Az ISO 27001 tanúsítvány kimutathatóan segít a NIS2-előírásnak való megfelelésben, de azt nem teljes mértékben fedezi. A szabvány azt írja le, hogy egy szervezet hogyan kezeli szisztematikusan az információbiztonságot egy menedzsmentrendszeren keresztül; a NIS2-irányelv (különösen a 21. cikk) azt írja le, hogy egy kritikus vagy fontos entitásnak milyen konkrét intézkedéseket kell tennie, a 23. cikk pedig kötelezi az incidensek bejelentését a felügyeleti hatóság felé. Ez utóbbit egyetlen ISO-szabvány sem írja elő, bármilyen jó legyen is az egyébként a tanúsítvány.
A különbség tehát nem a minőségben, hanem a célban rejlik. Az ISO 27001 egy önkéntes szabvány, amelyet egy szervezet tanúsíttathat annak bizonyítására, hogy az információbiztonság rendben van. A NIS2 olyan jogszabályozás, amely jogszabályi előírást tartalmaz, regisztrációs kötelezettséget és bejelentési kötelezettséget, amelyet minden ország saját maga alakított át – Hollandiában a Kiberbiztonság törvénye néven. Egy vállalat így lehet ISO 27001-tanúsított, és még mindig meg kell tennie további lépéseket a jogszabályi kötelezettségek teljesítéséhez, és fordítva, egy vállalat dolgozhat a jogszabályi előírások teljesítésén anélkül, hogy valaha is tanúsítványt szeretne.
Ahol az átfedés található
Az ISO 27001 kockázatértékelésből és egy ellenőrzési intézkedések listájából (az úgynevezett A mellékletből) működik, amely erősen hasonlít a NIS2-előírás által említett tíz intézkedésre: hozzáférés-ellenőrzés, titkosítás, biztonsági másolatok, szállítóértékelés, incidenskezelés és még sok más szerepel mindkettőben. Egy szervezet, amely komolyabban kezeli az ISO-rendszert, a legtöbb ilyen intézkedéshez már rendelkezik bizonyítékkal és felelőssel. Ez jelentősen csökkenti az előírások teljesítéséhez szükséges dossziér felépítésének munkáját, és éppen ezért azt az értékeket, akik biztonsági kérdőívet küldnek, az ISO 27001-tanúsítvány gyakran erős jelként tekintik.
A hatókör némileg eltér. Az ISO 27001 lehetővé teszi a szervezetnek, hogy maga határozza meg a menedzsmentrendszer terjedelmét – például csak az IT-osztály vagy csak egy telephelyen. A NIS2-előírás a teljes entitásra vonatkozik, amely a törvény hatálya alá tartozik, ahogyan azt a jogalkotó és az ágazat meghatározta. Ezért egy korlátozott terjedelmű tanúsítvány nem szükségszerűen mond semmit a szervezet többi részéről. Akik meg szeretnék nézni, hogyan hat ez az osztályozás a saját szektorukra, azt jobban megérthetik, ha a témákat helyzet szerint keresik meg mint magában a szabványban.
Ahol az ISO 27001 nem rendelkezik
A törvény két kötelezettségének nincs megfelelője a szabványban. Az első a regisztrációs kötelezettség: a kritikus és fontos entitásokat regisztrálni kell az országos felügyeleti hatóságnál, a szervezetre és kapcsolattartóira vonatkozó adatokkal. Az ISO 27001 erre semmit nem kér – ez egy tanúsítési szabvány, nem egy jogszabályi ablak.
A második az incidensbejelentési kötelezettség. Az irányelv 23. cikke a bejelentésnek egy fokozatos folyamatát írja le a felügyeleti hatóság felé, kezdeti jelzéssel az észlelés után röviddel és azt követő lépésekkel. Az ISO 27001 ugyan megköveteli az incidenskezelési folyamatot, de az folyamat belül irányított: azt írja le, hogy egy szervezet hogyan kezeli magában az incidenst, nem pedig kinek és mikor kell azt kívülre jelentenie. Aki ezt a különbséget élesebben szeretné látni, elolvashatja a korábbi, ezen az oldalon található, a bejelentési kötelezettségről szóló cikk határideje felépítésének részleteit.
A szállítók értékelésének módja is különbözik fontosságban. Az ISO 27001 a szállítókapcsolatokra fordít figyelmet a tágabb kockázatértékelés részeként. A NIS2-előírás a láncértékelést a 21. cikk kifejezett részévé teszi, ami magyarázza, hogy a kötelezettség alatt álló szervezetek ezt a témát olyan hangsúlyosan visszakergetik MKB-szállítóikhoz kérdőívek és szerződéses feltételek révén.
Mit jelent ez a gyakorlatban
Egy szervezet számára, amely már ISO 27001-tanúsítvánnyal rendelkezik, ez általában azt jelenti, hogy a bizonyítékok nagy része már létezik, de csak másképpen kell szervezni: gondviselési intézkedésenként egy státusz, egy bizonyítékdokumentum és egy felelős, valamint a szabályozás által nem előírt regisztrációs és bejelentési szövegek. Egy tanúsítvánnyal nem rendelkező szervezet számára ez azt jelenti, hogy nem szükséges feltétlenül ISO-projektet indítania a gondviselési kötelezettség teljesítéséhez — a törvény az intézkedéseket követeli meg, nem pedig magát a tanúsítványt.
Hogy ez egy adott szervezet számára konkrétan hogyan alakul, az a szektortól, a mérettől és az ellátási láncban betöltött szereptől függ, és ezt végső soron az illetékes felügyeleti hatóság vagy egy jogász állapítja meg, nem pedig ez a cikk. Első jelzéshez néhány kérdésre válaszolva megtudhatja, hogy hol áll, és aki szeretné megtudni, hogy ezen a weboldalon az információ hogyan épül fel, és honnan származnak a források, az elolvashatja hogyan gyűjti össze a secria.eu az információt.
Ha az olvasás után még konkrét kérdése van a saját helyzetéről, például arról, hogy a tanúsítvány mit bizonyít és mit nem az megrendelővel szemben? Nézze meg a gyakran ismételt kérdésekre adott válaszokat, vagy indítsa el az ingyenes ellenőrzést, hogy megtudja, mely következő lépés illik szervezetéhez.