Certyfikat ISO 27001 pomaga wykazać zgodność z obowiązkiem należytej staranności wynikającym z dyrektywy NIS2, ale go w całości nie pokrywa. Norma opisuje, jak organizacja strukturalnie podchodzi do bezpieczeństwa informacji poprzez system zarządzania; dyrektywa NIS2 (w szczególności artykuł 21) opisuje, jakie konkretne środki musi podjąć podmiot istotny lub ważny, a artykuł 23 zobowiązuje do zgłaszania incydentów właściwemu organowi nadzoru. Ten ostatni wymóg nie reguluje żadna norma ISO, niezależnie od tego, jak dobry jest certyfikat.
Różnica nie polega więc na jakości, ale na celu. ISO 27001 to dobrowolna norma, którą organizacja może poddać certyfikacji, aby wykazać, że ma bezpieczeństwo informacji w porządku. NIS2 to ustawodawstwo z obowiązkiem należytej staranności, obowiązkiem rejestracji i obowiązkiem zgłaszania, które każde państwo transponuje indywidualnie — w Holandii w ustawie o bezpieczeństwie cybernetycznym. Przedsiębiorstwo może być certyfikowane w ISO 27001 i mimo to musi podjąć dodatkowe kroki, aby spełnić wymogi ustawowe, i odwrotnie — przedsiębiorstwo może pracować nad wypełnieniem obowiązku należytej staranności wynikającego z ustawy bez kiedykolwiek dążenia do certyfikatu.
Gdzie zachodzi pokrycie
ISO 27001 opiera się na ocenie ryzyka i liście środków kontroli (tzw. Załącznik A), które są podobne do dziesięciu środków wymaganych przez obowiązek należytej staranności wynikający z NIS2: kontrola dostępu, szyfrowanie, kopie zapasowe, ocena dostawców, obsługa incydentów i inne pojawiają się w obu. Organizacja, która poważnie utrzymuje swój system ISO, ma już dowody i właścicieli dla wielu z tych środków. To znacznie zmniejsza pracę nad budowaniem dokumentacji na potrzeby obowiązku należytej staranności, i to właśnie dlatego odbiorcy wysyłający kwestionariusz bezpieczeństwa często traktują certyfikat ISO 27001 jako silny sygnał.
Jednak zakres jest nieco inny. ISO 27001 pozwala organizacji samodzielnie określić zakres systemu zarządzania — na przykład tylko dział IT lub tylko jedną lokalizację. Obowiązek należytej staranności wynikający z NIS2 dotyczy całej jednostki podlegającej ustawie, tak jak została ona wyodrębniona przez ustawodawcę i sektor. Certyfikat o ograniczonym zakresie zatem nie mówi automatycznie nic o reszcie organizacji. Kto chce sprawdzić, jak ta delimitacja wygląda dla jego sektora, znajdzie to przejrzyściej poprzez przeszukanie tematów według sytuacji niż w samej normie.
Czego ISO 27001 nie reguluje
Dwa wymogi wynikające z ustawy nie mają odpowiednika w normie. Pierwszy to obowiązek rejestracji: podmioty istotne i ważne muszą zarejestrować się u krajowego organu nadzoru wraz z danymi dotyczącymi organizacji i jej osób kontaktowych. ISO 27001 nic o tym nie mówi — to norma certyfikacyjna, a nie okno ustawowe.
Drugi to obowiązek zgłaszania incydentów. Artykuł 23 dyrektywy opisuje proces fazowy zgłaszania właściwemu organowi nadzoru, z początkowym sygnałem krótko po odkryciu i dalszymi krokami po tym. ISO 27001 faktycznie wymaga procesu obsługi incydentów, ale ten proces jest ukierunkowany wewnętrznie: opisuje, jak organizacja sama sobie radzi z incydentem, a nie komu i kiedy musi to zgłosić zewnętrznie. Kto chce wyraźnie dostrzec tę różnicę, może przeczytać wcześniejszy artykuł na temat obowiązku zgłaszania na tej stronie.
Również sposób, w jaki dostawcy są oceniani, różni się wagą. ISO 27001 zwraca uwagę na relacje z dostawcami jako część szerszej oceny ryzyka. Obowiązek należytej staranności wynikający z NIS2 czyni ocenę łańcucha wyraźnie częścią artykułu 21, co wyjaśnia, dlaczego organizacje podlegające obowiązkowi tak wyraźnie przekazują ten temat swoim dostawcom MKB poprzez kwestionariusze i wymogi kontraktowe.
Co to oznacza w praktyce
Dla organizacji, która już posiada certyfikat ISO 27001, zwykle oznacza to, że większość dowodów już istnieje, ale muszą być uporządkowane w inny sposób: dla każdego obowiązku ochrony muszą być status, dokument potwierdzający i właściciel, plus teksty wymagane do rejestracji i zawiadomienia, których norma nie wymaga. Dla organizacji bez certyfikatu oznacza to, że niekoniecznie musi rozpoczynać proces ISO, aby pracować nad obowiązkami ochrony — prawo wymaga wdrożenia środków, a nie samego certyfikatu.
To, czy i jak dokładnie się to rozłoży dla konkretnej organizacji, zależy od sektora, rozmiaru i roli w łańcuchu dostaw, co ostatecznie ocenia właściwy organ nadzoru lub prawnik, a nie ten artykuł. Wstępny obraz otrzymacie poprzez kilka pytań, aby zobaczyć, gdzie się znajdujecie, a kto chce wiedzieć, jak informacje na tej stronie są zorganizowane i skąd pochodzą źródła, przeczyta to na stronie dotyczącej jak secria.eu gromadzi informacje.
Jeśli po przeczytaniu macie jeszcze konkretne pytanie dotyczące waszej sytuacji, na przykład na temat tego, co certyfikat potwierdza lub nie potwierdza wobec odbiorcy? Sprawdzcie odpowiedzi na często zadawane pytania, lub zacznijcie darmową ocenę, aby zobaczyć, jaki następny krok pasuje do waszej organizacji.