Nej, ett NIS2-certifikat finns inte. Det finns ingen myndighet — ingen certifieringsorgan, ingen tillsynsmyndighet, ingen branschorganisation — som utfärdar ett kvalitetsmärke eller certifikat som ett företag kan använda för att visa att det är "NIS2-certifierat". Den som erbjuder eller säljer ett sådant certifikat säljer något som faktiskt inte finns inom ramen för direktivet.
Det är inte en mindre nyans. NIS2 är ett direktiv som medlemsstater omvandlar till nationell lagstiftning, med en skyldighet att vidta lämpliga åtgärder: lämpliga tekniska och organisatoriska åtgärder för att hantera risker för nät- och informationssystem. Tillsynsmyndigheter kontrollerar om en organisation uppfyller denna skyldighet, inte om det finns ett certifikat på väggen. Det finns därför ingen tentamen, inget kvalitetsmärke och ingen stämpel som själva lagen föreskriver eller erkänner.
Varför frågan återkommer så ofta
Förvirringen är förståelig. För annan reglering, tänk på vissa kvalitetsnormer inom byggande eller livsmedelssäkerhet, finns det faktiskt en certifieringsprocess med en oberoende inspektör och ett giltigt certifikat. Leverantörer som vill tjäna på osäkerheten kring NIS2 spelar på detta: de antyder att en liknande process finns, med en revision, en rapport och ett vackert dokument i slutet. Det låter lugnande, särskilt för en direktör eller kontorschef som nyss hört att något "kommer" och snabbt söker en checklista.
Problemet är att ett sådant certifikat, hur övertygande det än ser ut, inte har någon juridisk status enligt direktivet eller dess nationella omvandling. En tillsynsmyndighet frågar inte efter ett certifikat; den granskar själva åtgärderna, hur de är dokumenterade och vem som ansvarar för dem.
Vad som faktiskt finns: erkända normer, ingen NIS2-stämpel
Det finns internationellt erkända normer för informationssäkerhet, med en certifieringsprocess via ett ackrediterat organ. Ett sådant certifikat visar att ett ledningssystem för informationssäkerhet har upprättats och granskas regelbundet. Det är värdefullt och kan underlätta samtalet med en tillsynsmyndighet eller en avnämare, eftersom det ger struktur och bevis. Men det är ett annat system, med egen omfattning och egen revisorer, och det täcker inte automatiskt varje åtgärd som skyldighetenen förväntar. Den som vill förstå denna skillnad exakt hittar jämförelsen i översikten över ämnen per situation.
Vad en tillsynsmyndighet eller avnämare faktiskt förväntar
I stället för ett certifikat kräver skyldighetenen att åtgärderna kan verifieras: kan organisationen visa vilka åtgärder som vidtagits, vem som ansvarar för dem och vilket bevis som finns till hands. Det är mindre ett kvalitetsmärke och mer ett levande register — ett dossier som följer organisationen, med status och ansvarig för varje åtgärd. För den som ännu inte vet om detta är relevant för den egna organisationen är första steget vanligtvis enkelt: titta på sektor, storlek och roll i leveranskedjan. Det kan göras gratis och utan konto via ett par frågor som omedelbar ger en indikation.
Även mot avnämare som skickar en säkerhetsfrågelista är ett certifikat inte den kortaste vägen. Avnämare vill vanligtvis se konkreta svar: vilka åtgärder finns det, hur är de organiserade, vad händer vid ett incident. Ett certifikat kan stödja detta, men ersätter inte det underliggande beviset.
Om en leverantör ändå erbjuder ett "NIS2-certifikat"
Om en certifieringskurs specifikt erbjuds under namnet NIS2, är det klokt att kritiskt granska vem som utfärdar den och på basis av vilken standard. Fråga efter ackrediteringen, den exakta omfattningen och vad certifikatet täcker respektive inte täcker. En granskning, ett penetrationstestning eller en certifiering enligt en erkänd standard är specialistarbete från utbildade parter — det är uttryckligen något helt annat än att förbereda policy, dossier och frågeformulär. Hur sådan förberedelse ser ut och varifrån de använda källorna kommer förklaras på sidan om hur informationen är uppbyggd.
För er egen situation och frågan om ett erbjudet certifikat motsvarar vad lagen i ert land precis kräver, är en jurist eller den behörig tillsynsmyndigheten rätt kontaktpunkt. Om ni är osäkra på om ett certifikat, en standard eller en frågelista är relevant för er organisation, ger översikten med vanliga frågor ofta redan ett första svar.
Vill ni veta var er organisation precis står, utan säljprat om certifikat som inte finns? Gör den kostnadsfria NIS2-kontrollen eller bläddra igenom kunskapsbanken — båda är tillgängliga utan konto.