ja pätevä sertifikaatti. Tarjoajat, jotka haluavat hyötyä NIS2:n aiheuttamasta epävarmuudesta, pelaavat tähän: he vihjailevat vastaavasta prosessista, jonka mukana on tarkastus, raportti ja kaunis asiakirja lopussa. Se kuulostaa rauhoittavalta, etenkin johtajalle tai toimistojohtajalle, joka on juuri kuullut, että "jotain tulee" ja etsii nopeasti rasti-ruutujen listaa.
Ongelma on siinä, että tällainen sertifikaatti, kuinka vakuuttavalta se näyttääkään, ei ole oikeudellista asemaa direktiivin tai sen kansallisen toimeenpanon alaisena. Valvontaviranomainen ei kysy sertifikaattia; se katsoo itse toimenpiteitä, niiden dokumentointia ja sitä, kuka niistä vastaa.
Mitä kyllä on olemassa: tunnustetut standardit, ei NIS2-leimaa
Kansainvälisesti tunnustettuja tietoturvastandardeja on olemassa, joissa on sertifiointiprosessi akkreditoidun laitoksen kautta. Tällainen sertifikaatti osoittaa, että tietoturvan hallintajärjestelmä on otettu käyttöön ja sitä tarkastetaan säännöllisesti. Se on arvokasta ja voi helpottaa keskustelua valvontaviranomaisen tai asiakkaan kanssa, koska se tuottaa rakennetta ja näyttöä. Mutta se on eri järjestelmä, omalla soveltamisalalla ja omalla auditointilaitoksella, eikä se automaattisesti kata jokaista huolellisuusvelvollisuuden edellyttämää toimenpidettä. Joka haluaa ymmärtää tämän eron tarkasti, löytää vertailun osoitteesta tilanteittain olevia aiheita käsittelevästä yleiskatsauksesta.
Mitä valvontaviranomainen tai asiakas sitten todellakin odottaa
Sertifikaatin sijasta huolellisuusvelvollisuus edellyttää demonstroitavuutta: pystyykö organisaatio osoittamaan, mitä toimenpiteitä on toteutettu, kuka niistä vastaa ja mikä näyttö liittyy niihin. Se on vähemmän merkki ja enemmän elävä rekisteri — tiedosto, joka kehittyy organisaation mukana, ja jossa jokaisella toimenpiteellä on tila ja vastuuhenkilö. Niille, jotka eivät vielä tiedä, onko tämä heidän organisaatiolleen relevanttia, ensimmäinen vaihe on yleensä yksinkertainen: katsoa sektoria, kokoa ja roolia ketjussa. Se onnistuu ilmaiseksi ja ilman tiliä osoitteessa muutama kysymys, joka antaa heti viitteen.
Myös asiakkaille, jotka lähettävät turvallisuuskyselylomakkeen, sertifikaatti ei ole lyhin tie. Asiakkaat haluavat yleensä nähdä konkreettisia vastauksia: mitä toimenpiteitä on toteutettu, miten ne on jaettu, mitä tapahtuu poikkeaman yhteydessä. Sertifikaatti voi tukea, mutta se ei korvaa taustalla olevaa näyttöä.
Jos toimittaja tarjoaa silti "NIS2-sertifikaattia"
Jos NIS2-sertifiointi tarjotaan tietyllä nimellä, on viisasta katsoa kriittisesti, kuka sen antaa ja minkä standardin perusteella. Kysy akkreditoinnista, tarkan soveltamisalasta ja siitä, mitä sertifikaatti kattaa ja mitä ei. Auditointi, penetraatiotestaus tai sertifiointi tunnustetun standardin mukaan on erikoistuneiden osapuolten tekemää työtä — se eroaa merkittävästi politiikan, asiakirjojen ja kyselylomakkeiden valmistelemisesta. Se, miltä tällainen valmistelu näyttää ja mistä käytetyt lähteet tulevat, on selitetty osoitteessa sivulla tietoon rakenteen perustumisesta.
Omaa tilannetta ja sitä, vastaavatko tarjotut sertifikaatit sitä, mitä laki juuri maassanne kysyy, varten oikeudelliset neuvonantajat tai toimivaltainen valvontaviranomainen ovat oikeat yhteyshenkilöt. Jos epäilet, onko sertifikaatti, standardi tai kyselylomake relevantti organisaatiollesi, niin yleisen kysymysten yhteenveto antaa usein jo ensimmäisen vastauksen.
Haluatko tietää, missä organisaatiosi tarkalleen ottaen seisoo, ilman myyntipuheita olemattomista sertifikaateista? Suorita ilmainen NIS2-tarkastus tai selaa tietokantaa — molemmat ovat saatavilla ilman tiliä.