Ċertifikat għal ISO 27001 jgħin awtentikament fil-obbligu ta' cura ta' NIS2, iżda ma jkopprihiex kompletament. L-istandard jiddeskrivi kif organizzazzjoni tindirizza l-ġarr tal-informazzjoni b'mod strutturati permezz ta' sistema ta' ġestjoni; id-Direttiva NIS2 (partikolarment l-Artikolu 21) tiddeskrivi liema miżuri konkreti għandhom jittieħdu minn entità essenzjali jew importanti, u l-Artikolu 23 ikobbligat lir-rapport tal-inċidenti għal awtorità ta' sorveljanza. Dan tal-aħħar ma regola l-ebda norma ISO, ma kemm-il jkun tajjeb iċ-ċertifikat.
Id-differenza tinsab mela mhux fil-kwalità iżda fl-iskop. ISO 27001 hija norma volontarja li organizzazzjoni tista' tal-issertifika biex turi li għandha l-ġarr tal-informazzjoni ordnata. NIS2 hija leġislazzjoni b'obbligu ta' cura legali, obbligu ta' reġistrazzjoni u obbligu ta' rapport, li inkorporat f'kull pajjiż — fil-Pajjiżi Baxxi fil-Liġi dwar il-Ċibersikurezza. Negozju jista' jkun issertifjkat għal ISO 27001 u xorta għadu jeħtieġ jieħu passi sabiex ikompli mal-obbligi legali, u mill-aqwa kontra negozju jista' jaħdem fuq l-obbligu ta' cura legali mingħajr ma qatt irid ċertifikat.
Fejn tkun l-overlap
ISO 27001 taħdem b'evalwazzjoni tar-riskji u lista ta' miżuri ta' kontroll (l-Anness A msejħa) li jixbhu ħafna l-għaxar miżuri li l-obbligu ta' cura ta' NIS2 jisemmi: kontroll tal-aċċess, enkrizzjoni, backups, evalwazzjoni ta' fornituri, ġestjoni tal-inċidenti u aktar ħaġa li jevvarinaw fi tnejn. Organizzazzjoni li meħħid is-sistema ISO tagħha b'serjetà, għandha għal ħafna minn dawk il-miżuri ċ-ċertifikazzjoni u proprietarju li jittalbgħu. Dan jiffranka xogħol sinifikanti fir-rigward tal-kostruzzjoni ta' dossier għal l-obbligu ta' cura, u huwa preċizu għaliex l-akkwirinenti li jibagħtu kwistjonarju ta' sikurezza ċ-ċertifikat ISO 27001 ħafna drabi jikkunsidraw sinjal qawwi.
L-iskop huwa xi ħadd differenti. ISO 27001 ħalli organizzazzjoni stess iddeċidi l-iskop tas-sistema ta' ġestjoni — pereż biss id-dipartiment IT jew biss ċentru wieħed. L-obbligu ta' cura ta' NIS2 japplika għall-entità kollha li taqa' taħt il-liġi, kif iddefinita mill-leġislatur u s-settur. Ċertifikat b'iskop ristrett ma jghid b'hekk awomatiku ħaġa dwar il-bqija tal-organizzazzjoni. Min jrid jivverifika kif l-abbozz jeshplika għas-settur tiegħu stess, issib iċ-ċar aktar madwar l-suwġetti skond is-sitwazzjoni fittxija ħadd allo fil-norma stess.
Fejn ISO 27001 ma tiggovernax
Żewġ obbligi mill-liġi m'għandhom l-ebda ekwivalent fin-norma. L-ewwel hija l-obbligu ta' reġistrazzjoni: entitajiet essenzjali u importanti għandhom jiġu reġistrati għand l-awtorità ta' sorveljanza nazzjonali, b'dejta dwar l-organizzazzjoni u l-persuni ta' kuntatt tagħha. ISO 27001 ma titlabx ħaġa dwar dan — hija norma ta' sertifikazzjoni, mhux lokal legali.
It-tieni hija l-obbligu ta' rapport fl-inċidenti. L-Artikolu 23 tad-Direttiva jiddeskrivi proċess graddwali ta' rapport al-awtorità kompetenti ta' sorveljanza, b'sinjal inizjali ftit wara d-diskoperta u passi sussegwenti wara. ISO 27001 itlob proċess għal-ġestjoni tal-inċidenti, iżda dak il-proċess huwa ċentruzzu integument: jiddeskrivi kif organizzazzjoni tippikka inċident stess, mhux lil min u meta għandha tirrapurtah esternament. Min irid iġib dik id-differenza għal-aħħar, jista' jaqra l-kostruzzjoni ta' dawk il-limiti finanzjarji fl-artikolu preċedenti dwar l-obbligu ta' rapport fuq is-sit dan.
Ukoll il-mod li bih jiġu evalwati l-fornituri, jivvarja fil-piż. ISO 27001 jagħti attenzjoni għar-relazzjonijiet mal-fornituri bħala parti tal-evalwazzjoni tar-riskji aktar ċara. L-obbligu ta' cura ta' NIS2 jagħmel l-evalwazzjoni tal-katina maħluq ta' Artikolu 21, li spjega għaliex l-organizzazzjonijiet tal-obbligu jitpoġġu l-suġġett ħafna drabi lura lejn il-fornituri SME tagħhom permezz ta' kwistjonarji u kundizzjonijiet tal-kuntratt.
X'dan ifisser fil-prattika
Għal organizzazzjoni li diġà ċċertifikata ISO 27001, dan ġeneralment ifisser li ħafna mill-evidenza diġà teżisti, iżda li għandha tiġi organizzata differenti: għal kull miżura tal-obbligi tal-kura statu, biċċa ta' evidenza u responsabbli, flimkien mat-testi għar-reġistrazzjoni u n-notifika li l-istandard ma fprescrivix. Għal organizzazzjoni mingħajr ċertifikat dan ifisser li m'għandhiex neċessarjament bżonn tibda triq ISO biex taħdem fuq l-obbligi tal-kura — il-liġi titlob il-miżuri, mhux il-ċertifikat kif tiegħu.
U jekk u kif dan eżattament jifrex għal organizzazzjoni speċifika, jiddipendi mit-settur, id-daqs u r-rwol fil-katina tal-għarfien, u eħħekkji l-awtorità tal-sorveljanza kompetenti jew ġuristu, mhux dan l-artikolu. Indikazz ewwel tikseb permezz ta' ftit mistoqsijiet biex tara fejn qiegħed, u min irid jaf kif l-informazzjoni fuq dan is-sit hija mġabba u fejn ġej is-sors ta' din l-informazzjoni, jaqra dan fuq il-paġna dwar kif secria.eu tigbor l-informazzjoni.
Jekk wara l-qari għad għandek mistoqsija konkreta dwar is-sitwazzjoni tiegħek stess, per eżempju dwar xi ċertifikat ijapprova jew la tprovdi tul lil bejgħ? Ħares lejn il- risposti għal mistoqsijiet ta' spiss, jew ibda l-kontroll ħielsa biex tara liema pass ta' wara jaqbel mal-organizzazzjoni tiegħek.