Ne, NIS2-certifikat ne obstaja. Ni nobene institucije — ni certifikacijskega organa, ni nadzornega organa, ni panožne organizacije — ki bi izdala znak kakovosti ali certifikat, s katerim bi se podjetje lahko izkazalo, da je "certificirano po NIS2". Kdor takšen certifikat ponuja ali prodaja, prodaja nekaj, kar pravzaprav ne obstaja v okviru te direktive.
To ni majhna niansa. NIS2 je direktiva, ki jo države članice prenesejo v nacionalno zakonodajo s preusmeritvijo, ki zavezuje organizacije, da sprejmejo ustrezne tehnične in organizacijske ukrepe za upravljanje tveganj za omrežne in informacijske sisteme. Nadzorni organi preverjajo, ali organizacija izpolnjuje to zavezanost, ne pa ali ima certifikat na steni. Zato ni izpita, niti znaka kakovosti niti žiga, ki bi ga sam zakon predpisal ali priznal.
Zakaj se vprašanje nenehno pojavljuje
Zmeda je razumljiva. Pri drugih zakonskih predpisih, na primer pri nekaterih standardih kakovosti v gradbeni ali prehranski varnosti, obstaja certifikacijski postopek z neodvisnim revizorjem in veljavnim certifikatom. Ponudniki, ki želijo izkoriščati negotovost okoli NIS2, to izkoriščajo: predlagajo, da obstaja podoben postopek s pregledom, poročilom in lepim dokumentom na koncu. To zveni pomirjujoče, še posebej za direktorja ali vodjo pisarne, ki je pravkar slišal, da "nekaj prihaja" in hitro išče kontrolni seznam.
Problem je v tem, da tak certifikat, ne glede na to, kako prepričljivo izgleda, nima pravnega statusa v direktivi ali njenem nacionalnem prenosa. Nadzorni organ ne prosi za certifikat; pogleda same ukrepe, kako so dokumentirani in kdo je zanje odgovoren.
Kaj res obstaja: priznani standardi, ne NIS2-žiga
Obstajajo mednarodno priznani standardi za varnost informacij s certifikacijskim postopkom prek akreditirane institucije. Takšen certifikat dokazuje, da je vzpostavljen sistem upravljanja varnosti informacij in da se redno preverja. To je dragoceno in lahko olajša pogovor z nadzornim organom ali kupcem, ker zagotavlja strukturo in dokaze. Toda to je drugačen sistem s svojo področjem uporabe in svojo revizijsko hišo, in ne pokriva avtomatično vsakega ukrepa, ki ga pričakuje zavezanost. Kdor si želi natančno razumeti to razliko, najde primerjavo v pregledu vsebin po situaciji.
Kaj nadzorni organ ali kupec res pričakuje
Namesto certifikata zavezanost zahteva dokazljivost: ali lahko organizacija pokaže, katere ukrepe je sprejela, kdo je zanje odgovoren in kakšni dokazi so priloženi. To je manj o znaku kakovosti in več o živem registru — dossieju, ki se premika skupaj z organizacijo, z vsakim ukrepom ima status in lastnika. Za tiste, ki še ne vedo, ali je to relevantno za njihovo organizacijo, je prvi korak ponavadi preprost: pogledati sektor, velikost in vlogo v dobavni verigi. To je brezplačno in brez računa prek nekaj vprašanj, ki takoj dajo navedbo.
Tudi smer do kupcev, ki pošiljajo vprašalnik o varnosti, certifikat ni najkrajša pot. Kupci običajno želijo videti konkretne odgovore: katere ukrepe so sprejeli, kako so urejeni, kaj se zgodi ob incidentu. Certifikat lahko pri tem pomaga, vendar ne nadomešča temeljnih dokazov.
Če ponudnik kljub temu ponuja "NIS2-certifikat"
Če se certificirajući program posebej ponuja pod imenom NIS2, je pametno kritično pogledati, kdo ga издаје in na podlagi katere norme. Vprašajte se za akreditacijo, za natančen obseg in za to, kaj certifikat pokriva in kaj ne. Revizija, test penetracije ali certificiranje glede na priznan standard je delo specialistov — to je izrecno nekaj drugega kot priprava politik, dossiejev in seznamov vprašanj. Kako je videti takšna priprava in od kod prihajajo uporabljeni viri, je razloženo na strani o tem, kako so informacije zgrajene.
Za lastno situacijo in za vprašanje, ali ponujeni certifikat ustreza temu, kar zakon v vaši državi natančno zahteva, ostajata pravnik ali pristojni nadzorni organ pravo stičišče. Če ste v dvomih, ali je certifikat, standard ali seznam vprašanj relevanten za vašo organizacijo, pogosto že daje pregledu pogosto zastavljenih vprašanj prvi odgovor.
Ali želite vedeti, kje točno stoji vaša organizacija, brez prodajnega govora o certifikatih, ki ne obstajajo? Naredite brezplačno preverjanje NIS2 ali brskajte po znanjem — oboje je dostopno brez računa.