Potrdilo za ISO 27001 opazno pomaga pri izvajanju obveznosti skrbi po NIS2, vendar je ne pokriva v celoti. Standard opisuje, kako organizacija sistematično obravnava varnost informacij prek sistema upravljanja; Direktiva NIS2 (zlasti 21. člen) opisuje, katere konkretne ukrepe mora sprejeti subjekt kritične ali pomembne infrastrukture, 23. člen pa obvezuje k prijavitvi dogodkov pri nadzornem organu. Tega zadnjega ne ureja noben standard ISO, četudi je potrdilo sicer odličnog.
Razlika torej ne leži v kakovosti, temveč v namenu. ISO 27001 je prostovoljna norma, ki jo lahko organizacija certificira, da dokaže, da ima varnost informacij v redu. NIS2 je zakonodaja s pravno obveznostjo skrbi, obveznostjo registracije in obveznostjo prijave, ki je bila prenesena v vsako državo – v Nizozemski v Zakon o kibernetski varnosti. Podjetje je lahko certificirano za ISO 27001 in kljub temu še vedno mora sprejeti dodatne ukrepe, da izpolni zakonske obveznosti, in obratno: lahko dela na izpolnjevanju zakonske obveznosti skrbi brez namere, da bi kdaj pridobilo potrdilo.
Kjer se prekrivata
ISO 27001 deluje z oceno tveganja in seznamom kontrol (t. i. Annex A), ki so si podobne desetim ukrepom, ki jih zahteva obveznost skrbi po NIS2: nadzor dostopa, šifriranje, varnostne kopije, ocena dobaviteljev, obravnavanje dogodkov in še kaj se v obeh pojavi. Organizacija, ki resno vzdržuje svoj sistem ISO, že ima za mnoge od teh ukrepov pripravljeno dokazilo in lastnika. To znatno zmanjša delo pri gradnji dossierja za obveznost skrbi, in ravno zato so uporabniki, ki pošiljajo vprašalnik o varnosti, potrdilo ISO 27001 pogosto obravnavali kot močan signal.
Obseg je nekoliko drugačen. ISO 27001 pusti organizaciji, da sama določi obseg sistema upravljanja – na primer le oddelek IT ali samo eno lokacijo. Obveznost skrbi po NIS2 velja za celoten subjekt, ki spada pod zakon, kot ga je opredelil zakonodajalec in sektor. Potrdilo z omejenim obsegom zato ne pove nujno nič o preostalem delu organizacije. Kdor želi vedeti, kako se ta opredelitev za njegov sektor obnaša, bo to bolj pregledno našel prek iskanja po temah glede na situacijo kot pa v sami normi.
Kaj ISO 27001 ne ureja
Dve obveznosti iz zakona nimata ustreznika v normi. Prva je obveznost registracije: subjekti kritične in pomembne infrastrukture se morajo registrirati pri nacionalnem nadzornem organu z podatki o organizaciji in njenih stičnih osebah. ISO 27001 o tem ne sprašuje – gre za standard certificiranja, ne za pravno okence.
Druga je obveznost prijave pri dogodkih. 23. člen direktive opisuje stopnjski postopek prijave pristojnemu nadzornemu organu s prvim signalom kmalu po odkritju in nadaljevanjem pozneje. ISO 27001 res zahteva postopek za obravnavanje dogodkov, vendar je ta postopek usmerjen navznoter: opisuje, kako organizacija sama obravnava dogodek, ne pa komu in kdaj ga mora prijaviti zunaj. Kdor želi to razliko jasno videti, lahko prebere sestavljanje teh rokov v prejšnjem članku o obveznosti prijave na tem mestu.
Tudi način, na katerega se ocenjujejo dobavitelji, se razlikuje po teži. ISO 27001 posveča pozornost odnosom z dobavitelji kot delu širše ocene tveganja. Obveznost skrbi po NIS2 naredi oceno verige do izrecnega dela 21. člena, kar razlaga, zakaj plicholne organizacije to temo tako jasno vraćajo svojim dobaviteljem iz MKB preko vprašalnikov in pogojnih zahtev.
Kaj to v praksi pomeni
Za organizacijo, ki je že ISO 27001-certificirana, to običajno pomeni, da je velik del dokazov že obstaja, vendar jih je treba samo drugače urediti: za vsak ukrep za zmanjšanje tveganja status, dokaz in lastnik, ter besedila za vpis in obvestilo, ki jih standard ne predpisuje. Za organizacijo brez certifikata pa to pomeni, da ni nujno, da bi morala začeti ISO-postopek, da bi delala na zmanjšanju tveganja — zakon zahteva ukrepe, ne certifikata kot takega.
Ali in kako se to za konkretno organizacijo natančno izkaže, je odvisno od sektorja, velikosti in vloge v dobavni verigi, in to na koncu oceni pristojni nadzorni organ ali pravnik, ne ta članek. Prvo napotko dobite z nekaj vprašanji boste videli, kje ste, in kdor želi vedeti, kako je informacija na tej spletni strani sestavljena in od kod prihajajo viri, to prebere na strani o kako secria.eu sestavi informacije.
Ali imate po branju še konkretno vprašanje o vaši lastni situaciji, na primer o tem, kaj certifikat dokazuje in kaj ne glede na odjemalca? Poglejte si odgovore na pogosto zastavljena vprašanja, ali pa opravite brezplačno preverjanje, da vidite, kateri naslednji korak ustreza vaši organizaciji.