NIS2 un ISO 27001: kāda ir atšķirība?
Standarts palīdz, bet to pilnībā nenosedz. Kur tie pārklājas un kur nē.
Likums pret standartu
NIS2 ir normatīvais akts: jūs tam pakļaujaties vai nē, un ja pakļaujaties, jums ir pienākumi, kurus uzraudzības iestāde var piespiest. ISO 27001 ir standarts, kuram jūs brīvprātīgi varat saņemt sertifikātu no auditora. Neviens jūs nevar piespiest šim sertifikātam, un tas jūs neatbrīvo no likuma.
Praksē viņi viens otru papildina. Kurš ir ISO 27001 sertificēts, jau ir sakārtojis un dokumentējis lielu daļu no desmit tēmām, un tieši šis dokumentēšanas darbs ir tas, kur lielākā daļa organizāciju застревает.
Ko standarts nenosedz
Trīs lietas trūkst. Reģistrācijas pienākums uzraudzības iestādei standartā nav ietverti. Paziņošanas pienākums ar 24 stundu, 72 stundu un viena mēneša termiņiem arī nav. Un valdes vadības atbildība ar apmācības pienākumu ir likuma konstrukcija, ko neviens standarts nevar noteikt.
Otrādi, standarts prasa lietas, kuras likums neprasa, piemēram, pilnībā dokumentētu vadības sistēmu ar iekšējiem auditu. Tas ir noderīgi, bet tas nav tas, par ko jūs tiesat pārrēķinātu.
Kas jums jādara ar to
Ja jums ir ISO 27001, izmantojiet to kā pamatu un papildiniet to, ko likums papildus prasa. Ja jums tā nav, neaizstāstiet to NIS2 iemeslos: sertificēšanas process ilgst gadu un desmitiem tūkstošu eiro un likuma punktu nesniedz neko, ko jūs nevarat sasniegt bez tā.
Tas, kas patiešam palīdz, ir darīt to pašu, ko standarts dara labi: dokumentēt to, kas jums ir sakārtots, ar īpašnieku un datumu.
Bieži uzdotie jautājumi
Vai mans klients prasa ISO 27001?
Tas notiek, it īpaši pie lielākiem piegādātājiem. Tad tas ir līguma nosacījums, nevis likuma. Labi pamatota pati dosseja dažreiz ir pieņemams alternatīvs; jautājiet, pirms sākat procesu.
Vai NEN 7510 ir tas pats?
Tas ir Nīderlandes norma informācijas drošībai veselības aprūpē, pamatojoties uz ISO 27001 ar veselības aprūpes specifiskiem papildinājumiem. Tāda pati attiecība pret NIS2 attiecas: tas palīdz, tas to pilnībā nenosedz.
Vai jūs veicat auditus vai sertificēšanu?
Nē, un tas ir apzināts. Audits ir neatkarīgas puses cilvēka darbs, un tas, kurš veidoja dossiju, to nevar arī novērtēt. Mēs strukturējam to, ko jūs iesniedzat, tikai tas.
Šis ir skaidrojums, nevis padoms par jūsu situāciju. secria.eu nenovērtē jūsu organizāciju un nedod jokus.