ISO 27001 un NIS2 Latvijā: kopīgais un atšķirīgie pienākumi

Divi atšķirīgi atskaites punkti

ISO/IEC 27001 ir standarts informācijas drošības pārvaldības sistēmai. NIS2 jeb Direktīva (ES) 2022/2555 ir Eiropas Savienības regulējums, kura prasības dalībvalstis pārņem savos tiesību aktos. Latvijā galvenie avoti ir Nacionālās kiberdrošības likums un MK noteikumi Nr. 397 “Minimālās kiberdrošības prasības”.

NIS2 pati par sevi neprasa katrai tās tvēruma organizācijai iegūt ISO/IEC 27001 sertifikātu. Savukārt sertifikāts automātiski neapliecina visu tiesību aktos paredzēto pienākumu izpildi. Šis secinājums izriet no regulējuma un standarta atšķirīgā priekšmeta un pārbaudes kritērijiem.

Vispirms pārbaudiet piemērojamību

Organizācijas darbība, lielums, pakalpojumu veids un īpašie nosacījumi ietekmē likuma piemērojamību. Viena nozares atslēgvārda vai darbinieku skaita pārbaude var būt nepietiekama. Ja organizācija ir uzņēmumu grupā vai darbojas vairākās valstīs, noskaidrojiet arī juridisko personu un pakalpojumu attiecības.

Praktiski sagatavojiet īsu faktu kopumu: sniegtie pakalpojumi, juridiskās personas, darbības valstis, klientu veids, lieluma rādītāji un atbildīgā persona. Nepieciešamības gadījumā precizējiet piemērojamību ar kompetento iestādi vai juridisko konsultantu. Šī ceļveža mērķis ir organizēt darba pieeju, nevis noteikt konkrēta uzņēmuma statusu.

Salīdziniet tvērumu pirms kontroļu kartēšanas

ISO/IEC 27001 sistēmas tvērums var aptvert vienu pakalpojumu. Tiesību aktos noteikts pienākums var attiekties uz plašāku darbību. Piemēram, sertifikāts, kura tvērumā ir klientu portāla darbības pārvaldība, vēl nepierāda, ka izvērtēta visa organizācijas infrastruktūra, kurai piemērojamas kiberdrošības prasības.

Sagatavojiet divus darbības aprakstus: ko aptver IDPS un uz ko attiecas konkrētā normatīvā prasība. Identificējiet trūkstošos procesus, vietas, sistēmas un piegādātājus. Tikai pēc tam sāciet vērtēt, kurus esošos pierādījumus var izmantot atkārtoti.

Kā izmantot kopīgus procesus

Praktiskas jomas salīdzināšanai, nevis juridiskas līdzvērtības tabula

Joma	IDPS darbā radīts materiāls	Kas papildus jāpārbauda
Risku pārvaldība	Risku reģistrs un apstrādes plāns	Vai tie aptver tiesību aktos prasīto darbību un nepieciešamo informāciju?
Incidenti	Incidentu apstrādes kārtība un uzskaite	Vai pareizi noteikta ziņošanas iestāde, kritēriji, saturs un termiņi?
Piegādātāji	Piegādātāju novērtējumi un līgumu pārskate	Vai izpildīti konkrētajam ārpakalpojumam piemērojamie nosacījumi?
Nepārtrauktība	Atjaunošanas plāni un pārbaužu ieraksti	Vai pierādījumi aptver attiecīgās sistēmas un normatīvās prasības?
Vadība un kompetence	Atbildības, apmācību un vadības lēmumu ieraksti	Vai ievērotas likuma prasības konkrētajām lomām un pienākumiem?

Piemēram, incidentu procedūra var kalpot abiem mērķiem. Tajā aprakstiet iekšējo reaģēšanu un atsevišķi uzturiet piemērojamo ziņošanas prasību pārskatu. Vadītājam jāspēj atrast, kurš pieņem lēmumu, kam ziņo un kā pārbauda termiņa ievērošanu.

Veidojiet prasību un pierādījumu reģistru

Vienā darba tabulā norādiet tiesību akta nosaukumu un konkrēto normu, piemērojamības pamatojumu, atbildīgo, saistīto procesu, pierādījumu un neatrisināto jautājumu. Atzīmējiet datumu, kurā redakcija pārbaudīta. Tā var izmantot jau veiktu darbu, saglabājot katras prasības izsekojamību.

Neaizstājiet juridisko izvērtējumu ar vispārīgu kartējumu “ISO kontrole = NIS2 izpildīts”. Divas līdzīgas prasības var atšķirties tvēruma, termiņa, dokumenta satura vai kompetences nosacījumu ziņā. Ja materiāls der tikai daļēji, reģistrā norādiet nepieciešamo papildinājumu.

Organizācijām, kas strādā pie abiem mērķiem, OffSeq piedāvā NIS2 un ISO 27001 gatavības atbalstu. Darba tvērumu un sagaidāmos rezultātus saskaņo atbilstoši piemērojamajām prasībām.

Nošķiriet sertifikācijas auditu no likumā paredzēta audita

ISO/IEC 27001 sertifikācijas auditu veic pret standarta prasībām un noteikto tvērumu. Nacionālās kiberdrošības likumā paredzētam ārējam atbilstības auditam ir atsevišķs tiesiskais pamats un piemērojamie nosacījumi. Sertifikācijas auditu nedrīkst automātiski uzskatīt par tā aizstājēju.

Ja vajadzīgs normatīvajos aktos paredzēts audits, pirms iepirkuma precizējiet tā pamatu, kritērijus un aktuālās prasības auditoram. Personīgs ISO/IEC 27001 auditora kvalifikācijas sertifikāts pats par sevi neatbild uz visiem šiem jautājumiem.

Praktisks nākamais solis

Salīdziniet sava ieviešanas plāna tvērumu ar identificētajiem juridiskajiem pienākumiem. Izveidojiet trīs sarakstus: pierādījumi, kurus var izmantot; materiāli, kas jāpapildina; un jautājumi, kam vajadzīgs atsevišķs juridisks vai tehnisks izvērtējums. Katram atlikušajam darbam piešķiriet atbildīgo un pārbaudes datumu.