NIS2 și SR EN ISO 27001: ce acoperă certificarea și ce mai lipsește pentru conformarea cu KSC

În multe companii, discuția despre NIS2 începe cu întrebarea dacă este necesar un certificat SR EN ISO 27001. Este firesc, dar, din perspectiva conducerii și a proprietarului de proces, acesta este un punct de plecare greșit. Mai întâi trebuie stabilit dacă organizației i se aplică obligațiile, ce servicii și active sunt vizate și cine răspunde pentru acestea. Abia apoi poate fi evaluat riguros ce acoperă în mod real actualul sistem de management al securității informației și ce mai lipsește pentru conformarea cu KSC. În practică, aici se vede diferența dintre un sistem bine controlat și o iluzie costisitoare de pregătire.

Cea mai costisitoare eroare: confundarea certificatului cu conformitatea

Cea mai gravă eroare inițială nu este lipsa certificatului SR EN ISO 27001, ci presupunerea că existența acestuia confirmă automat conformitatea cu obligațiile rezultate din NIS2 și din prevederile naționale de implementare a KSC. Pentru conducere, întrebarea corectă nu este „avem SR EN ISO 27001?”, ci „ni se aplică obligațiile, în ce calitate și pentru ce servicii, procese și active?”. Numai după clarificarea statutului entității, a activităților supuse cerințelor și a răspunderii conducerii se poate evalua în ce măsură sistemul existent susține conformitatea și unde creează doar aparența de control.

Această distincție are consecințe directe asupra proiectului și bugetului. Certificatul confirmă conformitatea sistemului de management cu cerințele standardului, în limitele unui domeniu de certificare definit, descris de regulă în certificat și detaliat prin Declarația de aplicabilitate. Nu înlocuiește însă analiza obligațiilor legale, identificarea serviciilor relevante, evaluarea dependențelor față de furnizori sau stabilirea demersurilor formale pe care organizația trebuie să le îndeplinească în calitate de entitate supusă reglementării. Conducerea trebuie, așadar, să separe trei dimensiuni frecvent confundate în practică: sistemul de management, conformitatea cu cerințele de reglementare și capacitatea operațională de răspuns sub presiunea unui incident.

Cele mai mari costuri apar în proiectele derulate în ordine inversă. Organizația își structurează mai întâi documentația și controalele pentru auditul de certificare, pentru ca ulterior să constate că procesele critice, obligațiile de raportare a incidentelor, cerințele aplicabile furnizorilor, responsabilitățile conducerii sau cerințele sectoriale au rămas în afara domeniului. În această situație, completarea câtorva proceduri nu este suficientă. Trebuie revizuite domeniul sistemului, rolurile decizionale și modul de răspuns.

Din perspectivă operațională, nu simpla existență a certificatului trebuie măsurată, ci trei aspecte: alinierea domeniului de certificare cu serviciile critice, rezultatul autoevaluării privind aplicabilitatea KSC și numărul de neconcordanțe dintre procedurile aprobate și capacitatea reală de acțiune. Primul pas firesc nu este, prin urmare, extinderea documentației, ci stabilirea aplicabilității obligațiilor și a demersurilor formale necesare. Această ordine este explicată și în materialul NIS2: autoevaluarea și înscrierea în registrul KSC – ce trebuie să facă o companie de producție?, deoarece aici se clarifică dacă organizația construiește sistemul în jurul unor obligații reale sau în jurul unei iluzii convenabile, dar costisitoare, de pregătire.

Ce acoperă SR EN ISO 27001 în mod real, nu doar declarativ

Valoarea practică principală a SR EN ISO 27001 nu constă în simpla deținere a certificatului, ci în faptul că un sistem implementat corect tratează securitatea ca domeniu de management. Standardul oferă cel mai puternic sprijin acolo unde organizația trebuie să lucreze pe bază de procese: analiza și tratarea riscurilor, stabilirea politicilor și a mecanismelor de control, alocarea rolurilor și responsabilităților, identificarea activelor informaționale, răspunsul la incidente, continuitatea activității, precum și mecanismele de evaluare și îmbunătățire. Dacă aceste elemente funcționează efectiv, nu doar în perioada auditului, compania dispune de o bază solidă pentru a demonstra că securitatea nu este o colecție de măsuri izolate, ci un sistem gestionat și integrat în deciziile operaționale.

Conducerea nu ar trebui însă să evalueze doar certificatul, ci utilitatea acestuia pentru serviciile, procesele și dependențele relevante din perspectiva reglementării. Același certificat poate reflecta fie un sistem matur, care include procese critice, evaluări periodice, acțiuni corective și o supraveghere reală exercitată de proprietarii proceselor, fie un cadru restrâns, limitat la o anumită parte a organizației. De aceea, înaintea autoevaluării în raport cu NIS2 și KSC trebuie verificate nu doar Declarația de aplicabilitate, ci și lista proceselor incluse în analiza riscurilor, rezultatele auditurilor interne, concluziile analizelor efectuate de management și modul în care deciziile privind riscurile se reflectă în bugete, contracte, arhitectura serviciilor și mecanismele de răspuns.

Situația este ușor de observat în companiile care funcționează în lanțuri de aprovizionare. SR EN ISO 27001 structurează, de regulă, cerințele contractuale, clasificarea informațiilor, regulile de acces, responsabilitățile furnizorilor și modul de documentare a derogărilor. Este o bază utilă, mai ales atunci când clienții solicită dovezi privind supravegherea partenerilor. Totuși, certificarea nu rezolvă automat toate așteptările sectoriale sau criteriile specifice unei industrii. O dilemă similară este analizată în materialul SR EN ISO 27001 sau TISAX – ce alegem atunci când clientul solicită securitatea informației în lanțul de aprovizionare? În practică, certificatul structurează relațiile și responsabilitățile, dar nu înlocuiește verificarea obligațiilor care trebuie introduse suplimentar în contracte, în procedurile de escaladare și în controlul serviciilor externalizate.

Concluzia este clară: certificatul poate scurta considerabil drumul către un management coerent al securității, dar nu reprezintă, de unul singur, dovada îndeplinirii obligațiilor rezultate din KSC. Auditul de certificare evaluează conformitatea sistemului de management cu cerințele standardului, în limitele domeniului stabilit. Această evaluare nu este echivalentă cu verificarea obligațiilor legale și a pregătirii operaționale. Organizația trebuie să confirme în paralel dacă sistemul acoperă procesele relevante, dacă analiza riscurilor a fost actualizată în funcție de serviciile și dependențele reale și dacă procedurile de răspuns, continuitate și control al furnizorilor funcționează în practică.

Unde certificatul nu este suficient

Prima lacună privește conformitatea propriu-zisă cu cerințele de reglementare. Sistemul de management al securității informației structurează regulile, rolurile și controlul, dar nu stabilește automat dacă entitatea a fost încadrată corect în raport cu obligațiile KSC, cine răspunde de notificările formale, cine gestionează relația cu autoritatea competentă și cum sunt escaladate deciziile către conducere. Nu este vorba despre absența unui singur document, ci despre o deficiență în proiectarea responsabilităților. Dacă aceste elemente nu sunt integrate în modelul real de funcționare al companiei, certificatul asigură ordine internă, dar nu și controlul necesar asupra obligațiilor de reglementare.

A doua lacună privește domeniul de aplicare. Multe organizații dețin o certificare limitată la o anumită locație, la o singură societate, la un anumit departament sau la o parte dintre serviciile suport. Evaluarea pregătirii pentru KSC trebuie însă să pornească de la harta reală a serviciilor, proceselor critice, activelor și dependențelor, nu de la limitele auditului de certificare. Dacă un serviciu esențial sau important este furnizat de mai multe entități din grup, cu participarea unui centru de date extern, a unei echipe comune de mentenanță sau a unui proces distribuit de gestionare a incidentelor, un certificat formal corect poate acoperi doar o parte a ansamblului. În acest caz, decizia conducerii nu se reduce la extinderea certificatului, ci privește alegerea dintre un singur proiect integrat de conformare și două fluxuri paralele: certificare și conformare cu cerințele de reglementare.

A treia lacună este legată de dovezi și devine vizibilă, de regulă, abia în timpul unui incident, al unui exercițiu sau al unui control. Organizația dispune de proceduri pentru răspuns la incidente, continuitatea activității și controlul furnizorilor, dar nu poate demonstra că mecanismele funcționează operațional. Lipsesc registrul incidentelor, trasabilitatea deciziilor conducerii, rezultatele exercițiilor, analizele post-incident, indicatorii de eficacitate și acțiunile corective documentate. În această situație, sistemul este descris, dar nu este demonstrat. Aici apar și cele mai costisitoare remedieri, deoarece trebuie schimbate nu doar procedurile, ci și raportarea către conducere, frecvența analizelor și responsabilitatea proprietarilor de procese. Același mecanism este vizibil și în alte sisteme de management, inclusiv în materialul IATF 16949 – care cerințe creează dificultăți reale în activitatea zilnică de calitate și cum pot fi gestionate fără o conformitate de fațadă.

A patra lacună privește lanțul de aprovizionare și dependențele externe. Standardul ajută la structurarea cerințelor aplicabile furnizorilor, însă conformarea cu KSC poate impune o cartografiere mai aprofundată: ce servicii externe susțin furnizarea serviciului critic, unde există puncte unice de defectare, ce scenarii de întrerupere sunt plauzibile și în ce măsură pot fi înlocuiți furnizorul, personalul sau locația. În practică, trebuie evaluate nu doar existența contractelor și a evaluărilor de furnizori, ci și alinierea domeniului certificat cu harta reală a serviciilor critice, caracterul complet al registrului de incidente și exerciții, precum și actualitatea analizelor privind furnizorii și dependențele. Numai această comparație arată dacă organizația dispune de un sistem controlat sau doar de imaginea formală a unuia.

Proiectul de conformare trebuie construit în jurul serviciilor, nu al documentelor

Cea mai frecventă eroare de început apare atunci când organizația deschide proiectul prin revizuirea politicilor, procedurilor și înregistrărilor SR EN ISO 27001, în loc să stabilească ce servicii trebuie menținute în mod real și ce obligații de reglementare le sunt asociate. Ordinea corectă este inversă: mai întâi sunt identificate serviciile, procesele, activele și dependențele critice pentru continuitatea activității și responsabilitățile în contextul KSC, iar apoi sunt asociate cerințele de sistem și dovezile necesare. Numai astfel se poate distinge documentația necesară de cea fără valoare operațională.

Pentru conducere, aceasta înseamnă aprobarea unei hărți a serviciilor critice, a dependențelor față de furnizori și sisteme, precum și a procedurilor existente care pot fi utilizate fără duplicarea controalelor. Abia pe această bază se poate vedea dacă sistemul actual acoperă elementele importante pentru menținerea serviciului și conformitate sau doar ceea ce a fost inclus istoric în domeniul certificării.

Al doilea pas privește modelul de responsabilitate. Dacă securitatea informației este distribuită între IT, calitate, conformitate, mentenanță și achiziții, fără o delimitare clară a rolurilor, proiectul se transformă rapid într-o colecție de inițiative locale. Trebuie stabilit cine răspunde pentru risc, cine coordonează gestionarea incidentelor, cine supraveghează relațiile cu furnizorii, cine ia deciziile manageriale și cine menține dovezile de conformitate. În practică, o matrice simplă a rolurilor și responsabilităților și un singur ciclu de analiză la nivel de conducere funcționează mai bine decât mai multe trasee paralele de raportare. Tot acum trebuie decis dacă se instituie un singur comitet de coordonare pentru conformitate și securitate și dacă tehnologia operațională este inclusă în același model de risc.

Această abordare este deosebit de importantă în organizațiile de producție și în cele cu mai multe unități. Acolo, efectele unui incident nu se limitează la pierderea confidențialității datelor, ci pot include oprirea unei linii, perturbarea planificării, pierderea trasabilității loturilor sau afectarea capacității de furnizare a serviciului. Securitatea informației trebuie, prin urmare, corelată cu continuitatea operațională, mentenanța și mediile de tehnologie operațională. Dacă sistemul de management acoperă exclusiv zona administrativă și omite sistemele de control, accesul de la distanță pentru service, dependențele față de integratori sau procedurile de urgență din unitate, imaginea riscului va fi formal structurată, dar operațional incompletă. Aceeași disciplină de proiectare se regăsește și în alte domenii cu cerințe stricte de supraveghere, inclusiv acolo unde sunt relevante referințe precum ASME, NQA-1 și ISO 19443 — trei acronime pe care trebuie să le cunoască un furnizor din sectorul nuclear.

Numai pe această bază merită utilizat SR EN ISO 27001 existent ca nivel fundamental și realizată separat o analiză a lacunelor în raport cu KSC. Scopul acestei analize nu este contestarea certificatului, ci stabilirea domeniilor acoperite în mod real și a celor în care sunt necesare proceduri, registre, trasee de escaladare sau dovezi suplimentare de funcționare. Abordarea limitează documentația excesivă și asigură o coerență mai bună a mecanismelor decât implementarea unor proiecte separate, care concurează între ele.

Cum se verifică situația reală înaintea unui audit sau control

Înaintea unui audit, a unei autoevaluări sau a unui control, întrebarea relevantă nu este dacă organizația „are SR EN ISO 27001”, ci dacă poate demonstra pregătirea efectivă pentru acțiune și trasabilitatea deciziilor. Această pregătire trebuie evaluată pe patru niveluri: mai întâi se stabilesc domeniul și statutul obligațiilor, apoi se verifică proiectarea sistemului de management, eficacitatea proceselor și, în final, caracterul complet al dovezilor. Numai această ordine permite separarea disciplinei documentare de capacitatea operațională.

Întrebările utile nu sunt, așadar, „avem procedura?”, ci „știm când trebuie activată, cine ia decizia, care sunt pragurile de escaladare, cum demonstrăm acțiunile și am testat scenariul?”. Dacă răspunsul la incident depinde de cunoștințele unei singure persoane, relațiile cu furnizorii nu includ criterii de securitate definite, iar conducerea primește doar rapoarte generale, fără decizii și termene, sistemul poate fi formal aliniat cu propria documentație, dar rămâne nepregătit pentru acțiune sub presiune.

Analiza pregătirii trebuie să includă interfețele dintre conducere, operațiuni, IT, mentenanță și furnizori, deoarece aici apar cel mai frecvent lacunele care nu pot fi identificate doar din proceduri. În practică, cele mai bune rezultate sunt oferite de o analiză a lacunelor desfășurată într-un format apropiat de auditul operațional. Sunt evaluate nu doar documentele, ci și traseul deciziilor, mecanismele de escaladare, înregistrările incidentelor, rezultatele testelor și exercițiilor, precum și registrul neconformităților, observațiilor și acțiunilor corective.

Un test util este un scenariu simplu: apare un incident la un furnizor esențial sau o perturbare în mediul de producție, iar organizația trebuie să stabilească cine clasifică evenimentul, cine inițiază comunicarea, cine evaluează impactul asupra serviciului și ce dovezi vor rămâne în urma deciziei. Dacă răspunsurile sunt dispersate, iar organizația invocă o „practică” pe care nimeni nu o poate reconstitui din înregistrări, pregătirea este aparentă, chiar dacă sistemul de management este menținut corect din punct de vedere formal.

Dacă organizația efectuează deja audituri interne SR EN ISO 27001, acestea pot fi utilizate ca instrument pentru o asemenea verificare, însă criteriile de audit trebuie extinse cu obligațiile de reglementare și cu dovezile așteptate din perspectiva KSC. Competențele de audit sunt foarte utile în acest context, la fel ca abilitățile dezvoltate de persoanele care se pregătesc pentru rolul de auditor-șef sau auditor intern. Un reper relevant este materialul Auditor-șef SR EN ISO 27001: ghid complet privind certificarea și cerințele standardului. Ordinea trebuie însă păstrată: competența de audit ajută la verificarea sistemului, dar nu înlocuiește analiza obligațiilor legale și organizaționale aplicabile efectiv companiei.

Decizia conducerii: certificatul ca bază, nu ca alibi

Cea mai rațională abordare este utilizarea SR EN ISO 27001 ca fundament al disciplinei manageriale, nu ca dovadă independentă a îndeplinirii tuturor obligațiilor rezultate din NIS2 și KSC. Certificarea structurează responsabilitățile, evaluarea riscurilor, controlul incidentelor, auditarea și îmbunătățirea, dar nu elimină necesitatea de a stabili ce obligații se aplică organizației, în ce domeniu și ce dovezi sunt necesare pentru demonstrarea eficacității.

Din perspectiva conducerii, cel mai mare pericol nu este o lipsă în documentație, ci iluzia pregătirii: convingerea că un sistem certificat este automat pregătit și pentru cerințele cadrului juridic național. Decizia nu trebuie să privească exclusiv menținerea sau extinderea certificării. Mai întâi trebuie soluționate trei aspecte de management:

• confirmarea statutului organizației și a domeniului obligațiilor;
• realizarea unei analize a lacunelor dintre sistemul actual și cerințele KSC;
• stabilirea modelului de supraveghere a măsurilor și a dovezilor de eficacitate.

Numai pe această bază se poate decide în mod justificat dacă organizația trebuie să extindă domeniul certificării sau dacă poate utiliza sistemul SR EN ISO 27001 existent fără modificarea domeniului, completându-l cu mecanismele organizaționale, juridice și operaționale care lipsesc. În practică, sunt utile trei instrumente simple de management: domeniul actual al certificării comparat cu harta proceselor critice, lista lacunelor împreună cu evaluarea impactului asupra riscului și conformității, precum și planul de acțiuni cu responsabili, termene și criterii de închidere.

Dacă organizația se află încă în etapa de alegere a abordării, ordinea activităților nu este universală. Atunci când presiunea clienților sau cerințele de participare la licitații sunt puternice, construirea sistemului în vederea certificării poate fi un prim pas justificat, cu condiția ca analiza obligațiilor de reglementare să nu fie amânată. În companiile cu risc operațional ridicat sau cu responsabilități dispersate, poate fi mai prudentă închiderea mai întâi a lacunelor de reglementare și structurarea ulterioară a domeniului de certificare. Nu este o dispută privind ordinea formalităților, ci privind ordinea reducerii riscurilor. Din această perspectivă, și materialul Certificatul ISO: beneficii și procesul de implementare trebuie analizat nu separat de modelul de funcționare al companiei, ci ca parte a unei decizii mai ample privind managementul conformității.

Cele mai bune rezultate sunt obținute printr-un singur program coerent, în care securitatea informației, continuitatea activității, controlul furnizorilor și obligațiile de reglementare sunt gestionate ca elemente ale modelului operațional al companiei, nu ca inițiative separate ale unor departamente diferite. În contextul polonez, tocmai fragmentarea responsabilităților afectează cel mai frecvent capacitatea de execuție și de prezentare a dovezilor. Concluzia este simplă: certificatul ajută și poate reduce semnificativ efortul necesar pentru structurarea sistemului, însă conformitatea trebuie în continuare proiectată, implementată și susținută prin dovezi adecvate condițiilor specifice NIS2 și KSC.