ISO 27001 sertifikāts palīdz pamanāmi pierādīt atbilstību Direktīvas (ES) 2022/2555 pienākumiem, bet tos nepārklāj pilnībā. Norma apraksta, kā organizācija informācijas drošību strukturēti īsteno pārvaldības sistēmas ietvaros; Direktīva (ES) 2022/2555 (jo īpaši 21. pants) apraksta, kādus konkrētus pasākumus jāņem būtiskai vai svarīgai iestādei, un 23. pants nosaka pienākumu paziņot par incidentiem uzraudzības iestādei. Pēdējo neregulē neviena ISO norma, neatkarīgi no tā, cik labs sertifikāts citādāk ir.
Atšķirība tātad nav kvalitātē, bet mērķī. ISO 27001 ir brīvprātīga norma, ko organizācija var sertificēt, lai pierādītu, ka tai ir kārtībā informācijas drošība. Direktīva (ES) 2022/2555 ir likumdošana ar likumā noteiktu pienākumu, reģistrācijas pienākumu un ziņošanas pienākumu, kas katrā valstī ir atsevišķi pārveidota — Latvijā tas atspoguļojas atbilstošo regulāciju ietvaros. Uzņēmums tātad var būt sertificēts ISO 27001 un joprojām jāveic papildu darbības, lai izpildītu likumā noteiktus pienākumus, un otrādi uzņēmums var strādāt pie likumā noteiktā pienākuma neiegūstot sertifikātu.
Kur ir pārklājums
ISO 27001 darbojas ar riska novērtējumu un vadības pasākumu sarakstu (tā sauktais Pielikums A), kas pēc formas ļoti līdzinās desmit pasākumiem, ko Direktīvas (ES) 2022/2555 pienākums piemin: piekļuves kontrole, šifrēšana, rezerves kopijas, piegādātāju novērtēšana, incidentu apstrāde un daudz kas vēl parādās abos. Organizācijai, kas savu ISO sistēmu seriozi uztur, daudziem no šiem pasākumiem jau ir pierādījumi un atbildīgā persona. Tas ietaupa ievērojamu darbu, veidojot dossier par pienākumiem, un tas arī precīzi izskaidro, kāpēc pircēji, kas sūta drošības jautājumulistus, bieži ISO 27001 sertifikātu uzskata par spēcīgu signālu.
Darbības joma tomēr nedaudz atšķiras. ISO 27001 ļauj organizācijai pašai noteikt vadības sistēmas darbības jomu — piemēram, tikai IT nodaļu vai tikai vienu filiāli. Direktīvas (ES) 2022/2555 pienākums attiecas uz visu iestādi, kas atbilstoši likumam ietilpst, tā kā to ir noteikuši likumdevējs un nozare. Sertifikāts ar ierobežotu jomu tātad automātiski neko nesaka par pārējo organizāciju. Kas vēlas noskaidrot, kā šī norobežošana sava nozarē izskatās, to atrast skaidrāk, izmantojot meklēšanu pēc tēmām katrā situācijā nekā pašā normā.
Kur ISO 27001 neko neregulē
Divi likumā noteiktie pienākumi nav līdzīgi normā. Pirmais ir reģistrācijas pienākums: būtiskai un svarīgai iestādei jāreģistrējas pie valsts uzraudzības iestādes ar ziņām par organizāciju un tās kontaktpersonām. ISO 27001 par to neko neprasā — tā ir sertificēšanas norma, nevis likumā noteikts lokets.
Otrais ir ziņošanas pienākums incidentu gadījumā. Direktīvas 23. pants apraksta pakāpenisku ziņošanas procesу bīstamības iestādei ar sākotnējo signālu neilgi pēc atklāšanas un turpmākajiem soļiem vēlāk. ISO 27001 gan prasa procesu incidentu apstrādei, bet tas process ir virzīts iekšēji: tas apraksta, kā organizācija pati izskata incidentu, nevis tam, koram un kad tas jāziņo ārēji. Kas šo atšķirību vēlas skaidri saskatīt, var iepazīties ar termiņu struktūru informācijā par ziņošanas pienākumu šajā vietnē.
Arī tas, kā tiek novērtēti piegādātāji, atšķiras pēc nozares. ISO 27001 pievērš uzmanību piegādātāju attiecībām kā plašākā riska novērtējuma daļai. Direktīvas (ES) 2022/2555 pienākums padara tolaču novērtēšanu par skaidru 21. panta daļu, kas izskaidro, kāpēc pienākumā esošas organizācijas šo tēmu tik nozīmīgi uzbāž saviem maziem un vidējiem piegādātājiem caur jautājumulistiem un līgumiešķeriem.
Ko tas praktiski nozīmē
Organizācijai, kas jau ir ISO 27001 sertificēta, tas parasti nozīmē, ka liela daļa pierādījumu jau pastāv, bet tie ir jāpārkārtoj citādi: katram riska pārvaldības pasākumam — statuss, pierādījums un atbildīgais, plus reģistrācijas un paziņošanas teksti, ko standarts neparedz. Organizācijai bez sertifikata tas nozīmē, ka tai nav obligāti jāsāk ISO process, lai strādātu pie riska pārvaldības — likums prasa pasākumus, nevis sertifikātu kā tādu.
Tas, kā tas konkrēti ietekmēs jūsu organizāciju, ir atkarīgs no sektora, izmēra un lomas piegādes ķēdē, un to galaspriedumā nosaka atbildīgā uzraudzības iestāde vai jurists, nevis šis raksts. Pirmo norādi jūs iegūstat, atbildot uz dažiem jautājumiem, lai redzētu, kur jūs esat, un kurš vēlas uzzināt, kā šīs vietnes informācija ir strukturēta un no kurienes nāk avoti, lasa to lapā par kā secria.eu informāciju apkopo.
Ja pēc lasīšanas jums joprojām ir konkrēts jautājums par jūsu situāciju, piemēram, par to, ko sertifikāts pierāda un nepierāda pircējam, skatiet atbildes uz bieži uzdotajiem jautājumiem, vai sāciet bezmaksas pārbaudi, lai redzētu, kāds nākamais solis ir piemērots jūsu organizācijai.