ISO 27001 sertifikatas padeda akivai patvirtinti NIS2 pareigų atlikusumo, bet jį visiškai neapima. Norma aprašo, kaip organizacija sistemingai vadina informacijos saugą per valdymo sistemą; NIS2 direktyva (ypač straipsnis 21) nusako konkrečias priemones, kurias turi taikyti esminės arba svarbios entitetos, o straipsnis 23 reikalauja pranešti apie incidentus priežiūros institucijai. Pastarąjį nesaugoja jokia ISO norma, kad ir kokie geri būtų sertifikatai.
Skirtumas taigi yra ne kokybėje, o tiksle. ISO 27001 yra savanoriška norma, kurią organizacija gali sertifikuoti, kad įrodytų, jog turi tvarkyti informacijos saugą. NIS2 yra teisės aktas su teisine pareiga vadinti, registracijos pareiga ir pranešimo pareiga, kurie kiekviename šalyje persikėlė – Nyderlanduose į Kibersaugumo įstatymą. Taigi, įmonė gali būti sertifikuota ISO 27001 ir vis dar turėti imtis veiksmų, kad atitiktų teisines pareigas, ir atvirkščiai, įmonė gali dirbti pagal teisę nustatytą pareigą, niekada negraudama sertifikato.
Kur yra sutapimas
ISO 27001 veikia naudodamasi rizikos vertinimu ir priemonių sąrašu (vadinamoji Priedas A), kurie labai panašūs į dešimt priemonių, kurias NIS2 pareiga nurodo: prieigos kontrolė, šifravimas, atsarginės kopijos, tiekėjų vertinimas, incidentų šalinimas ir daugiau yra abiejose. Organizacija, kuri rimtai prižiūri savo ISO sistemą, jau turi daug tų priemonių įrodymų ir atsakingą asmenį. Tai žymiai sumažina darbą, rengiant pareigos atitikties bylą, ir tai yra būtent todėl, kad pirkėjai, siunčiantys saugumo klausimynus, ISO 27001 sertifikatą dažnai laiko stipriu ženklu.
Taikymo sritis šiek tiek skiriasi. ISO 27001 leidžia organizacijai pačiai nustatyti valdymo sistemos taikymo sritį – pavyzdžiui, tik IT skyrių arba tik vieną filialą. NIS2 pareiga galioja visai entitetui, kuris patenka po šio įstatymo, kaip to nustatė įstatymų leidėjas ir sektorius. Sertifikatas su ribota taikymo sritimi taigi nesuteikia automatinio ženklo apie likutį organizacijos. Norėdamas sužinoti, kaip šis apibrėžimas atsilieptas savoje sektoriuje, rasite tai aiškiau per temų paiešką pagal situaciją nei pačioje normoje.
Kur ISO 27001 nieko nereglamentuoja
Dvi teisės nustatytos pareigos neturi ekvivalento normoje. Pirmoji yra registracijos pareiga: esminės ir svarbios entitetos turi registruotis pas nacionalinę priežiūros instituciją, nurodydamos duomenis apie organizaciją ir jos kontaktinius asmenis. ISO 27001 to nereikalauja – tai sertifikavimo norma, ne teisinis langas.
Antroji yra pranešimo pareiga dėl incidentų. Direktyvos straipsnis 23 aprašo laipsnišką pranešimo kompetentingai priežiūros institucijai procesą, iš pradžių – trumpai po atradimo ir tolimesniais žingsniais. ISO 27001 tikrai reikalauja incidento šalinimo proceso, bet tas procesas nukreiptas į vidų: jis aprašo, kaip organizacija pati prisiima incidentą, o ne tam, kam ir kada ji tai turi pranešti išorėje. Norėdamas šitą skirtumą padaryti aiškesnį, galite perskaityti tų terminų struktūrą iš ankstesnio straipsnio apie pranešimo pareigą šioje svetainėje.
Taip pat tiekėjų vertinimo būdas yra skirtingo svorio. ISO 27001 deda dėmesį į tiekėjo santykius kaip platesnės rizikos vertinimo dalį. NIS2 pareiga daro grandinės vertinimą aiškiu straipsnio 21 dalimi, kuris paaiškina, kodėl įpareigotos organizacijos šitą temą taip aiškiai keičia savų MKB tiekėjams per klausimynus ir sutarties reikalavimus.
Ką tai reiškia praktikoje
Organizacijai, kuri jau turi ISO 27001 sertifikatą, tai dažniausiai reiškia, kad didelis dalies įrodymų jau egzistuoja, tačiau juos reikia tiesiog kitaip suorganizuoti: kiekvienam rizikos valdymo matui — būsena, įrodymas ir atsakingas asuo, plius registracijos ir pranešimo tekstai, kurie nėra nustatyti standarte. Organizacijai be sertifikato tai reiškia, kad ji nebūtinai turi pradėti ISO procesą, kad atitiktų pareigą — įstatymas reikalauja matų, ne sertifikato kaip tokio.
Kaip tai konkrečiai išsidėstys konkrečiai organizacijai, priklauso nuo sektoriaus, dydžio ir vaidmens tiekimo grandinėje, ir tai galutinai nusprendžia kompetentinga priežiūros institucija arba juristas, ne šis straipsnis. Pradinį supratimą gausite atsakydami į kelias klausimus, kad pamatytumėte, kur stovite, o kas nori žinoti, kaip ši svetainė sudaryta ir iš kur perimta informacija, randa tai puslapyje apie kaip secria.eu renka informaciją.
Jei po skaitymo vis dar turite konkretų klausimą apie jūsų situaciją, pavyzdžiui, ką sertifikatas įrodo ir neįrodo gavėjui? Žiūrėkite atsakymus į dažniausiai užduodamus klausimus, arba pradėkite nemokamai patikrinimą, kad pamatytumėte, kuris tolesnysis žingsnis tinka jūsų organizacijai.