NIS2 i ISO 27001: koja je razlika?
Norma pomaže, ali ne pokriva sve. Gdje se preklapaju i gdje se ne preklapaju.
Zakon nasuprot normi
NIS2 je zakonodavstvo: podliježete mu ili ne, a ako podliježete imate obaveze koje nadzorna vlast može provesti. ISO 27001 je norma koju se dobrovoljan možete certificirati kod neovisnog revizora. Nitko vas ne može prisiliti na taj certifikat, niti vas oslobađa zakona.
U praksi se međusobno dopunjuju. Tko je certificiran prema ISO 27001 ima veliki dio od deset tema već uređeno i dokumentirano, a upravo je dokumentiranje ono gdje većina organizacija zapne.
Što norma ne pokriva
Tri stvari nedostaju. Obaveza registracije kod nadzorne vlasti nema u normi. Obaveza obavijesti s rokom od 24 sata, 72 sata i mjesec dana nema ni ona. A odgovornost vodstva s obvezom osposobljavanja je zakonska konstrukcija koju nijedna norma ne može regulirati.
Obrnuto, norma zahtijeva stvari koje zakon ne zahtijeva, poput potpuno dokumentiranog sustava upravljanja s internim revizijama. To je korisno, ali nije ono na što ćete biti pozivani.
Što trebate s tim
Imate li ISO 27001, koristite ga kao temelj i dopunite ono što zakon dodatno zahtijeva. Ako ga nemate, ne započinjite radi NIS2: proces certificiranja traje godinu dana i košta deseci tisuća eura i zakonski vam ne daje ništa što ne biste mogli postići bez njega.
Ono što pomaže je raditi isto što norma čini dobro: dokumentirati što ste uredili, s vlasnikom i datumom.
Često postavljana pitanja
Traži li moj kupac ISO 27001?
To se događa, posebno kod većih kupaca. To je tada ugovorna obaveza, a ne zakonska. Dobro obrazložena vlastita dokumentacija ponekad je prihvatljiva zamjena; pitajte prije nego što započnete proces.
Je li NEN 7510 isto?
To je nizozemska norma za zaštitu informacija u zdravstvu, temeljena na ISO 27001 s dodatnim zahtjevima specifičnim za zdravstvo. Ista veza s NIS2 se primjenjuje: pomaže, ne pokriva sve.
Radite li revizije ili certificiranje?
Ne, i to je namjerno. Revizija je posao neovisne strane, a tko gradi dokumentaciju ne može je ni procjenjivati. Mi strukturiramo ono što dostavljate, ništa više.
Ovo je objašnjenje, a ne savjet o vašoj osobnoj situaciji. secria.eu ne procjenjuje vašu organizaciju i ne daje jamstva.