A NIS2 és az ISO 27001: mi a különbség?
A szabvány segít, de nem fedi le az egészet. Ahol átfedésben vannak és ahol nem.
Egy törvény az egyik oldalon, egy szabvány a másikon
A NIS2 jogszabály: alá tartozik vagy nem, és ha igen, akkor kötelezettségei vannak, amelyeket a felügyeleti hatóság érvényre juttathat. Az ISO 27001 egy szabvány, amelynek betartásához önkéntesen tanúsítást kérhet egy auditortól. Senki sem kötelezheti erre az igazolványra, és nem ment fel a törvény alól.
A gyakorlatban kiegészítik egymást. Aki ISO 27001-re tanúsított, már szabályozta a tíz téma nagy részét és dokumentálta azt, és éppen ez a dokumentálás az, ahol a legtöbb szervezet elakad.
Mit nem fed le a szabvány
Három dolog hiányzik. A felügyeleti hatóságnál történő regisztrációs kötelezettség nincs a szabványban. A bejelentési kötelezettség a 24 órás, 72 órás és egy hónapos határidőkkel sem. A vezetői felelősség a tanulmányi kötelezettséggel pedig egy törvényi konstrukció, amelyet egyetlen szabvány sem tudhat szabályozni.
Fordítva: a szabvány olyan dolgokat követel meg, amelyeket a törvény nem, például egy teljes körűen dokumentált irányítási rendszert belső auditokkal. Ez hasznos, de ez nem az, amit Ön miatt elszámoltatnak.
Mit tegyen ezzel
Van ISO 27001? Használja alapul és egészítse ki azt, amit a törvény még megkövetel. Nincs? Ne kezdje el NIS2 miatt: egy tanúsítási folyamat egy év és több tízezer euró, és nem ad azt, amit törvényileg el nem érhet másként.
Amit segít, az ugyanaz, amit a szabvány jól csinál: dokumentálja, amit rendeztetett, egy tulajdonossal és egy dátummal.
Gyakran ismételt kérdések
Az ügyfelem ISO 27001 tanúsítást kér?
Előfordul, különösen nagyobb megrendelőknél. Ez szerződéses követelmény, nem törvényi. Egy jól alátámasztott saját dossié néha elfogadható alternatíva; kérdezzen rá, mielőtt elkezd egy folyamatot.
A NEN 7510 ugyanez?
Ez a hollandiai szabvány az információbiztonsághoz az egészségügyben, az ISO 27001 alapján kifejlesztve az egészségügyre specifikus kiegészítésekkel. Ugyanez a viszony érvényes a NIS2-re: segít, de nem fedi le az egészet.
Ti végeztek auditot vagy tanúsítást?
Nem, és szándékosan. Az audit egy független fél feladata, és aki felépíti a dossziét, az nem ítélheti meg azt. Mi strukturáljuk, amit Ön nyújt be, semmi több.
Ez magyarázat, nem tanács az Ön saját helyzetéről. A secria.eu nem értékeli az Ön szervezetét, és nem nyújt garanciát.