Vai man vēl nepieciešama ISO 27001, ja jau izpildu NIS2 prasības

Sertifikācija nav obligāta prasība, bet bieži vien ir noderīga

Nē, ISO 27001 nav nepieciešama, lai ievērotu Kiberbezpiedrības likumu — likums neparedvid sertifikāciju, bet gan noteiktu pasākumu kopumu. NIS2 direktīvas 21. panta 2. punkts nosauc desmit tēmas, kurām atbildīgam uzņēmumam ir jābūt politikai un pasākumiem, sākot no riska analīzes līdz piekļuves kontrolei un paziņošanas procedūrām. Tā ir rezultāta pienākuma forma: jautājums ir par to, kas ir noregulēts, nevis par to, kāds etiķete uz tā ir. Kurš desmit pasākumi no likuma ir kārtībā bez sertifikata, tas vienlīdz atbilst kā tas, kurš to ir.

Tomēr praksē abi bieži vien virzās kopā. ISO 27001, īpaši pārvaldības pasākumi pielikumā A, pēc satura aptver daudz vienas un tās pašas jomas: riska pārvaldība, piegādātāju pārvaldība, incidentu pārvaldība, piekļuves kontrole. Organizācija, kas jau ir ISO 27001 sertificēta, parasti jau ir sakrājusi pierādījumus, kas ir izmantojami arī atbildības pienākumam — darbs tad ir esošās politikas tulkošana likuma strukturā, nevis tās pārkārtošana no jauna. Otrādi: kurš ievēro likumu bez sertifikācijas, bieži vien netīši jau izveido lielu ISO 27001 pārvaldības sistēmas daļu, tikai bez ārējās revīzijas un sertifikata. Uzņēmumiem, no kuriem piegādes ķēdē tiek pieprasīti pierādījumi par drošību — skat. anketu, ko klients var uzspiest — sertifikāts tiek uzskatīts par ārēju pierādījumu, savukārt iekšējs dossē bez sertifikācijas var vienlīdz labi saturiski būt pabeigts, tikai to ir grūtāk pārbaudīt ārpusstāvei.

Kur tas parādās: 21. pants salīdzinājumā ar pielikumu A

Kiberbezpiedrības likums, kā NIS2 direktīvas nacionālā transponēšana, nekur neatsaucas uz ISO 27001 kā obligātu normu; 21. panta 2. punkts desmit pasākumus apraksta patstāvīgos formulējumos, neatkarīgi no jebkura sertifikācijas standarta. ISO/IEC 27001 ir brīvprātīga norma ar savu struktūru, un pielikums A nodrošina pārvaldības pasākumu sarakstu, kas pārklājas ar likuma prasībām, bet tam nav formālas saites. NCSC vadlīnijas par atbildības pienākumu apstiprina, ka tā ir par pierādāmiem pasākumiem, nevis par obligātu sertifikātu.