NIS2 a ISO 27001: aký je rozdiel?
Norma pomáha, ale neobjimuje všetko. Kde sa prekrývajú a kde nie.
Zákon oproti norme
NIS2 je legislatíva: buď podliehate jej, alebo nie, a ak áno, máte povinnosti, ktoré môže dohľadný orgán presadzovať. ISO 27001 je norma, ku ktorej sa môžete dobrovoľne nechať certifikovať auditorom. Nikto vás nemôže prinútiť k tomuto certifikátu a nezbavuje vás zákona.
V praxi sa vzájomne dopĺňajú. Kto má ISO 27001 certifikovaný, už má vyriešenú a zdokumentovanú veľkú časť desiatich tematických oblastí, a práve toto zdokumentovanie je to, na čom sa väčšina organizácií zasekne.
Čo norma neobjimuje
Tri veci chýbajú. Povinnosť registrácie u dohľadného orgánu sa v norme nevyskytuje. Povinnosť hlásenia s lehotami 24 hodín, 72 hodín a jeden mesiac tiež nie. A zodpovednosť vedenia spolu s povinnosťou školenia je zákonná konštrukcia, ktorú nemôže regulovať žiadna norma.
Na druhej strane norma požaduje veci, ktoré zákon nevyžaduje, napríklad úplne zdokumentovaný systém riadenia s internými auditmi. To je užitočné, ale nie je to to, za čo by ste boli kontrolovaní.
Čo s tým máte robiť
Máte ISO 27001? Využite ju ako základ a doplňte to, čo zákon dodatočne vyžaduje. Nemáte ju? Neľakajte sa do nej kvôli NIS2: certifikačný proces trvá rok a stojí desiatky tisíc eur a zákonné požiadavky vám nezabezpečuje nič, čo by ste nemohli dosiahnuť aj bez neho.
Čo naozaj pomáha, je robiť to, čo norma dobre robí: zdokumentovať to, čo ste upravili, s uvedením vlastníka a dátumu.
Často kladené otázky
Vyžaduje môj zákazník ISO 27001?
Stáva sa to, najmä pri väčších odberateľoch. Je to vtedy zmluvná požiadavka, nie zákonná. Dobre zdôvodnený vlastný dossier je niekedy prijateľným riešením; opýtajte sa na to skôr, ako začnete s procesom.
Je NEN 7510 to isté?
To je holandská norma pre bezpečnosť informácií v zdravotníctve, založená na ISO 27001 s špecifickými doplnkami pre zdravotníctvo. Vzťah k NIS2 je rovnaký: pomáha, ale neobjimuje všetko.
Robíte audity alebo certifikáciu?
Nie, a je to zámyselne. Audit je ľudská práca nezávislej strany, a kto vyvíja dossier, nemôže ho zároveň posúdiť. My štruktúrujeme to, čo predložíte, nič viac.
Ide o vysvetlenie, nie o poradenstvo vzťahujúce sa na vašu konkrétnu situáciu. secria.eu vaši organizáciu neposúdila a neposkytuje záväzné vyjadrenie.