NIS2 и BDS EN ISO 27001: какво покрива сертификатът и какво още е необходимо за съответствие с KSC

В много организации разговорът за NIS2 започва с въпроса за сертификат по BDS EN ISO 27001. Това е разбираемо, но от гледна точка на ръководството и собственика на процеса не е правилната отправна точка. Първо трябва да се установи дали организацията попада в обхвата на задълженията, кои услуги и активи са засегнати и кой носи отговорност за тях. Едва след това може обективно да се оцени какво действително покрива съществуващата система за управление на сигурността на информацията и какво все още липсва за съответствие с KSC. На практика именно тук се вижда разликата между работеща система и скъпа илюзия за готовност.

Най-скъпата грешка: сертификатът да се приема за равнозначен на съответствие

Най-същественият първоначален риск не е липсата на сертификат по BDS EN ISO 27001, а допускането, че притежаването му автоматично доказва съответствие със задълженията, произтичащи от NIS2 и националните разпоредби, свързани с KSC. За ръководството правилният въпрос не е „имаме ли BDS EN ISO 27001“, а „попадаме ли в обхвата на задълженията, в какво качество и по отношение на кои услуги, процеси и активи“. Само след определяне на статута на организацията, обхвата на засегнатата дейност и отговорностите на ръководството може да се оцени доколко съществуващата система подпомага съответствието и къде създава само привидно усещане за ред.

Това разграничение има пряко отражение върху проекта и бюджета. Сертификатът потвърждава съответствието на системата за управление с изискванията на стандарта в конкретен сертификационен обхват, обичайно описан в сертификата и конкретизиран в Декларацията за приложимост. Той обаче не замества анализа на нормативните задължения, идентифицирането на съществените услуги, оценката на зависимостите от доставчици или определянето на формалните действия, които регулираната организация трябва да изпълни. Затова ръководството следва ясно да разграничава три области, които често се смесват: система за управление, регулаторно съответствие и оперативна готовност за действие при инцидент.

Най-високи разходи възникват, когато проектът се изпълнява в обратната последователност. Организацията първо подрежда документацията и контролните механизми за сертификационния одит, а едва след това установява, че критични процеси, задълженията за докладване на инциденти, изискванията към доставчици, отговорностите на ръководството или секторните изисквания са останали извън обхвата. Тогава не е достатъчно да се допълнят няколко процедури. Необходимо е да се преработят обхватът на системата, ролите при вземане на решения и моделът за реагиране.

От оперативна гледна точка не трябва да се измерва само наличието на сертификат. По-съществени са три показателя: съответствието между сертификационния обхват и критичните услуги, резултатът от самооценката за приложимостта на KSC и броят на несъответствията между описаните процедури и действителната способност за действие. Затова естествената първа стъпка не е разширяване на документацията, а установяване дали организацията попада в обхвата на задълженията и какви формални действия са необходими. Тази последователност е разгледана и в материала NIS2: самооценка и вписване в регистъра на KSC – какво трябва да направи производственото предприятие?, защото именно оттук започва разграничението между система, изградена спрямо реални задължения, и удобна, но скъпа илюзия за готовност.

Какво реално покрива BDS EN ISO 27001

Основната практическа стойност на BDS EN ISO 27001 не е самото наличие на сертификат. Добре внедрената система структурира информационната сигурност като управлявана област. Стандартът е най-полезен там, където организацията трябва да работи процесно: при оценката и третирането на риска, разработването на политики и контролни правила, разпределянето на роли и отговорности, идентифицирането на информационни активи, управлението на инциденти, непрекъсваемостта на дейността, както и механизмите за преглед и подобрение. Ако тези елементи работят реално, а не само за целите на одита, организацията разполага със стабилна основа да докаже, че сигурността не е сбор от отделни мерки, а управлявана система, свързана с оперативните решения.

Ръководството обаче трябва да оценява не сертификата сам по себе си, а неговата приложимост спрямо услугите, процесите и зависимостите с регулаторно значение. Един и същ сертификат може да представлява зряла система, обхващаща критични процеси, периодични прегледи, коригиращи действия и реален контрол от собствениците на процеси, или тясно ограничена система за определена част от организацията. Затова преди самооценката спрямо NIS2 и KSC е необходимо да се проверят не само Декларацията за приложимост, но и списъкът на процесите, включени в оценката на риска, резултатите от вътрешните одити, решенията от прегледите от ръководството и дали решенията за риска намират отражение в бюджета, договорите, архитектурата на услугите и начина на реагиране.

Това е особено видимо при организациите, работещи във вериги на доставки. BDS EN ISO 27001 обичайно структурира договорните изисквания, класификацията на информацията, правилата за достъп, отговорностите на доставчиците и документирането на изключенията. Това е полезна основа, особено когато клиентите очакват доказуем контрол върху партньорите. Сертификатът обаче не разрешава автоматично всички секторни очаквания или специфични отраслови критерии. Подобен въпрос се разглежда в материала BDS EN ISO 27001 или TISAX – какво да изберем, когато клиентът изисква информационна сигурност във веригата на доставки? На практика сертификатът подрежда отношенията и отговорностите, но не замества проверката кои допълнителни задължения трябва да бъдат включени в договорите, процедурите за ескалация и контрола върху външните услуги.

Изводът е ясен: сертификатът може значително да съкрати пътя към системно управление на сигурността, но сам по себе си не доказва изпълнението на задълженията по KSC. Сертификационният одит оценява съответствието на системата за управление с изискванията на стандарта в определения обхват. Това не е идентично с оценката на законовите задължения и оперативната готовност. Затова организацията трябва паралелно да провери дали системният обхват включва значимите процеси, дали оценката на риска е актуализирана спрямо реалните услуги и зависимости и дали процедурите за реагиране, непрекъсваемост и управление на доставчици работят на практика.

Къде сертификатът не е достатъчен

Първата празнина е свързана със самото регулаторно съответствие. Системата за управление на сигурността на информацията структурира правилата, ролите и контрола, но сама по себе си не определя дали организацията е правилно квалифицирана спрямо задълженията по KSC, кой отговаря за официалните уведомления, кой поддържа отношенията с компетентния орган и как решенията се ескалират към ръководството. Това не е липса на един документ, а недостатък в модела на отговорностите. Ако тези елементи не са интегрирани в действителния начин на работа, сертификатът осигурява вътрешен ред, но не и достатъчна регулаторна управляемост.

Втората празнина е в обхвата. Много организации имат сертификация, ограничена до определена площадка, едно дружество, конкретно звено или част от поддържащите услуги. Оценката на готовността спрямо KSC обаче трябва да започва от реалната карта на услугите, критичните процеси, активите и зависимостите, а не от границите на сертификационния одит. Ако съществена или важна услуга се предоставя от няколко дружества в групата с участието на външен център за данни, общ екип за поддръжка или разпределен процес за управление на инциденти, формално валидният сертификат може да обхваща само част от цялата услуга. В такава ситуация управленското решение не се свежда до разширяване на сертификата. Необходимо е да се определи дали да се изгради единна програма за съответствие или два координирани потока — сертификационен и регулаторен.

Третата празнина е свързана с доказателствата и обикновено се проявява едва при инцидент, учение или контрол. Организацията разполага с процедури за реагиране, непрекъсваемост и управление на доставчици, но не може да докаже, че тези механизми функционират оперативно. Липсват регистър на инцидентите, проследимост на решенията на ръководството, резултати от учения, анализи след събития, показатели за ефективност или документирани коригиращи действия. В такова състояние системата е описана, но не е доказана. Именно тук възникват най-скъпите корекции, защото трябва да се промени не само съдържанието на процедурите, а и начинът на докладване към ръководството, периодичността на прегледите и отговорността на собствениците на процеси. Същият механизъм се наблюдава и при други системи за управление, включително в темата IATF 16949 – кои изисквания създават реални затруднения в ежедневното управление на качеството и как да се управляват без привидно съответствие.

Четвъртата празнина засяга веригата на доставки и външните зависимости. Стандартът помага да се структурират изискванията към доставчиците, но съответствието с KSC може да изисква по-задълбочено картографиране: кои външни услуги поддържат критичната услуга, къде има единични точки на отказ, какви сценарии на прекъсване са възможни и доколко могат да бъдат заменени доставчикът, персоналът или локацията. На практика трябва да се измерват не само наличието на договори и оценки на доставчици, а съответствието между сертификационния обхват и реалната карта на критичните услуги, пълнотата на регистрите за инциденти и учения и актуалността на прегледите на доставчиците и зависимостите. Едва тогава може да се установи дали организацията разполага с работеща система или само с нейния формален образ.

Проектът за съответствие трябва да започва от услугите, а не от документите

Най-честата начална грешка е проектът да започне с преглед на политиките, процедурите и записите по BDS EN ISO 27001, вместо с въпроса кои услуги трябва действително да бъдат поддържани и какви регулаторни задължения са свързани с тях. Правилната последователност е обратната: първо се идентифицират услугите, процесите, активите и зависимостите, които са критични за непрекъсваемостта и отговорностите по KSC, а след това към тях се отнасят системните изисквания и необходимите доказателства. Само така може да се разграничи необходимият документ от документа без практическа стойност.

За ръководството това означава да вземе решение за създаване на карта на критичните услуги, зависимостите от доставчици и системи и списък на съществуващите процедури, които могат да се използват, без да се дублират механизми. Едва на тази основа се вижда дали съществуващата система обхваща действително значимите за услугата и съответствието елементи, или само исторически включеното в сертификационния обхват.

Втората стъпка е моделът на отговорностите. Ако информационната сигурност е разпределена между ИТ, качество, съответствие, техническа поддръжка и снабдяване без еднозначно определени роли, проектът бързо се превръща в съвкупност от локални инициативи. Трябва ясно да се определи кой е собственик на риска, кой управлява инцидентите, кой контролира отношенията с доставчиците, кой взема управленските решения и кой поддържа доказателствата за съответствие. На практика добре работят опростена матрица на ролите и отговорностите и единен цикъл за преглед от ръководството вместо няколко паралелни линии за докладване. На този етап следва да се реши и дали да се създаде общ ръководен комитет за съответствие и сигурност и дали оперативните технологии да бъдат включени в същия модел за управление на риска.

Тази логика е особено важна за производствени организации и предприятия с няколко площадки. При тях инцидентът не се ограничава до загуба на поверителност на информацията. Той може да доведе до спиране на производствена линия, прекъсване на планирането, загуба на проследимост на партиди или невъзможност за предоставяне на услуга. Затова информационната сигурност трябва да бъде свързана с оперативната непрекъсваемост, техническата поддръжка и средата на оперативните технологии. Ако системата за управление включва само офисната инфраструктура, но изключва системите за управление, дистанционното сервизиране, зависимостите от интегратори или аварийните процедури на площадката, картината на риска ще бъде формално подредена, но оперативно непълна. Същата проектна дисциплина е необходима и в други области със строги надзорни изисквания, включително при референции като ASME, NQA-1 и ISO 19443 — три съкращения, които доставчикът за ядрения сектор трябва да познава.

Едва върху тази основа има смисъл съществуващата система по BDS EN ISO 27001 да се използва като базов слой и да се извърши отделен анализ на несъответствията спрямо KSC. Целта на този анализ не е да постави под съмнение сертификата, а да установи къде има реално покритие и къде са необходими допълнителни процедури, регистри, пътища за ескалация или доказателства за функциониране. Този подход ограничава излишната документация и осигурява по-добра съгласуваност от отделни, конкуриращи се проекти.

Как да проверите действителното състояние преди одит или контрол

Преди одит, самооценка или контрол въпросът не трябва да бъде дали организацията „има BDS EN ISO 27001“, а дали може да докаже реална готовност за действие и проследимост на решенията. Тази готовност е целесъобразно да се оцени на четири нива: първо се определят обхватът и приложимите задължения, след това се проверява проектът на системата за управление, после ефективността на процесите и накрая пълнотата на доказателствата. Само така може да се разграничи документалният ред от оперативната способност.

Най-полезните въпроси не са „имаме ли процедура“, а „знаем ли кога да я задействаме, кой взема решението, какви са праговете за ескалация, как ще докажем изпълнението и упражнявали ли сме този сценарий“. Ако управлението на инцидента зависи от знанията на един човек, отношенията с доставчиците не включват определени критерии за сигурност, а ръководството получава само общи доклади без решения и срокове, системата може формално да съответства на собственото си описание, но да остава неподготвена за работа под натиск.

Затова прегледът на готовността трябва да обхваща взаимодействията между ръководството, операциите, ИТ, техническата поддръжка и доставчиците, тъй като именно там най-често се откриват пропуски, невидими в процедурите. Най-ефективен е анализът на несъответствията, проведен във формат, близък до оперативен одит. Тогава се оценяват не само документите, но и процесът на вземане на решения, пътищата за ескалация, записите от инциденти, резултатите от тестове и учения, както и регистърът на несъответствията, наблюденията и коригиращите действия.

Добра проверка е прост практически сценарий: възниква инцидент при ключов доставчик или прекъсване в производствената среда и трябва да се установи кой класифицира събитието, кой задейства комуникацията, кой оценява въздействието върху услугата и какви доказателства ще останат за взетото решение. Ако отговорите са разпокъсани и организацията се позовава на „установена практика“, която не може да бъде възстановена от записи, готовността е привидна дори при добре поддържана система за управление.

Ако организацията вече провежда вътрешни одити по BDS EN ISO 27001, те могат да се използват за тази проверка, но критериите за одит трябва да бъдат разширени с регулаторните задължения и доказателствата, очаквани от гледна точка на KSC. Одиторските компетентности са особено полезни, включително тези на водещи и вътрешни одитори. Полезна отправна точка е материалът Водещ одитор по BDS EN ISO 27001: цялостно ръководство за сертификацията и изискванията на стандарта. Последователността обаче остава решаваща: одиторската компетентност помага да се оцени системата, но не замества анализа кои правни и организационни задължения действително се прилагат към конкретната организация.

Управленското решение: сертификатът като основа, а не като оправдание

Най-рационалният подход е BDS EN ISO 27001 да се използва като основа за системно управление, а не като самостоятелно доказателство за изпълнение на всички задължения по NIS2 и KSC. Сертификатът структурира отговорностите, оценката на риска, управлението на инциденти, одитите и подобрението, но не отменя необходимостта да се установи кои задължения са приложими, какъв е техният обхват и какви доказателства са необходими за потвърждаване на ефективността.

От гледна точка на ръководството най-големият риск не е пропускът в документацията, а илюзията за готовност — убеждението, че сертифицираната система автоматично означава готовност и спрямо националните нормативни изисквания. Затова решението не трябва да се ограничава до това дали сертификацията да бъде поддържана или разширена. Първо трябва да бъдат решени три управленски въпроса:

• да се потвърдят статутът на организацията и обхватът на задълженията;
• да се извърши анализ на несъответствията между съществуващата система и изискванията на KSC;
• да се определи моделът за надзор върху изпълнението на действията и доказателствата за тяхната ефективност.

Едва след това може да се прецени дали организацията се нуждае от разширяване на сертификационния обхват, или е достатъчно съществуващата система по BDS EN ISO 27001 да бъде използвана без промяна на обхвата, като се добавят липсващите организационни, правни и оперативни механизми. На практика са полезни три прости управленски инструмента: актуалният сертификационен обхват, съпоставен с картата на критичните процеси; списък на пропуските с оценка на въздействието върху риска и съответствието; и план за действие със собственици, срокове и критерии за приключване.

Ако организацията тепърва избира подход, последователността не е универсална. При силен натиск от клиенти или тръжни изисквания изграждането на система за сертификация може да бъде обоснована първа стъпка, при условие че анализът на регулаторните задължения се извършва паралелно. При организации с висок оперативен риск или разпределен модел на отговорностите често е по-разумно първо да се отстранят регулаторните пропуски и едва след това да се оптимизира сертификационният обхват. Това не е спор за последователността на формалностите, а за реда, по който се намалява рискът. В този контекст материалът ISO сертификат: ползи и процес на внедряване следва да се разглежда като част от по-широко решение за управление на съответствието, а не отделно от оперативния модел на организацията.

Най-добри резултати се постигат чрез единна програма, в която информационната сигурност, непрекъсваемостта на дейността, контролът върху доставчиците и регулаторните задължения се управляват като част от оперативния модел, а не като отделни инициативи на различни звена. В полския контекст именно разпокъсаната отговорност най-често отслабва готовността за изпълнение и доказване. Заключението е ясно: сертификатът е полезен и може значително да ускори структурирането на системата, но съответствието трябва допълнително да бъде проектирано, внедрено и доказано при условията, приложими за NIS2 и KSC.