NIS2 in SIST EN ISO 27001: kaj certifikat pokriva in kaj še manjka za skladnost s KSC

V številnih podjetjih se razprava o NIS2 začne z vprašanjem o certifikatu SIST EN ISO 27001. To je razumljivo, vendar z vidika vodstva in lastnikov procesov ni pravo izhodišče. Najprej je treba ugotoviti, ali za organizacijo veljajo ustrezne obveznosti, na katere storitve in sredstva se nanašajo ter kdo je zanje odgovoren. Šele nato je mogoče zanesljivo oceniti, kaj obstoječi sistem upravljanja informacijske varnosti dejansko pokriva in kaj še manjka za skladnost s KSC. Prav tu se v praksi pokaže razlika med urejenim sistemom in drago iluzijo pripravljenosti.

Najdražja napaka: enačenje certifikata s skladnostjo

Največja začetna napaka ni odsotnost certifikata SIST EN ISO 27001, temveč predpostavka, da certifikat sam po sebi potrjuje izpolnjevanje obveznosti, ki izhajajo iz NIS2 in nacionalnih predpisov, s katerimi se zahteve prenašajo v okvir KSC. Pravo vprašanje za vodstvo ni »ali imamo SIST EN ISO 27001«, temveč »ali za nas veljajo te obveznosti, v kakšni vlogi ter glede katerih storitev, procesov in sredstev«. Šele ko so opredeljeni status subjekta, obseg dejavnosti, za katere veljajo zahteve, in odgovornosti vodstva, je mogoče oceniti, v kolikšni meri obstoječi sistem podpira skladnost in kje ustvarja zgolj videz urejenosti.

To razlikovanje neposredno vpliva na zasnovo projekta in proračun. Certifikat potrjuje skladnost sistema upravljanja z zahtevami standarda v določenem obsegu certificiranja, ki je praviloma naveden na certifikatu in podrobneje opredeljen v izjavi o uporabnosti. Ne nadomešča pa analize zakonskih obveznosti, identifikacije bistvenih storitev, ocene odvisnosti od dobaviteljev ali določitve formalnih ukrepov, ki jih mora izvesti regulirani subjekt. Vodstvo mora zato ločiti tri področja, ki se v praksi pogosto prekrivajo: sistem upravljanja, regulativno skladnost in operativno pripravljenost za ukrepanje pod pritiskom incidenta.

Najdražji so projekti, izvedeni v obratnem vrstnem redu. Organizacija najprej uredi dokumentacijo in nadzorne ukrepe za certifikacijsko presojo, nato pa ugotovi, da so zunaj obsega ostali kritični procesi, obveznosti prijave incidentov, zahteve za dobavitelje, odgovornost vodstva ali sektorske zahteve. Takrat nekaj dopolnjenih postopkov ne zadostuje. Spremeniti je treba obseg sistema, vloge pri odločanju in način odzivanja.

Z operativnega vidika zato ni smiselno meriti le tega, ali organizacija ima certifikat. Pomembnejši so trije kazalniki: usklajenost obsega certificiranja s kritičnimi storitvami, rezultat samoocene glede uporabe KSC ter število vrzeli med postopki in dejansko sposobnostjo ukrepanja. Naravni prvi korak zato ni priprava dodatne dokumentacije, temveč ugotovitev, ali organizacija spada na področje uporabe obveznosti in katera formalna dejanja so potrebna. To zaporedje dobro pojasnjuje tudi tema NIS2: samoocena in vpis na seznam KSC – kaj mora storiti proizvodno podjetje?, saj se prav tu pokaže, ali podjetje sistem gradi na podlagi dejanskih obveznosti ali zaradi priročne, vendar drage iluzije pripravljenosti.

Kaj SIST EN ISO 27001 pokriva v praksi, ne le na deklarativni ravni

Največja praktična vrednost standarda SIST EN ISO 27001 ni v samem certifikatu, temveč v tem, da dobro uveden sistem informacijsko varnost uredi kot področje upravljanja. Največ prispeva tam, kjer mora organizacija delovati procesno: pri ocenjevanju in obravnavi tveganj, oblikovanju politik in pravil nadzora, dodelitvi vlog in odgovornosti, identifikaciji informacijskih sredstev, odzivanju na incidente, neprekinjenem poslovanju ter mehanizmih pregledovanja in izboljševanja. Če ti elementi delujejo v praksi in ne le za potrebe presoje, ima podjetje trdno podlago za dokazovanje, da informacijska varnost ni skupek posamičnih kontrol, temveč upravljan sistem, povezan z operativnimi odločitvami.

Vodstvo mora kljub temu presojati uporabnost certifikata glede na storitve, procese in odvisnosti, ki so pomembni z regulativnega vidika. Enak certifikat lahko pomeni zrel sistem, ki vključuje kritične procese, redne preglede, korektivne ukrepe in dejanski nadzor lastnikov procesov, ali pa ozko ureditev, omejeno na izbrani del organizacije. Pred samooceno glede zahtev NIS2 in KSC je zato treba pregledati ne le izjavo o uporabnosti, temveč tudi seznam procesov, vključenih v oceno tveganj, rezultate notranjih presoj, ugotovitve vodstvenih pregledov ter preveriti, ali odločitve o tveganjih vplivajo na proračun, pogodbe, arhitekturo storitev in način odzivanja.

To je posebej očitno pri podjetjih v dobavnih verigah. SIST EN ISO 27001 praviloma pomaga urediti pogodbene zahteve, razvrščanje informacij, pravila dostopa, odgovornosti dobaviteljev in dokumentiranje odstopanj. To je uporabna podlaga, zlasti kadar stranke pričakujejo dokazljiv nadzor nad partnerji. Vendar standard ne razreši samodejno vseh panožnih pričakovanj ali posebnih sektorskih meril. Podobna dilema je obravnavana v prispevku SIST EN ISO 27001 ali TISAX – kaj izbrati, kadar stranka zahteva informacijsko varnost v dobavni verigi? Certifikat v praksi uredi odnose in odgovornosti, ne nadomesti pa preverjanja, katere zahteve je treba dodatno vključiti v pogodbe, postopke eskalacije in nadzor zunanjih storitev.

Sklep je jasen: certifikat lahko znatno skrajša pot do urejenega upravljanja varnosti, vendar sam ni dokaz izpolnjevanja obveznosti iz KSC. Certifikacijska presoja preverja skladnost sistema upravljanja z zahtevami standarda v določenem obsegu. To ni enako oceni zakonskih obveznosti in operativne pripravljenosti. Organizacija mora zato vzporedno preveriti, ali obseg sistema vključuje relevantne procese, ali je bila ocena tveganj posodobljena glede na dejanske storitve in odvisnosti ter ali postopki odzivanja, neprekinjenega poslovanja in nadzora dobaviteljev delujejo tudi v praksi.

Kje certifikat ne zadostuje

Prva vrzel se nanaša na regulativno skladnost. Sistem upravljanja informacijske varnosti uredi pravila, vloge in nadzor, vendar sam ne odgovori na vprašanja, ali je bil subjekt pravilno opredeljen glede na obveznosti KSC, kdo je odgovoren za formalne prijave, kdo vzdržuje odnos s pristojnim organom in kako se odločitve eskalirajo vodstvu. Pri tem ne manjka le posamezen dokument, temveč je pomanjkljivo zasnovan model odgovornosti. Če ti elementi niso vključeni v dejanski način delovanja družbe, certifikat zagotavlja notranjo urejenost, ne pa tudi regulativne obvladljivosti.

Druga vrzel je povezana z obsegom. Številne organizacije imajo certificiranje omejeno na izbrano lokacijo, eno družbo, določeno organizacijsko enoto ali del podpornih storitev. Ocena pripravljenosti na KSC pa mora izhajati iz dejanskega zemljevida storitev, kritičnih procesov, sredstev in odvisnosti, ne iz meja certifikacijske presoje. Če bistveno ali pomembno storitev zagotavlja več subjektov v skupini, pri tem pa sodelujejo zunanji podatkovni center, skupna vzdrževalna ekipa ali porazdeljen proces obravnave incidentov, lahko formalno ustrezen certifikat pokriva le del celote. Odločitev vodstva se v takem primeru ne nanaša samo na razširitev certifikata, temveč tudi na izbiro med enim integriranim programom skladnosti in dvema vzporednima tokovoma: certifikacijskim in regulativnim.

Tretja vrzel je dokazne narave in se običajno pokaže šele med incidentom, vajo ali nadzorom. Organizacija ima postopke za odzivanje, neprekinjeno poslovanje in nadzor dobaviteljev, vendar ne more dokazati, da ti mehanizmi operativno delujejo. Manjkajo evidenca incidentov, sled odločitev vodstva, rezultati vaj, pregledi po dogodkih, kazalniki uspešnosti in dokumentirani korektivni ukrepi. Sistem je v takem stanju opisan, vendar njegovo delovanje ni dokazano. Prav tu nastanejo najdražje izboljšave, saj ni treba spremeniti le vsebine postopkov, temveč tudi način poročanja vodstvu, pogostost pregledov in odgovornost lastnikov procesov. Enak mehanizem je mogoče opaziti tudi v drugih sistemih upravljanja, med drugim v prispevku IATF 16949 – katere zahteve so v vsakodnevnem vodenju kakovosti res zahtevne in kako jih upravljati brez navidezne skladnosti.

Četrta vrzel se nanaša na dobavno verigo in zunanje odvisnosti. Standard pomaga urediti zahteve za dobavitelje, skladnost s KSC pa lahko zahteva podrobnejše kartiranje: katere zunanje storitve podpirajo izvajanje kritične storitve, kje obstajajo posamezne točke odpovedi, kakšni so scenariji motenj ter kako je mogoče nadomestiti dobavitelja, osebje ali lokacijo. V praksi ni smiselno meriti le obstoja pogodb in ocen dobaviteljev. Preveriti je treba tudi usklajenost obsega certifikata z dejanskim zemljevidom kritičnih storitev, popolnost evidenc incidentov in vaj ter ažurnost pregledov dobaviteljev in odvisnosti. Šele tak pregled pokaže, ali ima organizacija urejen sistem ali zgolj njegovo formalno podobo.

Program skladnosti je treba zasnovati na storitvah, ne na dokumentih

Najpogostejša začetna napaka je, da organizacija projekt odpre s pregledom politik, postopkov in zapisov SIST EN ISO 27001, namesto z vprašanjem, katere storitve mora dejansko ohranjati in katere regulativne obveznosti so z njimi povezane. Pravilno zaporedje je obratno: najprej se določijo storitve, procesi, sredstva in odvisnosti, ki so kritični z vidika neprekinjenega poslovanja in odgovornosti po KSC, nato pa se jim dodelijo sistemske in dokazne zahteve. Le tako je mogoče razlikovati med potrebno in nepotrebno dokumentacijo.

Za vodstvo to pomeni odločitev o pripravi zemljevida kritičnih storitev, odvisnosti od dobaviteljev in sistemov ter seznama obstoječih postopkov, ki jih je mogoče uporabiti brez podvajanja kontrol. Šele na tej podlagi je razvidno, ali sedanji sistem vključuje tisto, kar je res pomembno za ohranjanje storitev in skladnost, ali le področja, ki so bila zgodovinsko vključena v obseg certificiranja.

Drugi korak zadeva model odgovornosti. Če je informacijska varnost razpršena med IT, kakovost, skladnost, vzdrževanje in nabavo, se projekt brez jasne razdelitve vlog hitro spremeni v skupek lokalnih pobud. Določiti je treba, kdo je odgovoren za tveganje, kdo vodi obravnavo incidentov, kdo nadzoruje odnose z dobavitelji, kdo sprejema vodstvene odločitve in kdo vzdržuje dokaze o skladnosti. V praksi se dobro obnese preprosta matrika vlog in odgovornosti ter enoten ritem vodstvenih pregledov namesto več vzporednih poti poročanja. Na tej točki je smiselno odločiti tudi, ali bo za skladnost in varnost ustanovljen enoten usmerjevalni odbor ter ali bo operativna tehnologija vključena v isti model tveganj.

Ta pristop je posebej pomemben v proizvodnih organizacijah in podjetjih z več lokacijami. Incident tam ni omejen na izgubo zaupnosti podatkov, temveč lahko povzroči zaustavitev linije, motnje pri planiranju, izgubo sledljivosti serije ali nezmožnost zagotavljanja storitve. Informacijsko varnost je zato treba povezati z operativno neprekinjenostjo, vzdrževanjem in okolji operativne tehnologije. Če sistem upravljanja vključuje samo pisarniško okolje, izpušča pa krmiljenje, oddaljeni servis, odvisnosti od integratorjev ali zasilne postopke v obratu, bo slika tveganj formalno urejena, vendar operativno nepopolna. Enako projektno disciplino je mogoče opaziti tudi na drugih področjih z visokimi nadzornimi zahtevami, kjer se uporabljajo reference, kot so ASME, NQA-1 in ISO 19443 — tri kratice, ki jih mora poznati dobavitelj za jedrsko industrijo.

Šele na tej podlagi je smiselno obstoječi SIST EN ISO 27001 uporabiti kot izhodiščno raven ter izvesti ločeno analizo vrzeli glede na KSC. Namen takšnega pregleda ni postavljati certifikata pod vprašaj, temveč ugotoviti, kje zahteve že pokriva obstoječi sistem in kje so potrebni dodatni postopki, evidence, poti eskalacije ali dokazi o delovanju. Tak pristop zmanjšuje odvečno dokumentacijo in omogoča boljše obvladovanje skladnosti mehanizmov kot ločeni, med seboj konkurenčni projekti.

Kako preveriti dejansko stanje pred presojo ali nadzorom

Pred presojo, samooceno ali nadzorom se organizacija ne bi smela vprašati le, ali »ima SIST EN ISO 27001«, temveč ali lahko dokaže dejansko pripravljenost za ukrepanje in sledljivost odločitev. Pripravljenost je smiselno oceniti na štirih ravneh: najprej opredeliti področje uporabe in status obveznosti, nato preveriti zasnovo sistema upravljanja, zatem učinkovitost procesov ter nazadnje popolnost dokazov. Tak pristop omogoča razlikovanje med dokumentacijsko urejenostjo in operativno sposobnostjo.

Najbolj koristno vprašanje ni, ali organizacija ima postopek, temveč ali ve, kdaj ga sprožiti, kdo sprejme odločitev, kakšni so pragovi eskalacije, kako bo ukrepanje dokazala in ali je ta scenarij že preizkusila. Če je obravnava incidenta odvisna od znanja ene osebe, če odnosi z dobavitelji nimajo določenih varnostnih meril in če vodstvo prejema le splošna poročila brez odločitev in rokov, je sistem morda formalno skladen z lastnim opisom, vendar še vedno ni pripravljen na ukrepanje pod pritiskom.

Pregled pripravljenosti mora zato zajeti stične točke med vodstvom, operativo, IT, vzdrževanjem in dobavitelji, saj se prav tam najpogosteje pokažejo vrzeli, ki iz postopkov niso razvidne. V praksi je najbolj učinkovit pregled vrzeli v obliki operativne presoje. Poleg vsebine dokumentov se tako ocenijo tudi potek odločanja, poti eskalacije, zapisi o incidentih, rezultati preizkusov in vaj ter register neskladnosti, opažanj in korektivnih ukrepov.

Dober preizkus je preprost scenarij: pri ključnem dobavitelju se pojavi incident ali pride do motnje v proizvodnem okolju. Ugotoviti je treba, kdo razvrsti dogodek, kdo sproži komunikacijo, kdo oceni vpliv na storitev in kateri dokazi bodo ostali po odločitvi. Če so odgovori razpršeni in se organizacija sklicuje na »prakso«, ki je nihče ne more rekonstruirati iz zapisov, je pripravljenost navidezna, tudi če je sistem upravljanja formalno pravilno vzdrževan.

Če organizacija že izvaja notranje presoje SIST EN ISO 27001, jih je smiselno uporabiti kot nosilni mehanizem takšnega preverjanja. Merila presoje pa je treba razširiti z regulativnimi obveznostmi in dokazi, pričakovanimi z vidika KSC. Presojevalske kompetence so pri tem zelo koristne, prav tako znanja oseb, ki se pripravljajo na vlogo vodilnega ali notranjega presojevalca. Uporabna referenca je lahko tudi gradivo Vodilni presojevalec SIST EN ISO 27001: celovit vodnik po certificiranju in zahtevah standarda. Kljub temu je treba ohraniti pravilno zaporedje: presojevalska usposobljenost pomaga preveriti sistem, ne nadomešča pa analize pravnih in organizacijskih obveznosti, ki dejansko veljajo za posamezno podjetje.

Odločitev vodstva: certifikat kot podlaga, ne kot izgovor

Najbolj racionalen pristop je, da organizacija SIST EN ISO 27001 obravnava kot temelj upravljavske urejenosti in ne kot samostojen dokaz izpolnjevanja vseh obveznosti iz NIS2 in KSC. Certifikat pomaga urediti odgovornosti, ocenjevanje tveganj, nadzor incidentov, presoje in izboljševanje, vendar organizacije ne razbremeni ugotavljanja, katere obveznosti zanjo dejansko veljajo, v kakšnem obsegu in kateri dokazi bodo potrebni za prikaz učinkovitosti.

Z vidika vodstva največje tveganje ni vrzel v dokumentaciji, temveč iluzija pripravljenosti: prepričanje, da je organizacija zaradi certificiranega sistema pripravljena tudi na zahteve nacionalnega pravnega okvira. Odločitev zato ne sme biti omejena na vprašanje, ali ohraniti ali razširiti certificiranje. Najprej je treba sprejeti tri upravljavske odločitve:

• potrditi status organizacije in obseg obveznosti,
• izvesti analizo vrzeli med obstoječim sistemom in zahtevami KSC,
• določiti model nadzora nad izvajanjem ukrepov in dokazi o učinkovitosti.

Šele nato je mogoče utemeljeno odločiti, ali podjetje potrebuje razširitev obsega certificiranja ali pa lahko uporabi obstoječi sistem SIST EN ISO 27001 brez spremembe obsega ter mu doda manjkajoče organizacijske, pravne in operativne mehanizme. V praksi so koristna tri preprosta upravljavska orodja: primerjava veljavnega obsega certificiranja z zemljevidom kritičnih procesov, seznam vrzeli z oceno vpliva na tveganje in skladnost ter akcijski načrt z odgovornimi osebami, roki in merili za zaključek.

Če organizacija šele izbira pot izvedbe, zaporedje aktivnosti ni univerzalno. Kjer so pritiski strank ali razpisne zahteve močni, je lahko izgradnja sistema za certificiranje upravičen prvi korak, če se hkrati ne odlaga analiza regulativnih obveznosti. V podjetjih z visokim operativnim tveganjem ali razpršenim modelom odgovornosti je pogosto smiselneje najprej zapreti regulativne vrzeli in šele nato urejati obseg certificiranja. To ni vprašanje vrstnega reda formalnosti, temveč prednostnega zmanjševanja tveganj. Zato je treba tudi temo Certifikat ISO: koristi in postopek uvedbe obravnavati v kontekstu načina delovanja podjetja in kot del širše odločitve o upravljanju skladnosti.

Najboljše rezultate zagotavlja enoten program, v katerem so informacijska varnost, neprekinjeno poslovanje, nadzor dobaviteljev in regulativne obveznosti upravljani kot del operativnega modela podjetja, ne kot ločene pobude različnih oddelkov. V poljskih razmerah prav razdrobljenost odgovornosti najpogosteje zmanjšuje dokazno in izvedbeno pripravljenost. Končni sklep je preprost: certifikat pomaga in lahko bistveno skrajša pot do urejenega sistema, vendar je treba skladnost še vedno zasnovati, uvesti in dokazno utemeljiti v okoliščinah, ki veljajo za NIS2 in KSC.