Ne, NIS2-sertifikat ne postoji. Nema institucije — nema sertifikacijskog tijela, nema nadzornog tijela, nema industrijske organizacije — koja izdaje znak kvalitete ili sertifikat kojim bi se poduzeće moglo dokazati da je "NIS2-sertificirano". Tko nudi ili prodaje takav sertifikat, prodaje nešto što zapravo ne postoji unutar sustava te Direktive.
To nije mala nijansa. NIS2 je Direktiva koju države članice preoblikuju u nacionalno zakonodavstvo s obavezom pažnje: primjerenim tehničkim i organizacijskim mjerama za upravljanje rizicima mrežnih i informacijskih sustava. Nadzorna tijela kontroliraju je li organizacija zadovoljila tu obavezu pažnje, ne je li sertifikat okačen na zid. Dakle, nema ispita, nema znaka kvalitete i nema pečata koji sama Direktiva propisuje ili priznaje.
Zašto se pitanje stalno ponavlja
Zbunjenost je razumljiva. Kod drugih propisa, pomislite na određene standarde kvalitete u gradnji ili sigurnosti hrane, postoji doista put sertifikacije s neovisnim inspektorom i važećim sertifikatom. Ponuđači koji žele komercijalnu korist od nesigurnosti oko NIS2-a na tome igraju: sugeriraju da postoji sličan put, s revizijom, izvještajem i lijepo uobličenim dokumentom na kraju. Zvuči ohrabrujuće, posebno direktoru ili upravitelju koji je upravo čuo da se "nešto mijenja" i brzo traži kontrolni popis.
Problem je što takav sertifikat, koliko god se činio uvjerljiv, nema pravnog statusa prema Direktivi ili njezinoj nacionalnoj primjeni. Nadzorno tijelo ne pita za sertifikat; gleda samo mjere, kako su dokumentirane i tko je za njih odgovoran.
Ono što doista postoji: priznati standardi, ne NIS2-pečat
Postoje međunarodno priznati standardi za sigurnost informacija, s putem sertifikacije kroz akreditiranu instituciju. Takav sertifikat dokazuje da je sustav upravljanja sigurnosti informacija uspostavljen i periodički se provjeravaju. To je vrijedno i može olakšati razgovor s nadzornim tijelom ili kupcem, jer daje strukturu i dokaze. Ali to je drugi sustav, sa svojom opsegom i vlastitekšteom, i ne pokriva automatski sve mjere koje obaveza pažnje očekuje. Tko želi točno razumjeti tu razliku, nalazi usporedbu u pregledu tema po situaciji.
Što nadzorno tijelo ili kupac zapravo očekuje
Umjesto sertifikata, obaveza pažnje traži dokazivost: može li organizacija pokazati koje su mjere poduzete, tko je odgovoran i koji dokaz uz to ide. To je manje znak kvalitete i više živući registar — dossier koji se kreće s organizacijom, s po jednom mjerom statusom i vlasником. Za tko još ne zna je li to relevantno za vlastitu organizaciju, prvi je korak obično jednostavan: pogledati sektor, veličinu i ulogu u lancu. To je besplatno i bez računa kroz nekoliko pitanja koja odmah daju naznaku.
Prema kupcima koji šalju sigurnosni upitnik, sertifikat nije najkraća cesta. Kupci obično žele vidjeti konkretne odgovore: koje su mjere poduzete, kako su organizirane, što se događa pri incidentu. Sertifikat može pri tome pomoći, ali ne zamjenjuje osnovni dokaz.
Ako se leverancer ipak nudi s "NIS2-sertifikatom"
Ako se trajektom certificiranja nudi specifično pod nazivom NIS2, razumno je kritički promatrati tko ga izdaje i na temelju kojeg standarda. Upitajte se o akreditaciji, točnom dosegu i što certifikat obuhvaća, a što ne. Revizija, penetracijski test ili certificiranje prema priznatom standardu je stručnjački rad specijaliziranih strana — to je nedvojbeno nešto drugačije od pripremanja politika, dosjea i upitnika. Kako ta priprema izgleda i odakle potječu korišteni izvori, objašnjeno je na stranici o načinu izrade informacija.
Za vašu konkretnu situaciju i pitanje je li ponuđeni certifikat usklađen s onim što zakon točno traži u vašoj zemlji, pravnik ili nadležni nadzorni organ ostaju pravo mjesto za kontakt. Ako sumnjate je li certifikat, standard ili upitnik relevantan za vašu organizaciju, to često daje pregledu često postavljanih pitanja prvi odgovor.
Želite li znati gdje vaša organizacija točno stoji, bez prodajnog govora o certifikatima koji ne postoje? Napravite besplatnu NIS2-provjeru ili pregledajte bazu znanja — oboje su dostupni bez računa.