Ne, NIS2 sertifikas neegzistuoja. Nėra jokios institucijos — nėra sertifikacinės įstaigos, nėra priežiūros organo, nėra verslo asociacijos — kuri išduotų kokį nors sertifikatą ar žymą, leidžiančią įmonei parodyti, kad ji yra "NIS2 sertifikuota". Kas tokį sertifikatą siūlo ar parduoda, parduoda ką nors, kas iš esmės neegzistuoja direktyvos sistemoje.
Tai nėra mažas niuansas. NIS2 yra direktyva, kurią valstybės narės perkeičia į nacionalinį teisės aktą, kuriame yra pareiga dėl priežiūros: tinkamos techninės ir organizacinės priemonės siekiant valdyti tinklo ir informacijos sistemų rizikus. Priežiūros organai tikrina, ar organizacija atitinka šią pareigą dėl priežiūros, o ne ar ant sienos kabo sertifikas. Todėl nėra jokio egzamino, jokios žymos ir jokio antspūdo, kurį pati teisė nustatytų arba pripažintų.
Kodėl klausimas nuolat iškyla
Painiava yra suprantama. Taikant kitą teisės aktų reikalavimus, pavyzdžiui, tam tikrus statybos kokybės standartus ar maisto saugą, iš tiesų egzistuoja sertifikavimo procesas su nepriklausomu inspektoriumi ir galimu sertifikatu. Pasiūlytojai, norintys komercinės naudos iš neaiškulumo aplink NIS2, tai panaudoja: siūlo, kad egzistuoja panašus procesas su auditu, ataskaita ir gražiu dokumentu pabaigoje. Tai skamba ramiai, ypač direktoriui ar biuro vadovei, kurie ką tik išgirdo, kad kažkas "greitai atsitiks" ir ieško greito kontrolinio sąrašo.
Problema ta, kad toks sertifikas, kad ir kiek įtikinamai atrodytų, neturi jokio juridinio statuso pagal direktyvą ar jos nacionalinę transpoziciją. Priežiūros organas nereikalauja sertifikato; jis žiūri į pačias priemones, kaip jos yra nustatytos ir kas už jas atsakingas.
Kas iš tiesų egzistuoja: pripažinti standartai, ne NIS2 žyma
Iš tiesų egzistuoja tarptautinai pripažinti informacijos saugumo standartai, turintys sertifikavimo procesą per akredituotą įstaigą. Toks sertifikas rodo, kad buvo sukurta informacijos saugumo vadybos sistema ir ji periodiškai patikrinama. Tai vertinga ir gali palengvinti pokalbį su priežiūros organu ar pirkėju, nes suteikia struktūrą ir įrodymą. Tačiau tai yra kita sistema, turinti savo taikymo sritį ir savo auditorių, ir ji automatiškai neapima kiekvienos priemonės, kurios pareiga dėl priežiūros tikisi. Kas nori tiksliai suprasti šį skirtumą, randa palyginimą temų apžvalgą pagal situaciją.
Ką priežiūros organas ar pirkėjas tikisi
Vietoj sertifikato pareiga dėl priežiūros reikalauja įrodomumo: ar organizacija gali parodyti, kokios priemonės buvo imtasi, kas už tai atsakingas ir kokis įrodymas prie to prisėdimas. Tai mažiau žyma ir daugiau gyvo registro — dossier, judančio su organizacija, su kiekviena priemone turint statusą ir atsakingą asmenį. Tiems, kurie dar nežino, ar tai yra svarbu jų organizacijai, pirmasis žingsnis dažniausiai paprastas: pažiūrėti į sektorių, dydį ir vaidmenį tiekimo grandinėje. Tai galima padaryti nemokamai ir be sąskaitos per kelis klausimus, kurie iš karto duoda rodiklį.
Tiekėjams, gausiems saugumo klausimyną nuo pirkėjo, sertifikas taip pat nėra trumpiausi kelias. Pirkėjai paprastai nori pamatyti konkrečius atsakymus: kokios yra priemonės, kaip jos nustatytos, kas nutinka incidento atveju. Sertifikas gali tai palaikyti, bet nepadaro neaktualios pagrindinės įrodie.
Jei tiekėjas vis dėlto siūlo "NIS2 sertifikatą"
Jei sertifikavimo procesas yra siūlomas specialiai pagal NIS2 pavadinimą, tikslinga kritiškai pažvelgti į tai, kas jį išduoda ir pagal kokią normą. Paprašykite akreditacijos, tikslios apimties ir to, ką sertifikatas apima ir ko neapima. Auditas, saugumo testas arba sertifikavimas pagal pripažintą normą yra specialistų darbas — tai yra aiškiai skirtinga nuo politikos, dokumentacijos ir klausimynų paruošimo. Kaip tokia paruoša atrodo ir iš kur gaunami šaltiniai, paaiškinta puslapyje, kuriame aprašoma, kaip sudaroma informacija.
Jei reikalaujama jūsų situacijos ir klausimo, ar siūlomas sertifikatas atitinka tai, ką įstatymas jūsų šalyje tiksliai reikalauja, teisininkam arba atitinkamai priežiūros institucijai lieka tinklamiausias kontaktinis taškas. Jei abejojate, ar sertifikatas, norma ar klausimynas yra aktualūs jūsų organizacijai, dažnai užduodamų klausimų apžvalgoje dažnai jau suteikia pirmą atsakymą.
Norite sužinoti, kur tiksliai yra jūsų organizacija, be pardavimo žodžių apie sertifikatus, kurie neegzistuoja? Atlikite nemokamą NIS2 patikrą arba naršykite žinių bazę — abi yra prieinamos be paskyros.