Certifikat za ISO 27001 pomaže da se dokaže sukladnost s NIS2 obvezom pažnje, ali je ne pokriva u potpunosti. Norma opisuje kako organizacija strukturirano pristupa zaštiti informacija putem sustava upravljanja; NIS2 direktiva (posebno članak 21) opisuje konkretne mjere koje mora poduzeti subjekt od kritične važnosti ili važan subjekt, a članak 23 obvezuje na prijavu incidenata nadležnom tijelu. Potonje ne uređuje nijedna ISO norma, koliko god bio dobar certifikat.
Razlika dakle nije u kvaliteti nego u cilju. ISO 27001 je dobrovoljni standard koji organizacija može certificirati kako bi dokazala da ima zaštitu informacija uredu. NIS2 je zakonodavstvo s pravnom obvezom pažnje, pravnom obvezom registracije i pravnom obvezom prijave, koja je u svakoj zemlji transponirana — u Nizozemskoj u Zakon o kibernetskoj sigurnosti. Tvrtka može biti certificirana za ISO 27001 i yet biti dužna poduzeti dodatne korake kako bi udovoljila zakonskim obavezama, i obrnuto, tvrtka može raditi na zakonskoj obavi pažnje bez ikad želje da dobije certifikat.
Gdje se preklapaju
ISO 27001 radi s procjenom rizika i popisom mjera nadzora (takozvani Prilog A) koje su vrlo slične deset mjera koje NIS2 obveza pažnje spominje: kontrola pristupa, šifriranje, sigurnosne kopije, procjena dobavljača, rukovanje incidentima i još mnogo toga pojavljuju se u oboje. Organizacija koja ozbiljno održava svoj ISO sustav, za mnoge od tih mjera već ima dokaza i odgovorne osobe. To značajno smanjuje rad na izgradnji dosijea za obavu pažnje, i to je upravo razlog zašto kupci koji šalju popis sigurnosnih pitanja često ISO 27001 certifikat smatraju jakim signalom.
Opseg je malo drugačiji. ISO 27001 omogućava organizaciji da sama određuje opseg sustava upravljanja — primjerice samo IT odjel ili samo jedno mjesto. NIS2 obveza pažnje primjenjuje se na cijeli subjekt koji podpada pod zakon, kako ga je zakonodavac i sektor razgraničili. Certifikat s ograničenim opsegom dakle ne govori automatski ništa o ostatku organizacije. Tko želi provjeriti kako se ta razgraničenja primjenjuju u vlastitoj sektoru, više će se olako vratiti kroz pretraživanje po temama po situaciji nego u samoj normi.
Gdje ISO 27001 ne regulira
Dvije obveze iz zakona nemaju ekvivalent u normi. Prva je obveza registracije: subjekti od kritične važnosti i važni subjekti moraju se registrirati kod nadležnog nacionalnog tijela, s podacima o organizaciji i njezinim kontaktima. ISO 27001 o tome ništa ne pita — to je norma za certificiranje, ne pravni prozor.
Druga je obveza prijave pri incidentima. Članak 23 direktive opisuje fazirani proces prijave nadležnom tijelu, s inicijalnim signalom ubrzo nakon otkrivanja i naknadnim koracima. ISO 27001 zahtijeva proces za rukovanje incidentima, ali taj proces je interno usmjeren: opisuje kako organizacija sama rukuje incidentom, a ne komu i kada ga mora vanjski prijaviti. Tko želi biti oštri u toj razlici, može pročitati građu tih rokova u prethodnom članku o obvezi prijave na ovoj stranici.
Način na koji se dobavljači procjenjuju također se razlikuje u težini. ISO 27001 posvećuje pažnju odnosima s dobavljačima kao dijelu šire procjene rizika. NIS2 obveza pažnje čini procjenu lanca eksplicitnim dijelom članka 21, što objašnjava zašto pučita tijela to pitanje tako izričito vraćaju svojim MKB dobavljačima kroz popise pitanja i ugovorne uvjete.
Što je to u praksi značilo
Za organizaciju koja je već ISO 27001 certificirana, to obično znači da su dokazi već u velikoj mjeri dostupni, ali trebaju biti drugačije organizirani: po mjeri upravljanja rizikom status, dokaz i vlasnik, plus teksti za registraciju i prijavu koje norma ne propisuje. Za organizaciju bez certifikata to znači da ne mora nužno započeti ISO proces kako bi radila na svojoj obvezi — zakon zahtijeva mjere, a ne certifikat kao takav.
Kako se to točno odražava na specifičnu organizaciju ovisi o sektoru, veličini i ulozi u opskrbnom lancu, i to u konačnici procjenjuje nadležni nadzorni organ ili pravnik, a ne ovaj članak. Prvu indikaciju dobit ćete kroz nekoliko pitanja da vidite gdje stojite, a tko želi znati kako su informacije na ovoj stranici sastavljena i odakle dolaze izvori, čita to na stranici o kako secria.eu sastavlja informacije.
Ako nakon čitanja imate konkretno pitanje o svojoj situaciji, na primjer o tome što certifikat dokazuje ili ne dokazuje prema kupcu? Pogledajte odgovore na često postavljena pitanja, ili započnite besplatnu provjeru da vidite koji je sljedeći korak prikladan za vašu organizaciju.