Għadni għandi bżonn ISO 27001 jekk diġà kompli ma NIS2

L-iċċertifikazzjoni mhix rekwiżita, iżda ħafna drabi utli

Le, ISO 27001 mhux meħtieġ biex tkun konformi mal-Liġi tal-Ċibersigurtà — il-liġi ma tixtix l-iċċertifikazzjoni, iżda sett ta' miżuri. L-Artikolu 21(2) tad-Direttiva NIS2 jispeċifika għaxar suġġetti fejn organisazzjoni obbligata għall-ħtieġa ta' diligenza għandha jkollha politika u miżuri, minn analiżi tar-riskju sa kontroll ta' aċċess sa proċeduri ta' notifika. Din hija obbligazzjoni ta' riżultat: il-kwistjoni hija x'għandu jintemm, mhux liema etikett ipoġġ fuqu. Min jkollu l-għaxar miżuri mill-liġi ordnati mingħajr iċċertifikat, jikkonforma daqs kemm min li jkollhom wieħed.

Madankollu, fiż-żmien il-ġewwa, iż-żewġ approċċi ħaffa drabi jmorru flimkien. ISO 27001, u partikolarment il-miżuri ta' kontroll fl-Annex A, taħtafu substanzjalment l-istess kamp: ġestjoni tar-riskju, ġestjoni tal-fornituri, ġestjoni ta' inċidenti, kontroll ta' aċċess. Organisazzjoni li diġà ċċertifikata taħt ISO 27001, għaldaqstant ħaffa drabi diġà għandha provi li d-drittful għall-ħtieġa ta' diligenza — ix-xogħol allura jkun fit-traduzzjoni tal-politika eżistenti skont il-kategorija tal-liġi, mhux fir-rikostruzzjoni minn ġdid. Bil-kuntrast: min isegwi l-liġi mingħajr iċċertifikazzjoni, ħaffa drabi jinbena mingħajr ma jaf qisha linja kbira ta' sistema ta' ġestjoni ISO 27001, biss mingħajr l-awdit estern u l-iċċertifikat. Għal negozji li minn is-suq jintalbu dwar sigurtà li tista' tiġi ppruvata — ara il-lista ta' mistoqsija li klijent jista' jilħaq — iċċertifikat jgħodd bħala prova esterna, filwaqt li schedario intern mingħajr iċċertifikazzjoni jista' jkun daqs iċ-ċar fil-kontenut, biss aktar diffiċli biex tiċċekkja għal persuna minn barra.

Fejn dan jidhir: Artikolu 21 kundizjoni Annex A

Il-Liġi tal-Ċibersigurtà, bħala l-implimentazzjoni Olandiża tad-Direttiva NIS2, ma tirreferixxix kull ħadd għal ISO 27001 bħala norma mandatorja; l-Artikolu 21(2) jiddeskrivi l-għaxar miżuri bi kliem tagħhom stess, separati minn kull standard ta' ċertifikazzjoni. ISO/IEC 27001 hija norma volontarja b'struttura tagħha stess, fejn Annex A toffri lista ta' miżuri ta' kontroll li tinkludi par ta' dak li tistaqsi l-liġi, iżda m'għandha l-ebda rabta formali magħha. Il-gwida NCSC dwar l-ħtieġa ta' diligenza tikkonferma li hija dwar miżuri li tista' tiġi ppruvata, mhux dwar iċċertifikat mandatorju.