NIS2 și ISO 27001: care este diferența?
Standardul ajută, dar nu acoperă totul. Unde se suprapun și unde nu.
O lege versus un standard
NIS2 este legislație: cad sub incidența acesteia sau nu, și dacă cad atunci am obligații pe care o autoritate de supraveghere le poate executa. ISO 27001 este un standard căruia vă puteți supune la certificare voluntară de către un auditor. Nimeni nu vă poate obliga să obțineți acel certificat, și nici nu vă scapă de lege.
În practică, se completează reciproc. Cine este certificat conform ISO 27001 a rezolvat deja o mare parte din cele zece subiecte și le-a documentat, iar tocmai documentarea este ceea pe care majoritatea organizațiilor se blochează.
Ce nu acoperă standardul
Trei lucruri lipsesc. Obligația de înregistrare la autoritatea de supraveghere nu apare în standard. Nici obligația de notificare cu termenele de 24 de ore, 72 de ore și o lună. Iar răspunderea membrilor conducerii cu obligația de formare este o construcție legală pe care niciun standard nu o poate reglementa.
Invers, standardul cere lucruri pe care legea nu le cere, cum ar fi un sistem de management complet documentat cu audituri interne. Asta este util, dar nu este ceea pe care veți fi responsabilizați.
Ce trebuie să faceți cu acestea
Dacă aveți ISO 27001, folosiți-o ca bază și completați ceea ce legea cere suplimentar. Dacă nu o aveți, nu o începeți din motive legate de NIS2: un proces de certificare durează un an și zeci de mii de euro și nu vă aduce nimic legal pe care nu l-ati putea realiza și fără.
Ceea ce ajută cu adevărat este să faceți același lucru pe care standardul îl face bine: să documentați ceea ce ați reglementat, cu un responsabil și o dată.
Întrebări frecvente
Clientul meu cere ISO 27001?
Se întâmplă, mai ales cu agenții mai mari. Este atunci o cerință contractuală și nu legală. Un dosar bine fundamentat propriu poate fi uneori o alternativă acceptabilă; întrebați înainte de a începe un proces.
Este NEN 7510 la fel?
Aceasta este norma olandeză pentru securitatea informațiilor în domeniul sănătății, bazată pe ISO 27001 cu completări specifice pentru sănătate. Același raport cu NIS2 se aplică: ajută, dar nu acoperă totul.
Faceți audituri sau certificare?
Nu, și asta este deliberat. O audit este munca unei părți independente, și cine construiește dosarul nu poate și să-l evalueze. Noi structurăm ceea ce furnizați, nimic mai mult.
Aceasta este explicație, nu consiliere privind situația dumneavoastră. secria.eu nu evaluează organizația dumneavoastră și nu oferă asigurări.