NIS2 in ISO 27001: kakšna je razlika?
Standard pomaga, vendar ga ne pokriva v celoti. Kjer se prekrivata in kjer ne.
Zakon proti normi
NIS2 je zakonodaja: ste je podvrženi ali ne, in če ste, imate obveznosti, na katere se lahko nadzorni organ sklicuje. ISO 27001 je norma, pri kateri se lahko prostovoljno dajete certificirati pri revizoriu. Nihče vas ne more prisiliti k temu certifikatu in vas ne razrešuje zakona.
V praksi se medseboj dopolnjujeta. Kdor ima ISO 27001 certifikat, ima večino desetih področij že urejeno in dokumentirano, dokumentiranje pa je prav to, kje se zapletejo najbolj organizacije.
Kaj norma ne pokriva
Tri stvari manjkajo. Dolžnost registracije pri nadzornem organu v normi ne obstaja. Prav tako ne dolžnost prijavitve s časovnimi roki 24 ur, 72 ur in en mesec. In odgovornost vodstva s schulinsko obveznostjo je zakonska konstrukcija, ki je norma ne more urediti.
Nasprotno norma zahteva stvari, ki jih zakon ne zahteva, na primer v celoti dokumentiran sistem upravljanja z notranjimi preverkami. To je koristno, vendar vas nanj ne bo nihče objektivno ocenjeval.
Kaj morate storiti
Imate ISO 27001, ga uporabite kot osnovo in dodajte, kar zakon dodatno zahteva. Če ga nimate, ga ne začenjajte zaradi NIS2: proces certificiranja traja leto dni in stane desettisočine evrov ter vam zakonsko ne zagotavlja nič, česar ne bi mogli doseči tudi brez njega.
Kar res pomaga, je enako, kar norma dobro dela: dokumentiranje tega, kaj ste uredili, s pridruženim lastnikom in datumom.
Pogosta vprašanja
Ali moj odjemalec zahteva ISO 27001?
To se zgodi, zlasti pri večjih kupcev. Takrat gre za pogodbenski zahtevek in ne zakonskega. Dobro utemeljen lastni dosje je včasih sprejemljiva alternativa; vprašajte prej, preden začnete projekt.
Ali je NEN 7510 isto?
To je nizozemski standard za zaščito informacij v zdravstvu, ki temelji na ISO 27001 s specifičnimi dodatki za zdravstvo. Enak odnos do NIS2 velja: pomaga, vendar ga ne pokriva v celoti.
Ali delate revizije ali certificiranje?
Ne, in to je namerno. Revizija je delo neodvisne stranke, in kdor gradi dosje, ga ne more tudi oceniti. Mi strukturiramo, kar vi priložite, nič več.
To je razlaga, ne nasvet o vaši lastni situaciji. secria.eu ne ocenjuje vaše organizacije in ne daje zagotovil.