Nē, NIS2 sertifikāts nepastāv. Nav tādas instances — nav sertificēšanas institūcijas, nav uzraudzības iestādes, nav nozares organizācijas —, kas izdod kvalitātes zīmi vai sertifikātu, ar kuru uzņēmums varētu pierādīt, ka tas ir "NIS2 sertificēts". Ikviens, kas piedāvā vai pārdod tādu sertifikātu, pārdod kaut ko, kas faktiski direktīvas sistēmā nepastāv.
Tas nav mazsvarīga nianses. NIS2 ir direktīva, ko dalībvalstis pārvērš nacionālajā tiesību aktus, kas paredzēja pienākumu veikt atbilstošus tehniskos un organizatoriskus pasākumus, lai pārvaldītu riskus tīkliem un informācijas sistēmām. Uzraudzības iestādes pārbauda, vai organizācija izpilda šo pienākumu, nevis vai sienā ir sertifikāts. Tāpēc nav eksāmena, nav kvalitātes zīmes un nav zīmoga, ko pati likumdošana prasa vai atzīst.
Kāpēc šis jautājums pastāvīgi parādās
Neskaidrības ir saprotamas. Citiem noteikumiem, piemēram, noteiktiem kvalitātes standartiem būvniecībā vai pārtikas drošībā, pastāv sertificēšanas procedūra ar neatkarīgu inspektoru un spēkā esoša sertifikātu. Sniedzēji, kas vēlas gūt komerciālu labumu no nenoteiktības ap NIS2, to izmanto: viņi ieteic, ka pastāv līdzīga procedūra ar auditu, atskaiti un skaistā dokumenta beigās. Tas izklausās pārliecinoši, jo īpaši direktoram vai biroja vadītājam, kurš nesen dzirdēja, ka "kaut kas pienāk" un ātri meklē atzīmjumu sarakstu.
Problēma ir tāda, ka šāds sertifikāts, lai cik pārliecinošs tas izskatītos, nav juridisks statuss saskaņā ar direktīvu vai tās nacionālo transponēšanu. Uzraudzības iestāde neprasīs sertifikātu; tā pārbaudīs pašus pasākumus, to, kā tie ir dokumentēti, un kurš par tiem ir atbildīgs.
Kas tiešām pastāv: atzītie standarti, nevis NIS2 zīmogs
Pastāv starptautiski atzīti informācijas drošības standarti, kam sertificēšanas procedūra caur akreditētu iestādi. Šāds sertifikāts parāda, ka informācijas drošības pārvaldības sistēma ir izveidota un periodiski tiek pārbaudīta. Tas ir vērtīgs un var atvieglot sarunu ar uzraudzības iestādi vai pircēju, jo tas sniedz struktūru un pierādījumus. Bet tas ir cits sistēma, ar savu jomu un savu auditoru, un tas automātiski nepokrāj katru pasākumu, ko pienākums prasa. Ikviens, kas vēlas padziļināti izprast šo atšķirību, atrod salīdzinājumu sadaļā tēmu apskats pēc situācijas.
Ko uzraudzības iestāde vai pircējs tiešām sagaida
Pienākuma vietā aizvietojiet sertifikātu ar pierādāmību: vai organizācija var parādīt, kādi pasākumi ir veikti, kurš par tiem ir atbildīgs un kāds pierādījums pie tā pieder. Tas ir mazāk kvalitātes zīme un vairāk dzīvs reģistrs — dossier, kas virzās līdz ar organizāciju, ar katru pasākumu — statuss un atbildīgā persona. Ikvienam, kurš vēl nezina, vai tas ir svarīgi viņa organizācijai, pirmais solis parasti ir vienkāršs: apskatīt nozari, izmēru un lomu piegādes ķēdē. To var izdarīt bez maksas un bez konta dažiem jautājumiem, kas nekavējoties sniedz norādi.
Arī pircējiem, kuri sūta drošības jautājumu sarakstu, sertifikāts nav īsākais ceļš. Pircēji parasti vēlas redzēt konkrētus atbildes: kādi pasākumi ir veikti, kā tie ir sadalīti, kas notiek incidenta gadījumā. Sertifikāts var to atbalstīt, bet neaizstāj pamatā esošo pierādījumu.
Ja piegādātājs tomēr piedāvā "NIS2 sertifikātu"
Ja certificēšanas ceļš tiek piedāvāts specifiski ar NIS2 nosaukumu, ir jēga kritiski paskatīties, kurš to izsniedz un uz kāda standarta pamata. Jautājiet par akreditāciju, precīzo tvērumu un to, ko sertifikāts sedz un ko nē. Audits, penetrācijas tests vai sertificēšana pēc atzīta standarta ir speciālistu darbs — tas ir skaidri atšķirīgs no politikas, dosieru un jautājumisku anketu sagatavošanas. Kā šāda sagatavošana izskatās un no kurienes nāk izmantotie avoti, ir paskaidrots lapā par to, kā informācija ir uzbūvēta.
Savai situācijai un jautājumam, vai piedāvātais sertifikāts atbilst tam, ko likums jūsu valstī precīzi prasa, jurists vai kompetentā uzraudzības iestāde joprojām ir pareizais kontaktpunkts. Ja jūs nešaubāties, vai sertifikāts, standarts vai jautājumnika anketa ir svarīga jūsu organizācijai, tad bieži uzdoto jautājumu apskats bieži jau sniedz pirmo atbildi.
Vai vēlaties uzzināt, kur precīzi atrodas jūsu organizācija, bez pārdošanas runas par sertifikātiem, kas neeksistē? Veiciet bezmaksas NIS2 pārbaudi vai iepazīstieties ar zināšanu bāzi — abi ir pieejami bez konta.