Nie, certifikát NIS2 neexistuje. Neexistuje žiadna inštitúcia — žiadny certifikačný orgán, žiadny dohľadný orgán, žiadna priemyselná organizácia — ktorá by vydávala značku kvality alebo certifikát, ktorým by sa podnik mohol preukázať, že je "certifikovaný podľa NIS2". Kto takýto certifikát ponúka alebo predáva, predáva niečo, čo fakticky v rámci systému smernice neexistuje.
To nie je malá nuancia. NIS2 je smernica, ktorú členské štáty transponujú do národného práva s povinnosťou starostlivosti: vhodné technické a organizačné opatrenia na riadenie rizík súvisiacich so sieťami a informačnými systémami. Dohľadné orgány kontrolujú, či sa organizácia na túto povinnosť starostlivosti dodržiava, nie či na stene visí certifikát. Neexistuje teda žiadna skúška, žiadna značka a žiadna pečať, ktorú by samotný zákon predpisoval alebo uznaval.
Prečo sa otázka stále vracia
Zmätok je pochopiteľný. Pri iných právnych predpisoch, mysliac na určité normy kvality v stavebnictve alebo bezpečnosti potravín, naozaj existuje certifikačný proces s nezávislým inšpektorom a platným certifikátom. Poskytovatelia, ktorí chcú komerčne profitovať z neistoty okolo NIS2, na to hrajú: naznačujú, že existuje podobný proces s auditom, správou a pekným dokumentom na konci. Znie to ukľudňujúco, najmä pre riaditeľa alebo vedúceho kancelárie, ktorý práve počul, že "niečo prichádza" a rýchlo hľadá kontrolný zoznam.
Problém je v tom, že takýto certifikát, akoľvek presvedčivo vyzerá, nemá žiadny právny status podľa smernice alebo jej národnej transpozície. Dohľadný orgán sa nepýta na certifikát; pozrie sa na samotné opatrenia, na to, ako sú zdokumentované a kto za ne zodpovedá.
Čo naozaj existuje: uznávané normy, nie NIS2-pečať
Existujú medzinárodne uznávané normy pre bezpečnosť informácií s certifikačným procesom prostredníctvom akreditovanej inštitúcie. Takýto certifikát preukazuje, že bol zavedený a periodicky testovaný systém riadenia bezpečnosti informácií. To je cenné a môže uľahčiť časť rozhovoru s dohľadným orgánom alebo príjemcom, pretože poskytuje štruktúru a dôkaz. Ide však o iný systém s vlastným rozsahom a vlastným audítorom, a automaticky nepokrýva každé opatrenie, ktoré vyžaduje povinnosť starostlivosti. Kto chce presne pochopiť tento rozdiel, nájde porovnanie v prehľade tém podľa situácie.
Čo dohľadný orgán alebo príjemca skutočne očakáva
Namiesto certifikátu vyžaduje povinnosť starostlivosti preukázateľnosť: môže organizácia ukázať, ktoré opatrenia boli prijaté, kto za ne zodpovedá a aký dôkazný dokument k tomu patrí. To je skôr vedený register — spis, ktorý sa vyvíja spolu s organizáciou, s pretrvávaním a vlastníkom pre každé opatrenie. Pre tých, ktorí ešte nevedia, či je to pre ich organizáciu relevantné, je prvým krokom zvyčajne jednoduchý: pozrieť sa na sektor, veľkosť a úlohu v reťazci. To je možné zadarmo a bez účtu prostredníctvom niekoľko otázok, ktoré okamžite dajú indikáciu.
Aj v smere k príjemcom, ktorí posielajú zoznam bezpečnostných otázok, nie je certifikát najkratšia cesta. Príjemcovia zvyčajne chcú vidieť konkrétne odpovede: ktoré opatrenia existujú, ako sú pridelené, čo sa stane v prípade incidentu. Certifikát môže pri tom pomôcť, ale nenahradí základný dôkaz.
Ak dodávateľ napriek tomu ponúka "certifikát NIS2"
Ak je certifikačný proces špeciálne ponúkaný pod menom NIS2, je rozumné pozrieť sa kriticky na to, kto ho vydáva a na základe ktorej normy. Opýtajte sa na akreditáciu, na presný rozsah a na to, čo certifikát pokrýva a čo pokrýva. Audit, penetračný test alebo certifikácia podľa uznávanej normy sú práce špecializovaných strán — to je výrazne niečo iné ako príprava politík, dokumentov a zoznamov otázok. Ako takáto príprava vyzerá a odkiaľ pochádzajú použité zdroje, je vysvetlené na stránke o tom, ako sú informácie zostavené.
Pre vašu vlastnú situáciu a pre otázku, či ponúknutý certifikát zodpovedá tomu, čo zákon vo vašej krajine presne požaduje, zostáva právnik alebo príslušný dohľadný orgán správnym kontaktom. Ak si nie ste istí, či je certifikát, norma alebo zoznam otázok relevantný pre vašu organizáciu, často už dáva prehľade často kladených otázok prvú odpoveď.
Chcete vedieť, kde presne vaša organizácia stojí, bez reklamných hovorov o certifikátoch, ktoré neexistujú? Urobte bezplatnú NIS2-kontrolu alebo si pozrite poznámkovú základňu — obe sú dostupné bez účtu.