Nu, un certificat NIS2 nu există. Nu există nici o instituție — nici un organism de certificare, nici o autoritate de supraveghere, nici o organizație din sector — care să emită o marcă de calitate sau un certificat prin care o întreprindere să poată demonstra că este "certificată conform NIS2". Oricine oferă sau vinde un astfel de certificat vinde ceva care, în fapt, nu există în cadrul sistemului directivei.
Nu este o nuanță minoră. NIS2 este o directivă pe care statele membre o transpun în legislație națională, inclusiv o obligație de diligență: măsuri tehnice și organizatorice adecvate pentru a gestiona riscurile pentru rețelele și sistemele informatice. Autoritățile de supraveghere verifică dacă o organizație respectă acea obligație de diligență, nu dacă există un certificat pe perete. Prin urmare, nu există niciun examen, nicio marcă de calitate și niciun ștampil pe care legea însuși să îl prescrie sau să îl recunoască.
De ce întrebarea se repetă tot timpul
Confuzia este înțeleasă. În alte reglementări, gândiți-vă la anumite standarde de calitate în construcții sau siguranța alimentară, există într-adevăr un proces de certificare cu un inspector independent și un certificat valid. Ofertanții care doresc să profite comercial de incertitudinea din jurul NIS2 se bazează pe aceasta: sugerează că există un proces similar, cu o audit, un raport și un document frumos la sfârșit. Sună liniștitor, mai ales pentru un director sau un manager de birou care tocmai a auzit că ceva "vine" și caută rapid o listă de verificare.
Problema este că un astfel de certificat, oricât de convingător ar arăta, nu are nicio statut juridic sub directivă sau transpunerea ei națională. O autoritate de supraveghere nu cere un certificat; privește măsurile în sine, cum sunt documentate și cine este responsabil pentru ele.
Ce există cu adevărat: standarde recunoscute, nu nicio mică NIS2
Există standarde internațional recunoscute pentru securitatea informației, cu un proces de certificare printr-o instituție acreditată. Un astfel de certificat demonstrează că un sistem de management al securității informației a fost instituit și este testat periodic. Aceasta este valoroasă și poate facilita conversația cu o autoritate de supraveghere sau un client, deoarece oferă structură și dovezi. Dar este un alt sistem, cu propriul domeniu și propriul auditor, și nu acoperă automat fiecare măsură pe care obligația de diligență o așteaptă. Oricine dorește să înțeleagă exact această diferență găsește comparația în prezentarea generală a subiectelor după situație.
Ce se așteaptă cu adevărat de la o autoritate de supraveghere sau un client
În loc de un certificat, obligația de diligență cere demonstrabilitate: poate organizația arăta ce măsuri au fost luate, cine este responsabil pentru acestea și ce dovezi sunt ataşate. Aceasta este mai puțin o marcă de calitate și mai mult un registru viu — un dosar care evoluează cu organizația, cu fiecare măsură având un statut și un proprietar. Pentru cine încă nu știe dacă acest lucru este relevant pentru propria organizație, primul pas este de obicei simplu: să se uite la sector, mărime și rol în lanț. Aceasta poate fi făcută gratuit și fără cont prin câteva întrebări care dau imediat o indicație.
De asemenea, către clienții care trimit o chestionare de securitate, un certificat nu este calea cea mai scurtă. Clienții doresc de obicei răspunsuri concrete: ce măsuri sunt luate, cum sunt alocate, ce se întâmplă în caz de incident. Un certificat poate sprijini aceasta, dar nu înlocuiește dovezile subiacente.
Dacă un furnizor oferă totuși un "certificat NIS2"
Dacă se oferă un traseu de certificare sub denumirea specifică NIS2, este prudent să priviți cu atenție cine îl emite și pe baza cărui standard. Solicitați acreditarea, domeniul de aplicare precis și ceea ce certificatul acoperă și ceea ce nu acoperă. Un audit, un test de penetrare sau o certificare conform unui standard recunoscut este o muncă de specialiști — aceasta este clar diferit de pregătirea politicilor, dosarelor și chestionarelor. Cum arată o astfel de pregătire și de unde provin sursele utilizate este explicat pe pagina despre modul în care informațiile sunt construite.
Pentru situația dumneavoastră și pentru întrebarea dacă un certificat oferit se aliniază cu ceea ce legea din țara dumneavoastră cere în mod precis, un jurist sau autoritatea de supraveghere competentă rămâne punctul de contact potrivit. Dacă vă îndoiți dacă un certificat, un standard sau un chestionar sunt relevante pentru organizația dumneavoastră, atunci prezentarea cu întrebări frecvente oferă adesea deja un prim răspuns.
Doriți să știți exact unde se află organizația dumneavoastră, fără discurs de vânzare despre certificate care nu există? Efectuați verificarea NIS2 gratuită sau răsfoiți banca de cunoștințe — ambele sunt accesibile fără cont.