Nie, certyfikat NIS2 nie istnieje. Nie ma żadnego organu — ani jednostki certyfikującej, ani organu nadzoru, ani organizacji branżowej — która wydawałaby znak jakości lub certyfikat pozwalający przedsiębiorstwu wykazać, że jest "certyfikowane na podstawie NIS2". Kto oferuje lub sprzedaje taki certyfikat, sprzedaje coś, co faktycznie nie istnieje w ramach systemu dyrektywy.
To nie jest mała różnica. NIS2 to dyrektywa, którą państwa członkowskie wdrażają w ustawodawstwo krajowe zawierające obowiązek diligencji: odpowiednie środki techniczne i organizacyjne w celu zarządzania zagrożeniami dla sieci i systemów informatycznych. Organy nadzoru sprawdzają, czy organizacja wypełnia ten obowiązek diligencji, a nie czy na ścianie wisi certyfikat. Nie ma więc egzaminu, znaku jakości ani pieczęci, którą sama ustawa nakazuje lub uznaje.
Dlaczego pytanie powraca w kółko
Zamieszanie jest zrozumiałe. W przypadku innych przepisów, pomyśl o określonych normach jakości w budownictwie lub bezpieczeństwie żywności, istnieje rzeczywiście proces certyfikacji z niezależnym inspektorem i ważnym certyfikatem. Dostawcy, którzy chcą zarabiać komercyjnie na niepewności związanej z NIS2, grają na tym: sugerują, że istnieje podobny proces z audytem, raportem i ładnym dokumentem na koniec. Brzmi to pocieszająco, zwłaszcza dla dyrektora lub kierownika biura, który właśnie usłyszał, że "coś się zbliża" i szybko szuka listy kontrolnej do odznaczenia.
Problem polega na tym, że taki certyfikat, niezależnie od tego, jak przekonywająco wygląda, nie ma statusu prawnego na podstawie dyrektywy ani jej krajowego wdrożenia. Organ nadzoru nie pyta o certyfikat; patrzy na same środki, na to, jak są udokumentowane i kto za nie odpowiada.
Co rzeczywiście istnieje: uznane normy, a nie pieczęć NIS2
Istnieją międzynarodowo uznane normy bezpieczeństwa informacji z procesem certyfikacji przez akredytowaną jednostkę. Taki certyfikat wykazuje, że system zarządzania bezpieczeństwem informacji został wdrożony i jest okresowo weryfikowany. Jest to wartościowe i może ułatwić rozmowę z organem nadzoru lub odbiorcą, ponieważ dostarcza struktury i dowodów. Ale to inny system, z własnym zakresem i własnym audytorem, i niekoniecznie obejmuje każdy środek, którego obowiązek diligencji oczekuje. Kto chce dokładnie zrozumieć tę różnicę, znajdzie porównanie w przeglądzie tematów dla każdej sytuacji.
Co organ nadzoru lub odbiorca faktycznie oczekuje
Zamiast certyfikatu obowiązek diligencji wymaga wykazania: czy organizacja potrafi pokazać, jakie środki podjęto, kto za to odpowiada i jaki dokument do tego dołącza. To mniej pieczęć, a bardziej żywy rejestr — dossier, które zmienia się wraz z organizacją, ze statusem i właścicielem dla każdego środka. Dla tych, którzy nie wiedzą jeszcze, czy to jest istotne dla ich organizacji, pierwszym krokiem jest zwykle proste: sprawdzenie sektora, rozmiaru i roli w łańcuchu dostaw. Można to zrobić bezpłatnie i bez konta poprzez kilka pytań dających natychmiastową wskazówkę.
Także wobec odbiorców wysyłających kwestionariusz bezpieczeństwa certyfikat nie jest najkrótszą drogą. Odbiorcy zazwyczaj chcą zobaczyć konkretne odpowiedzi: jakie środki są wdrożone, jak są rozlokowane, co się dzieje w przypadku incydentu. Certyfikat może w tym wspierać, ale nie zastępuje dowodów leżących u podstaw.
Jeśli dostawca mimo to oferuje "certyfikat NIS2"
Jeśli certyfikacja jest oferowana konkretnie pod nazwą NIS2, warto przyjrzeć się krytycznie temu, kto ją wydaje i na podstawie którego standardu. Poproś o akredytację, dokładny zakres i informacje o tym, co certyfikat obejmuje, a czego nie. Audyt, test penetracyjny lub certyfikacja zgodnie z uznanym standardem to praca specjalistów — to wyraźnie coś innego niż przygotowanie polityk, dokumentacji i list pytań. Jak wygląda takie przygotowanie i skąd pochodzą wykorzystane źródła, wyjaśnione jest na stronie opisującej sposób budowy informacji.
W przypadku własnej sytuacji oraz pytania, czy oferowany certyfikat jest zgodny z tym, co prawo w Pani/Pana kraju dokładnie wymaga, właściwym punktem kontaktowym pozostaje prawnik lub właściwy organ nadzoru. Jeśli ma Pani/Pan wątpliwości, czy certyfikat, standard lub lista pytań są istotne dla Pani/Pana organizacji, odpowiedź na początkowe pytanie często znajduje się w przeglądzie często zadawanych pytań często już udzielana jest pierwsza odpowiedź.
Chce Pani/Pan wiedzieć, gdzie dokładnie stoi Pana/Pani organizacja, bez zabiegu sprzedażowego dotyczącego certyfikatów, które nie istnieją? Zrobić darmową ocenę NIS2 lub przejrzeć bazę wiedzy — oba są dostępne bez konta.