NIS2 a STN EN ISO 27001: čo pokrýva certifikát a čo ešte chýba na splnenie požiadaviek KSC

V mnohých firmách sa diskusia o NIS2 začína otázkou na certifikát STN EN ISO 27001. Je to pochopiteľné, no z pohľadu vedenia a vlastníka procesu nejde o správne východisko. Najskôr treba určiť, či sa na organizáciu vzťahujú príslušné povinnosti, ktorých služieb a aktív sa týkajú a kto za ne zodpovedá. Až potom možno spoľahlivo posúdiť, čo existujúci systém manažérstva informačnej bezpečnosti skutočne pokrýva a ktoré medzery treba odstrániť na dosiahnutie súladu s KSC. Práve tu sa v praxi ukáže rozdiel medzi riadeným systémom a nákladnou ilúziou pripravenosti.

Najdrahšia chyba: zamieňanie certifikátu so súladom

Najväčšou chybou na začiatku nie je chýbajúci certifikát STN EN ISO 27001, ale predpoklad, že jeho vlastníctvo automaticky potvrdzuje splnenie povinností vyplývajúcich z NIS2 a vnútroštátnych predpisov implementujúcich KSC. Správna otázka pre vedenie neznie „máme STN EN ISO 27001?“, ale „vzťahujú sa na nás tieto povinnosti, v akom postavení a pre ktoré služby, procesy a aktíva?“. Až po určení postavenia subjektu, rozsahu činností podliehajúcich požiadavkám a zodpovednosti vedenia možno vyhodnotiť, do akej miery súčasný systém podporuje súlad a kde vytvára iba dojem usporiadanosti.

Toto rozlíšenie má priamy vplyv na rozsah projektu aj jeho rozpočet. Certifikát potvrdzuje zhodu systému manažérstva s požiadavkami normy v konkrétnom certifikovanom rozsahu, ktorý je spravidla uvedený na certifikáte a spresnený vo vyhlásení o aplikovateľnosti. Nenahrádza však analýzu zákonných povinností, identifikáciu významných služieb, posúdenie závislostí od dodávateľov ani určenie formálnych krokov, ktoré musí regulovaný subjekt vykonať. Vedenie preto musí oddeliť tri oblasti, ktoré sa v praxi často zamieňajú: systém manažérstva, regulačný súlad a prevádzkovú pripravenosť konať pod tlakom incidentu.

Najnákladnejšie sú projekty realizované v opačnom poradí. Organizácia najskôr upraví dokumentáciu a kontrolné mechanizmy pre certifikačný audit a až následne zistí, že mimo rozsahu zostali kritické procesy, povinnosti hlásenia incidentov, požiadavky na dodávateľov, zodpovednosť vedenia alebo odvetvové požiadavky. Vtedy už nestačí doplniť niekoľko postupov. Treba prepracovať rozsah systému, rozhodovacie právomoci aj spôsob reakcie.

Z prevádzkového hľadiska preto nestačí sledovať samotnú existenciu certifikátu. Dôležité sú tri ukazovatele: súlad certifikačného rozsahu s kritickými službami, výsledok sebahodnotenia pôsobnosti KSC a počet rozdielov medzi opísaným postupom a reálnou schopnosťou konať. Prirodzeným prvým krokom preto nie je rozširovanie dokumentácie, ale určenie, či organizácia spadá do rozsahu povinností a ktoré formálne kroky musí vykonať. Túto postupnosť dobre vysvetľuje aj téma NIS2: sebahodnotenie a zápis do zoznamu KSC – čo musí urobiť výrobná spoločnosť?. Práve v tomto bode sa rozhoduje, či firma buduje systém podľa skutočných povinností, alebo iba podľa pohodlnej, no drahej predstavy o pripravenosti.

Čo STN EN ISO 27001 pokrýva reálne, nielen deklaratívne

Najväčšia praktická hodnota STN EN ISO 27001 nespočíva v samotnom certifikáte. Dobre zavedený systém pomáha riadiť informačnú bezpečnosť ako súčasť manažérstva organizácie. Najsilnejšiu oporu poskytuje tam, kde je potrebný procesný prístup: pri posudzovaní a ošetrovaní rizík, tvorbe politík a pravidiel dohľadu, prideľovaní rolí a zodpovedností, identifikácii informačných aktív, riadení incidentov, zabezpečení kontinuity a pri mechanizmoch preskúmania a zlepšovania. Ak tieto prvky fungujú aj mimo prípravy na audit, firma má pevný základ na preukázanie, že bezpečnosť nie je súborom izolovaných opatrení, ale riadeným systémom prepojeným s prevádzkovými rozhodnutiami.

Vedenie by však nemalo posudzovať iba certifikát, ale najmä jeho využiteľnosť vo vzťahu k službám, procesom a závislostiam s regulačným významom. Rovnaký certifikát môže predstavovať vyspelý systém zahŕňajúci kritické procesy, pravidelné preskúmania, nápravné opatrenia a reálny dohľad vlastníkov procesov, alebo úzko vymedzený systém obmedzený na vybranú časť organizácie. Pred sebahodnotením podľa NIS2 a KSC preto treba preveriť nielen vyhlásenie o aplikovateľnosti, ale aj zoznam procesov zahrnutých do posúdenia rizík, výsledky interných auditov, výstupy z preskúmania manažmentom a to, či sa rozhodnutia o rizikách premietajú do rozpočtov, zmlúv, architektúry služieb a režimu reakcie.

Výrazne sa to prejavuje vo firmách pôsobiacich v dodávateľských reťazcoch. STN EN ISO 27001 spravidla pomáha usporiadať zmluvné požiadavky, klasifikáciu informácií, pravidlá prístupu, zodpovednosť dodávateľov a spôsob dokumentovania výnimiek. Ide o užitočný základ, najmä ak zákazníci požadujú preukázateľný dohľad nad partnermi. Norma však automaticky nepokrýva všetky odvetvové očakávania ani osobitné sektorové kritériá. Podobná otázka sa rieši v článku STN EN ISO 27001 alebo TISAX – čo zvoliť, ak zákazník vyžaduje informačnú bezpečnosť v dodávateľskom reťazci? Certifikácia pomáha nastaviť vzťahy a zodpovednosti, nenahrádza však overenie dodatočných požiadaviek, ktoré treba zahrnúť do zmlúv, eskalačných postupov a dohľadu nad externými službami.

Záver je jednoznačný: certifikát môže výrazne skrátiť cestu k riadenému systému bezpečnosti, sám osebe však nie je dôkazom splnenia povinností podľa KSC. Certifikačný audit overuje zhodu systému manažérstva s požiadavkami normy vo vymedzenom rozsahu. Neoveruje to isté ako posudzovanie zákonných povinností a prevádzkovej pripravenosti. Organizácia preto musí súbežne preveriť, či systém zahŕňa relevantné procesy, či bolo posúdenie rizík aktualizované podľa reálnych služieb a závislostí a či postupy reakcie, kontinuity a dohľadu nad dodávateľmi fungujú aj v praxi.

Kde certifikát nestačí

Prvá medzera sa týka samotného regulačného súladu. Systém manažérstva informačnej bezpečnosti usporadúva pravidlá, roly a dohľad, no sám neposkytne odpoveď na otázku, či bol subjekt správne klasifikovaný z pohľadu povinností KSC, kto zodpovedá za formálne hlásenia, kto udržiava vzťah s príslušným orgánom a ako sa rozhodnutia eskalujú vedeniu. Nejde iba o chýbajúci dokument, ale o chybu v návrhu zodpovedností. Ak tieto prvky nie sú začlenené do skutočného modelu fungovania spoločnosti, certifikát vytvára vnútorný poriadok, ale ešte nezabezpečuje schopnosť riadiť regulačné povinnosti.

Druhá medzera sa týka rozsahu. Mnohé organizácie majú certifikáciu obmedzenú na vybranú lokalitu, jednu spoločnosť, konkrétny útvar alebo časť podporných služieb. Posúdenie pripravenosti podľa KSC však musí vychádzať z reálnej mapy služieb, kritických procesov, aktív a závislostí, nie z hraníc certifikačného auditu. Ak významnú alebo dôležitú službu poskytuje viacero spoločností v skupine s podporou externého dátového centra, spoločného tímu údržby alebo distribuovaného procesu riadenia incidentov, formálne správny certifikát môže pokrývať iba časť celku. Rozhodnutie vedenia potom nespočíva len v otázke rozšírenia certifikátu. Treba rozhodnúť, či vytvoriť jeden integrovaný program súladu, alebo dva koordinované prúdy: certifikačný a regulačný.

Tretia medzera má dôkazný charakter a spravidla sa prejaví až počas incidentu, cvičenia alebo kontroly. Organizácia má postupy reakcie, kontinuity činností a dohľadu nad dodávateľmi, no nevie preukázať ich prevádzkovú účinnosť. Chýba evidencia incidentov, záznamy o rozhodnutiach vedenia, výsledky cvičení, preskúmania po udalostiach, ukazovatele účinnosti alebo zdokumentované nápravné opatrenia. Systém je v takom prípade opísaný, ale nie preukázaný. Práve tu vznikajú najdrahšie nápravné zásahy, pretože nestačí upraviť text postupov. Treba zmeniť aj reportovanie vedeniu, rytmus preskúmaní a zodpovednosť vlastníkov procesov. Rovnaký mechanizmus možno pozorovať aj v iných systémoch manažérstva, napríklad v článku IATF 16949 – ktoré požiadavky najviac ovplyvňujú každodenné riadenie kvality a ako ich plniť bez predstierania súladu.

Štvrtá medzera sa týka dodávateľského reťazca a externých závislostí. Norma pomáha usporiadať požiadavky na dodávateľov, no súlad s KSC môže vyžadovať podrobnejšie mapovanie: ktoré externé služby podporujú poskytovanie kritickej služby, kde sa nachádzajú jednotlivé body zlyhania, aké scenáre narušenia treba zohľadniť a do akej miery je možné nahradiť dodávateľa, personál alebo lokalitu. V praxi preto nestačí sledovať existenciu zmlúv a hodnotení dodávateľov. Treba porovnať rozsah certifikátu so skutočnou mapou kritických služieb, overiť úplnosť evidencie incidentov a cvičení a kontrolovať aktuálnosť preskúmaní dodávateľov a závislostí. Až takýto pohľad ukáže, či organizácia disponuje riadeným systémom, alebo len jeho formálnym obrazom.

Program súladu treba postaviť na službách, nie na dokumentoch

Častou chybou je začať projekt preskúmaním politík, postupov a záznamov STN EN ISO 27001 namiesto určenia služieb, ktoré musí organizácia reálne udržať, a regulačných povinností, ktoré s nimi súvisia. Správne poradie je opačné: najskôr sa identifikujú služby, procesy, aktíva a závislosti kritické z pohľadu kontinuity a zodpovednosti podľa KSC. Až následne sa k nim priradia systémové požiadavky a požadované dôkazy. Iba tak možno rozlíšiť dokumentáciu, ktorá je potrebná, od dokumentácie bez reálnej riadiacej hodnoty.

Pre vedenie to znamená rozhodnúť o vytvorení mapy kritických služieb, závislostí od dodávateľov a systémov a zoznamu existujúcich postupov, ktoré možno využiť bez zdvojovania mechanizmov. Až na tomto základe sa ukáže, či súčasný systém pokrýva to, čo má skutočný význam pre zachovanie služby a súlad, alebo iba oblasti, ktoré boli historicky zahrnuté do certifikačného rozsahu.

Druhým krokom je model zodpovedností. Ak je informačná bezpečnosť rozdelená medzi IT, kvalitu, compliance, údržbu a nákup bez jednoznačného rozdelenia rolí, projekt sa rýchlo zmení na súbor lokálnych iniciatív. Treba preto určiť, kto vlastní riziko, kto riadi incidenty, kto dohliada na vzťahy s dodávateľmi, kto prijíma manažérske rozhodnutia a kto spravuje dôkazy o súlade. V praxi sa osvedčuje jednoduchá matica rolí a zodpovedností a jednotný cyklus preskúmania vedením namiesto viacerých paralelných reportovacích trás. V tejto fáze treba tiež rozhodnúť, či vytvoriť jeden riadiaci výbor pre súlad a bezpečnosť a či prevádzkové technológie zaradiť do rovnakého modelu riadenia rizík.

Vo výrobných organizáciách a podnikoch s viacerými prevádzkami má tento prístup mimoriadny význam. Incident sa tam nemusí skončiť stratou dôvernosti údajov. Môže viesť k zastaveniu linky, narušeniu plánovania, strate vysledovateľnosti šarží alebo neschopnosti poskytovať službu. Informačnú bezpečnosť preto treba prepojiť s prevádzkovou kontinuitou, údržbou a prostredím prevádzkových technológií. Ak systém manažérstva pokrýva iba kancelárske prostredie, ale vynecháva riadenie technológií, vzdialený servis, závislosti od integrátorov alebo núdzové postupy v prevádzke, obraz rizika bude formálne usporiadaný, no prevádzkovo neúplný. Rovnaká projektová disciplína je potrebná aj v iných oblastiach s vysokými požiadavkami na dohľad, napríklad pri témach opísaných v článku ASME, NQA-1 a ISO 19443 — tri skratky, ktoré musí poznať dodávateľ pre jadrový sektor.

Až na tomto základe má zmysel použiť existujúci systém STN EN ISO 27001 ako základnú vrstvu a vykonať samostatnú analýzu medzier voči KSC. Jej cieľom nie je spochybňovať certifikát, ale overiť, kde už existuje skutočné pokrytie a kde treba doplniť postupy, registre, eskalačné trasy alebo dôkazy o fungovaní. Takýto prístup obmedzuje nadbytočnú dokumentáciu a umožňuje lepšie riadiť súlad mechanizmov než dve oddelené, navzájom si konkurujúce implementácie.

Ako overiť skutočný stav pred auditom alebo kontrolou

Pred auditom, sebahodnotením alebo kontrolou sa netreba pýtať, či organizácia „má STN EN ISO 27001“, ale či vie preukázať reálnu pripravenosť konať a zodpovednosť za rozhodnutia. Túto pripravenosť treba hodnotiť v štyroch vrstvách: najskôr určiť rozsah a postavenie voči povinnostiam, potom overiť návrh systému manažérstva, následne účinnosť procesov a napokon úplnosť dôkazov. Iba tak možno odlíšiť dokumentačný poriadok od skutočnej prevádzkovej spôsobilosti.

Najužitočnejšia otázka preto neznie „máme postup?“, ale „vieme, kedy ho aktivovať, kto prijíma rozhodnutie, aké sú prahové hodnoty eskalácie, ako to preukážeme a či sme daný scenár precvičili?“. Ak riadenie incidentu závisí od znalostí jednej osoby, požiadavky na bezpečnosť nie sú priradené k vzťahom s dodávateľmi a vedenie dostáva iba všeobecné správy bez rozhodnutí a termínov, systém môže byť formálne v súlade s vlastným opisom, no stále nebude pripravený na konanie pod tlakom.

Preskúmanie pripravenosti preto musí zahŕňať rozhrania medzi vedením, prevádzkou, IT, údržbou a dodávateľmi. Práve na týchto miestach sa najčastejšie objavia medzery, ktoré zo samotných postupov nie sú viditeľné. V praxi sa osvedčuje analýza medzier vykonaná spôsobom podobným prevádzkovému auditu. Neposudzuje sa iba obsah dokumentov, ale aj priebeh rozhodovania, eskalačné trasy, záznamy o incidentoch, výsledky testov a cvičení, evidencia nezhôd, pozorovaní a nápravných opatrení.

Vhodnou skúškou je jednoduchý scenár: u kľúčového dodávateľa vznikne incident alebo dôjde k narušeniu výrobného prostredia. Treba určiť, kto klasifikuje udalosť, kto aktivuje komunikáciu, kto posudzuje vplyv na službu a aké dôkazy po rozhodnutí zostanú. Ak sú odpovede rozptýlené a organizácia sa odvoláva na „prax“, ktorú nikto nevie spätne preukázať záznamami, pripravenosť je iba zdanlivá – aj keď je systém manažérstva formálne správne udržiavaný.

Ak organizácia už vykonáva interné audity STN EN ISO 27001, môže ich využiť ako nástroj na takéto overenie. Kritériá auditu však treba rozšíriť o regulačné povinnosti a dôkazy očakávané z pohľadu KSC. Audítorské zručnosti sú pritom veľmi užitočné, podobne ako kompetencie osôb pripravujúcich sa na úlohu vedúceho alebo interného audítora. Prirodzeným referenčným materiálom môže byť aj článok Vedúci audítor STN EN ISO 27001: komplexný sprievodca certifikáciou a požiadavkami normy. Treba však zachovať správne poradie: audítorská kompetencia pomáha preveriť systém, nenahrádza však analýzu právnych a organizačných povinností vzťahujúcich sa na konkrétnu firmu.

Rozhodnutie vedenia: certifikát ako základ, nie ako alibi

Najrozumnejším prístupom je považovať STN EN ISO 27001 za základ riadeného systému, nie za samostatný dôkaz splnenia všetkých povinností vyplývajúcich z NIS2 a KSC. Certifikovaný systém pomáha usporiadať zodpovednosti, posudzovanie rizík, dohľad nad incidentmi, auditovanie a zlepšovanie. Organizáciu však nezbavuje povinnosti určiť, ktoré požiadavky sa na ňu vzťahujú, v akom rozsahu a aké dôkazy potrebuje na preukázanie účinnosti.

Z pohľadu vedenia nie je najväčším rizikom medzera v dokumentácii, ale ilúzia pripravenosti: presvedčenie, že certifikovaný systém automaticky znamená pripravenosť na požiadavky vnútroštátneho právneho rámca. Rozhodnutie preto nemá byť obmedzené na otázku udržania alebo rozšírenia certifikácie. Najskôr treba vyriešiť tri riadiace úlohy:

• potvrdiť postavenie organizácie a rozsah jej povinností,
• vykonať analýzu medzier medzi existujúcim systémom a požiadavkami KSC,
• nastaviť model dohľadu nad realizáciou opatrení a dôkazmi o ich účinnosti.

Až potom možno zodpovedne rozhodnúť, či firma potrebuje rozšíriť certifikačný rozsah, alebo postačí využiť súčasný systém STN EN ISO 27001 a doplniť chýbajúce organizačné, právne a prevádzkové mechanizmy. Užitočné sú tri jednoduché nástroje riadenia: porovnanie aktuálneho certifikačného rozsahu s mapou kritických procesov, zoznam medzier s vyhodnotením ich vplyvu na riziko a súlad a akčný plán s vlastníkmi úloh, termínmi a kritériami uzavretia.

Ak organizácia ešte len volí ďalší postup, poradie prác nemusí byť všade rovnaké. Pri silnom tlaku zákazníkov alebo požiadavkách verejných súťaží môže byť vybudovanie systému smerujúceho k certifikácii opodstatneným prvým krokom, pokiaľ sa súbežne neodkladá analýza regulačných povinností. Vo firmách s vysokým prevádzkovým rizikom alebo rozptýleným modelom zodpovedností môže byť vhodnejšie najskôr uzavrieť regulačné medzery a až potom upraviť certifikačný rozsah. Nejde o poradie formalít, ale o poradie znižovania rizika. Aj tému Certifikát ISO: prínosy a proces zavedenia preto treba posudzovať ako súčasť širšieho rozhodnutia o riadení súladu, nie oddelene od prevádzkového modelu firmy.

Najlepšie výsledky prináša jeden súdržný program, v ktorom sa informačná bezpečnosť, kontinuita činností, dohľad nad dodávateľmi a regulačné povinnosti riadia ako súčasť prevádzkového modelu firmy, nie ako oddelené iniciatívy rôznych útvarov. V poľských podmienkach práve rozdelená zodpovednosť často oslabuje schopnosť konať a preukázať splnenie povinností. Záver je preto jednoduchý: certifikát pomáha a môže výrazne skrátiť cestu k riadenému systému, súlad však treba samostatne navrhnúť, zaviesť a podložiť dôkazmi zodpovedajúcimi požiadavkám NIS2 a KSC.