Nem, NIS2-tanúsítvány nem létezik. Nincs olyan intézmény — tanúsító szerv, felügyeleti hatóság vagy iparági szervezet —, amely tanúsítványt vagy minőségi jelet adna ki annak igazolására, hogy egy vállalat "NIS2-tanúsított". Aki ilyen tanúsítványt kínál vagy értékesít, valami olyat értékesít, amely a direktíva rendszere keretében valójában nem létezik.
Ez nem apró árnyalat. A NIS2 egy olyan direktíva, amelyet a tagállamok nemzeti jogszabályokba ültetnek át, amelyek között szerepel a gondossági kötelezettség: megfelelő műszaki és szervezeti intézkedések a hálózati és információs rendszerekre irányuló kockázatok kezelésére. A felügyeleti hatóságok azt ellenőrzik, hogy egy szervezet teljesíti-e ezt a gondossági kötelezettséget, nem azt, hogy a falomon tanúsítvány függ-e. Ezért nincs vizsga, nincs minőségi jel és nincs olyan pecsét, amelyet a törvény maga előír vagy elismer.
Miért kerül elő ismételten a kérdés
A zavar érthető. Más jogszabályok esetén, például az építőiparban vagy az élelmiszer-biztonságban érvényes bizonyos minőségi szabványoknál, létezik tanúsítási folyamat független felülvizsgáló és érvényes tanúsítvány formájában. Az olyan szolgáltatók, akik kereskedelmi előnyöket szeretnének húzni a NIS2 körüli bizonytalanságból, ennek alapján játszanak: azt sugallják, hogy létezik egy hasonló folyamat audittal, jelentéssel és szép dokumentummal a végén. Ez meggyőzően hangzik, különösen egy igazgató vagy irodavezető számára, aki éppen meghallotta, hogy "valami közeleg", és gyorsan egy ellenőrzőlistát keres.
A probléma az, hogy egy ilyen tanúsítvány, bármilyen meggyőzőnek is tűnik, jogi státusza nincs a direktíva vagy annak nemzeti átültetése alatt. A felügyeleti hatóság nem kér tanúsítványt; az intézkedéseket magát vizsgálja meg, hogyan vannak rögzítve és ki felelős értük.
Ami viszont létezik: elismert szabványok, nem pedig NIS2-pecsét
Léteznek nemzetközileg elismert szabványok az információbiztonsághoz, tanúsítési folyamattal egy akkreditált intézmény útján. Az ilyen tanúsítvány azt igazolja, hogy egy információbiztonsági managementrendszer létrejött és rendszeres felülvizsgálat alatt áll. Ez értékes és megkönnyítheti a beszélgetést egy felügyeleti hatósággal vagy egy megrendelővel, mivel szerkezetet és bizonyítékot nyújt. De ez egy másik rendszer, saját hatáskörrel és saját audittal, és nem fedi le automatikusan a gondossági kötelezettség által várt intézkedéseket. Aki ezt a különbséget pontosan szeretné megérteni, megtalálja az összehasonlítást a témák szituációnkénti áttekintésében találod meg.
Mit vár el a felügyeleti hatóság vagy a megrendelő
A tanúsítvány helyett a gondossági kötelezettség az igazolhatóságot követeli meg: képes-e a szervezet bemutatni, hogy mely intézkedéseket tette, ki felel értük és milyen bizonyíték tartozik hozzájuk. Ez kevésbé egy minőségi jel és inkább egy élő nyilvántartás — egy dosszié, amely a szervezettel változik, intézkedésenként egy státusszal és egy tulajdonossal. Aki még nem tudja, hogy ez az adott szervezete számára releváns-e, az első lépés általában egyszerű: megnézni a szektort, a méretet és a szerepet a beszerzési láncban. Ez ingyenes és fiók nélkül lehetséges néhány kérdés, amely azonnal jelzést ad.
A megrendelők felé is, akik biztonsági kérdőívet küldenek, a tanúsítvány nem a legrövidebb út. A megrendelők általában konkrét válaszokat szeretnének látni: milyen intézkedések vannak, hogyan vannak szervezve, mi történik egy incidens esetén. A tanúsítvány támogathatja ezt, de nem helyettesíti az alapul szolgáló bizonyítékot.
Ha egy szállító mégis "NIS2-tanúsítványt" kínál
Ha egy tanúsítási folyamatot kifejezetten a NIS2 név alatt kínálnak, akkor érdemes kritikusan megvizsgálni, hogy ki adja ki és milyen szabvány alapján. Kérdezzen rá az akkreditációra, a pontos hatókörre és arra, hogy a tanúsítvány mit fed le és mit nem. Az audit, penetrációs teszt vagy tanúsítás egy elismert szabvány alapján speciális szervezetek munkája — ez határozottan más, mint a politika, dossziék és kérdőívek előkészítése. Hogyan néz ki az ilyen előkészítés és honnan származnak az alkalmazott források, az alábbiak szerint van magyarázva: a információépítésről szóló oldalon.
A saját helyzeténél és abban a kérdésben, hogy a felajánlott tanúsítvány összhangban áll-e azzal, amit a törvény az Ön országában pontosan megkövetel, egy ügyvéd vagy a felelős felügyelet marad a megfelelő kapcsolattartó. Ha kétségei vannak aziránt, hogy egy tanúsítvány, szabvány vagy kérdőív releváns-e az Ön szervezete számára, akkor a gyakran ismételt kérdések áttekintése már gyakran ad első válaszadást.
Szeretné tudni, hogy szervezete pontosan hol áll, anélkül, hogy értékesítési beszédek hallanának a nem létező tanúsítványokról? Végezze el az ingyenes NIS2-ellenőrzést vagy böngészje a tudásbázist — mindkettő fiók nélkül elérhető.