Certifikát ISO 27001 pomáha preukazovateľne splniť povinnosti starostlivosti podľa smernice NIS2, ale nepokrýva ich úplne. Norma opisuje, ako organizácia riadi bezpečnosť informácií štrukturálne prostredníctvom systému riadenia; smernica NIS2 (najmä článok 21) opisuje, aké konkrétne opatrenia musí prijať podstatný alebo dôležitý subjekt, a článok 23 ukladá povinnosť hlásenia incidentov príslušnému orgánu dohľadu. Posledný bod neupravuje žiadna norma ISO, akokoľvek dobrý je inak certifikát.
Rozdiel teda nespočíva v kvalite, ale v účele. ISO 27001 je dobrovoľná norma, ktorú si môže organizácia nechať certifikovať, aby preukázala, že má bezpečnosť informácií v poriadku. NIS2 je legislatíva s právnou povinnosťou starostlivosti, registračnou povinnosťou a hlasovacou povinnosťou, ktorá bola prevedená na jednotlivé krajiny — na Slovensku v zákone o kybernetickej bezpečnosti. Spoločnosť môže byť certifikovaná podľa ISO 27001 a napriek tomu musí podniknúť kroky na dodržanie právnych povinností, a naopak môže spoločnosť pracovať na dodržaní právnej povinnosti starostlivosti bez toho, aby niekedy chcela získať certifikát.
Kde sa prekrývajú
ISO 27001 pracuje s hodnotením rizík a zoznamom kontrolných opatrení (tzv. Príloha A), ktoré sa silne podobajú desiatim opatreniam, ktoré stanovuje povinnosť starostlivosti podľa NIS2: riadenie prístupu, šifrovanie, zálohy, hodnotenie dodávateľov, spracovanie incidentov a ďalšie sa nachádzajú v oboch. Organizácia, ktorá svoj systém ISO vážne udržiava, má už pre mnohé z týchto opatrení pripravený dôkaz a vlastníka. To výrazne znižuje prácu pri budovaní spisu pre povinnosť starostlivosti, a je to tiež presne dôvod, prečo sa odberatelia, ktorí posielajú zoznam bezpečnostných otázok, na certifikát ISO 27001 často pozerajú ako na silný signál.
Rozsah je však trochu iný. ISO 27001 umožňuje organizácii samotnej určiť rozsah systému riadenia — napríklad iba IT oddiel alebo iba jednu pobočku. Povinnosť starostlivosti podľa NIS2 sa vzťahuje na celý subjekt, ktorý podlieha zákonu, tak ako ho vymedzil zákonodarca a sektor. Certifikát s obmedzeným rozsahom preto automaticky nič nevypovie o zvyšku organizácie. Kto si chce ujasniť, ako sa táto vymedzenie uplatňuje na jednotlivý sektor, nájde to jasnejšie prostredníctvom prehliadania tém podľa situácie ako v samotnej norme.
Kde ISO 27001 nič neupravuje
Dve povinnosti vyplývajúce zo zákona nemajú ekvivalent v norme. Prvá je registračná povinnosť: podstatné a dôležité subjekty sa musia zaregistrovať pri národnom orgáne dohľadu so údajmi o organizácii a jej kontaktných osobách. ISO 27001 na to nič nepýta — je to norma certifikácie, nie právny portál.
Druhou je hlasovacia povinnosť v prípade incidentov. Článok 23 smernice opisuje postupný proces hlasovania príslušnému orgánu dohľadu s počiatočným signálom krátko po zistení a nasledujúcimi krokmi. ISO 27001 síce vyžaduje postup na spracovanie incidentov, ale tento postup je zameraný smerom dovnútra: opisuje, ako si organizácia sama incident vezme, nie komu a kedy ho musí nahlásiť zvonka. Kto chce jasne porozumieť tomuto rozdielu, môže si prečítať nasledujúce články v časti o hlasovacej povinnosti na tejto stránke.
Aj spôsob, akým sa hodnotia dodávatelia, sa líši váhou. ISO 27001 venuje pozornosť vzťahom s dodávateľmi ako súčasti širšieho posudzovania rizík. Povinnosť starostlivosti podľa NIS2 robí z hodnotenia reťazca výslovnú súčasť článku 21, čo vysvetľuje, prečo povinné organizácie túto tému tak zdôraznene prenášajú na svojich MKB dodávateľov prostredníctvom zoznamov otázok a zmluvných podmienok.
Čo to znamená v praxi
Pre organizácie, ktorá je už certifikovaná podľa ISO 27001, to zvyčajne znamená, že väčšina dôkazov už existuje, ale je potrebné ich inak usporiadať: pre každé opatrenie podľa povinnosti starostlivosti stav, dôkazný materiál a vlastník, plus texty na registráciu a hlásenie, ktoré norma nevyžaduje. Pre organizáciu bez certifikátu to znamená, že nemusí nevyhnutne začať s ISO procesom, aby pracovala na povinnosti starostlivosti — zákon vyžaduje opatrenia, nie samotný certifikát.
To, ako sa to presne vyvinie pre konkrétnu organizáciu, závisí od sektora, veľkosti a úlohy v dodávateľskom reťazci, a nakoniec to posúdi príslušný regulačný orgán alebo právnik, nie tento článok. Prvú indikáciu si vytvoríte zodpovedaním niekoľkých otázok a zistením, kde stojíte, a kto chce vedieť, ako sú informácie na tejto stránke zostavené a kde pochádzajú zdroje, číta to na stránke ako secria.eu informácie zostavuje.
Ak máte po prečítaní ďalšiu konkrétnu otázku o vašej vlastnej situácii, napríklad o tom, čo certifikát dokazuje a nepreukázuje voči odberateľovi? Pozrite si odpovede na často kladené otázky, alebo spustite bezplatnú kontrolu, aby ste zistili, ktorý ďalší krok sa hodí vašej organizácii.