NIS2 i ISO 27001: jaka jest różnica?
Norma pomaga, ale nie pokrywa wszystkiego. Gdzie się nakładają i gdzie się nie nakładają.
Prawo kontra norma
NIS2 to ustawodawstwo: podlegasz mu lub nie, a jeśli podlegasz, masz obowiązki, które organ nadzoru może egzekwować. ISO 27001 to norma, do której możesz się dobrowolnie poddać certyfikacji przeprowadzanej przez audytora. Nikt nie może Cię do tego certyfikatu zmuszać i nie zwalnia Cię z prawa.
W praktyce się wzajemnie uzupełniają. Kto jest certyfikowany w ISO 27001, ma już uregulowaną i udokumentowaną dużą część dziesięciu zagadnień, a właśnie to udokumentowanie jest tym, na czym większość organizacji się zatrzymuje.
Co norma nie pokrywa
Brakuje trzech rzeczy. Obowiązek rejestracji u organu nadzoru nie pojawia się w normie. Obowiązek meldowania z terminami 24 godzin, 72 godzin i jeden miesiąc również nie. A odpowiedzialność członków zarządu wraz z obowiązkiem szkoleniowym to konstrukcja ustawowa, którą żadna norma nie może regulować.
Z drugiej strony norma wymaga rzeczy, których prawo nie wymaga, na przykład w pełni udokumentowanego systemu zarządzania wraz z audytami wewnętrznymi. To jest użyteczne, ale nie jest to, za co będziesz oceniany.
Co z tym zrobić
Jeśli masz ISO 27001, użyj go jako podstawy i uzupełnij to, co prawo dodatkowo wymaga. Jeśli go nie masz, nie rozpoczynaj go z powodów NIS2: proces certyfikacji trwa rok i kosztuje dziesiątki tysięcy euro i nie przynosi ci nic wskażnie, czego nie mógłbyś osiągnąć bez niego.
Tym, co naprawdę pomaga, jest to samo, co robi dobra norma: udokumentowanie tego, co masz uregulowane, wraz z właścicielem i datą.
Często zadawane pytania
Czy mój klient żąda ISO 27001?
To się zdarza, szczególnie u większych odbiorców. To wtedy wymóg umowny, a nie ustawowy. Dobrze uzasadniony własny dossier może być czasami akceptowalną alternatywą; zapytaj o to przed rozpoczęciem procesu.
Czy NEN 7510 to to samo?
To holenderski standard bezpieczeństwa informacji w opiece zdrowotnej, oparty na ISO 27001 z uzupełnieniami specyficznymi dla sektora. Ta sama relacja do NIS2 ma zastosowanie: pomaga, ale nie pokrywa wszystkiego.
Czy przeprowadzacie audyty lub certyfikację?
Nie, i to jest celowe. Audyt to praca człowieka przeprowadzana przez stronę niezależną, a kto buduje dossier, nie może go również oceniać. My strukturyzujemy to, co dostarczasz, nic więcej.
To wyjaśnienie, nie rada dotycząca waszej konkretnej sytuacji. secria.eu nie ocenia waszej organizacji i nie udziela żadnych zapewnień.