Un certificat pentru ISO 27001 ajută demonstrabil la îndeplinirea obligației de diligență din Directiva NIS2, dar nu o acoperă complet. Norma descrie modul în care o organizație abordează securitatea informațiilor în mod structural prin intermediul unui sistem de management; Directiva NIS2 (în special articolul 21) descrie ce măsuri concrete trebuie să ia o entitate esențială sau importantă, iar articolul 23 impune raportarea incidentelor unei autorități de supraveghere. Aceasta din urmă nu este reglementată de nicio normă ISO, indiferent cât de bun este certificatul.
Diferența nu se referă deci la calitate, ci la scop. ISO 27001 este o normă voluntară pe care o organizație o poate face certificată pentru a demonstra că are securitatea informațiilor în ordine. NIS2 este legislație cu o obligație legală de diligență, o obligație de înregistrare și o obligație de raportare, transpusă în fiecare țară — în Olanda prin Legea de securitate cibernetică. O companie poate fi certificată pentru ISO 27001 și totuși trebuie să ia pași suplimentari pentru a respecta obligațiile legale, iar invers, o companie poate lucra la obligația legală de diligență fără a dori vreodată un certificat.
Unde se suprapun
ISO 27001 funcționează cu o evaluare a riscurilor și o listă de măsuri de control (așa-numitele Anexa A) care seamănă mult cu cele zece măsuri pe care obligația de diligență din NIS2 le menționează: controlul accesului, criptarea, copiile de siguranță, evaluarea furnizorilor, gestionarea incidentelor și altele apar în ambele. O organizație care și-menține serios sistemul ISO are deja pentru multe dintre aceste măsuri un document de probă și un responsabil. Aceasta economisește considerabil munca la construirea unui dosar pentru obligația de diligență, și este exact motivul pentru care receptorii care trimit un chestionar de securitate consideră adesea un certificat ISO 27001 ca un semnal puternic.
Sfera de aplicare este totuși ușor diferită. ISO 27001 permite unei organizații să stabilească ea însăși scopul sistemului de management — de exemplu, doar departamentul IT sau doar o singură locație. Obligația de diligență din NIS2 se aplică întregii entități care cade sub legislație, după cum a fost definită de legislator și sector. Un certificat cu o sferă limitată nu spune deci automat ceva despre restul organizației. Cine dorește să verifice cum se aplică această delimitare pentru propriul sector, o găsește mai clar prin căutarea după subiecte pe situație decât în norma însăși.
Unde ISO 27001 nu reglementează nimic
Două obligații din legislație nu au echivalent în normă. Prima este obligația de înregistrare: entitățile esențiale și importante trebuie să se înregistreze la autoritatea națională de supraveghere, cu date despre organizație și persoanele de contact. ISO 27001 nu cere nimic despre aceasta — este o normă de certificare, nu un ghișeu legal.
A doua este obligația de raportare a incidentelor. Articolul 23 al Directivei descrie un proces în faze de raportare la autoritatea competentă de supraveghere, cu un semnal inițial la scurt timp după descoperire și pași de urmărire ulterior. ISO 27001 cere într-adevăr un proces pentru gestionarea incidentelor, dar acel proces este orientat intern: descrie modul în care o organizație gestionează ea însăși un incident, nu cui și când trebuie să o raporteze extern. Cine dorește să aprofundeze această diferență poate citi construcția acestor termene în articolul anterior despre obligația de raportare pe acest site.
Modul în care sunt evaluați furnizorii diferă și ca pondere. ISO 27001 acordă atenție relațiilor cu furnizorii ca parte a evaluării mai largi a riscurilor. Obligația de diligență din NIS2 face evaluarea lanțului de aprovizionare o parte explicit enunțată a articolului 21, ceea ce explică de ce organizațiile plinitoare transmit acest subiect atât de categoric furnizorilor lor din sector privat prin intermediul chestionarelor și clauzelor contractuale.
Ce înseamnă aceasta în practică
Pentru o organizație care este deja certificată conform ISO 27001, aceasta înseamnă de obicei că o mare parte a dovezilor există deja, dar trebuie pur și simplu reorganizată: pentru fiecare măsură de management al riscului o stare, o dovadă și un proprietar, plus textele pentru înregistrare și notificare pe care standardul nu le prescrie. Pentru o organizație fără certificat, aceasta înseamnă că nu este neapărat necesară o parcurgere a procesului ISO pentru a respecta obligația de management al riscului — legea solicită măsurile, nu certificatul ca atare.
Dacă și cum aceasta se aplică exact unei organizații specifice depinde de sector, dimensiune și rol în lanțul de aprovizionare, și în cele din urmă aceasta este apreciată de autoritatea de supraveghere competentă sau de un jurist, nu de acest articol. O primă indicație o obțineți prin a vedea în câteva întrebări unde vă situați, și cine dorește să afle cum sunt structurate informațiile de pe acest site și de unde provin sursele, citește aceasta pe pagina despre cum secria.eu compilează informațiile.
Dacă după lectură aveți o întrebare concretă despre situația dvs., de exemplu despre ceea ce un certificat dovedește sau nu față de un client? Consultați răspunsuri la întrebări frecvente, sau porniți verificarea gratuită pentru a vedea care este pasul următor potrivit pentru organizația dvs.