NIS2 ir ISO 27001: koks skirtumas?
Standartmas padeda, bet jis to nepakankamas. Kur jie sutampa ir kur ne.
Įstatymas ir standartas
NIS2 yra teisės aktas: jūs jam paklūstate arba ne, ir jei paklūstate, turite įpareigojimus, kurie gali būti iš esmės šalies institucijų tikrinami. ISO 27001 yra standartas, pagal kurį galite savanoriai pasitikrinti išorinės audito įmonės. Niekas negali jūsų priversti šio sertifikato gauti, o jis jūsų nuo įstatymo neatleidžia.
Praktikoje jie vienas kitą papildo. Kas turi ISO 27001 sertifikatą, jau turėjo susitvarkyti didelę dalį dešimties temų ir jas užfiksavęs, o būtent tas fiksuojimas yra vieta, kurioje daugelis organizacijų sustringa.
Ko standartas neapima
Trys dalykai trūksta. Registracijos pareiga reguliuotojui standarte nenurodytas. Pranešimo pareiga su 24 valandų, 72 valandų ir vieno mėnesio terminais – taip pat. Ir vadovų atsakomybė su mokymosi pareiga yra teisinė konstrukcija, kurią standartas negali sutvarkyti.
Priešingai, standartas reikalauja dalykų, kurių dėl įstatymas nereikalauja, pavyzdžiui, visiškai dokumentuotos vadybos sistemos su vidiniais auditais. Tai naudinga, bet tai nėra sritis, kurioje jums priekaištaus.
Ką jūs turėtumėte daryti
Jei turite ISO 27001, naudokite jį kaip pagrindą ir papildykite tuo, ko papildomai reikalauja įstatymas. Jei to neturite, nepradėkite to dėl NIS2 priežasčių: sertifikavimo procesas trunka metus ir kainuoja dešimtis tūkstančių eurų bei teisiškai jums nieko neprideda, ko negalėtumėte pasiekti ir be to.
Tai, kas padeda, yra tų pačių dalykų darymas, kuriuos standartas gerai atlieka: užfiksavimas, ką jūs sutvarkėte, su atsakingu asmenimis ir datomis.
Dažnai užduodami klausimai
Ar mano klientas prašo ISO 27001?
Taip atsitinka, ypač didesniems pirkėjams. Tai tada yra sutartinis reikalavimas, o ne teisinis. Gerai pagrįstas savasis dossier kartais yra priimtinas pakeitimas; paklauskite prieš pradėdami procesą.
Ar NEN 7510 yra tas pats?
Tai nyderlandų informacijos saugumo standartas sveikatos priežiūroje, pagrįstas ISO 27001 su sveikatos priežiūrai specifiniais papildymais. Ta pati santykio su NIS2 logika galioja: jis padeda, jis to neapima.
Ar jūs atliekate auditus arba sertifikavimą?
Ne, ir tai yra sąmoningas pasirinkimas. Auditas yra nepriklausomos šalies darbas, ir kas kuria dossieriaus, tas negali jo ir spręsti. Mes struktūrizuojame tai, ką jūs pateikiate, ir daugiau nieko.
Tai yra paaiškinimas, o ne patarimas dėl jūsų situacijos. secria.eu nevertina jūsų organizacijos ir neteikia garantijos.