NIS2 og ISO 27001 besvarer ikke det samme spørgsmål.
Om NIS2 gælder for virksomheden, afhænger af gældende lov og virksomhedens faktiske forhold. ISO 27001 er en standard for et ledelsessystem og kan være et kunde- eller styringsvalg. Overlap betyder ikke, at det ene automatisk opfylder det andet.
Den korte version.
Hold juridisk scope og certificeringsvalg adskilt.
Om NIS2 gælder for virksomheden, afhænger af gældende lov og virksomhedens faktiske forhold. Beslutningen om at bruge ISO 27001 og eventuelt søge certificering er et andet spørgsmål.
Kontrollér den aktuelle position i primærkilder.
Dateret materiale og generelle beskrivelser kan ikke erstatte en vurdering af den konkrete virksomhed.
Et kundekrav er ikke det samme som direkte regulatorisk scope.
Kunden kan kræve evidens eller certificering uden at det i sig selv afgør virksomhedens juridiske status.
Genbrug kontroller og evidens, ikke konklusioner.
Det samme materiale kan støtte flere spor, men hver beslutning skal have sin egen ejer, kilde og faglige grænse.
Undersøg NIS2-scope, hvis:
- Virksomhedens sektor, størrelse, ydelser eller øvrige faktiske forhold gør det usikkert, om loven gælder for virksomheden
- En myndighedshenvendelse eller kundeklausul bygger på en bestemt vurdering af, om virksomheden er omfattet
- Ledelsen har brug for at skelne mellem juridisk pligt og leverandørkrav
- Den nuværende vurdering ikke kan spores til en gældende primærkilde eller juridisk vurdering
Undersøg ISO 27001-valget, hvis:
- En konkret kunde eller markedsproces kræver certificering
- Ledelsen ønsker et dokumenteret ledelsessystem som et særskilt styringsvalg
- Det er uklart, hvilket scope et muligt certifikat skal dække
- Ansvar, eksisterende evidens og ekstern certificeringsrolle ikke er tydeligt placeret
Nogle virksomheder skal håndtere begge spørgsmål.
Hvis begge spørgsmål er aktuelle, kan kontroller og evidens ofte genbruges. Konklusionerne skal stadig holdes adskilt og ejes af de rette personer.
Saml arbejdet, men hold beslutningerne adskilt
Et fokuseret forløb kortlægger eksisterende evidens, overlap, forskellige krav og beslutningsejere. Certificering udføres af et uafhængigt certificeringsorgan, og juridisk scope kræver relevant juridisk vurdering.
Start med scope-spørgsmålet.
Brug beslutningstræet til at finde de faktiske forhold og kilder, der skal undersøges. Det er ikke en juridisk afgørelse.
Åbn beslutningstræet for NIS2-scopeSæt kravet ind i en plan, som ledelsen og de ansvarlige kan drive.
Et krav bliver først brugbart, når virksomheden har valgt målet, fordelt ansvaret, planlagt kapacitet og leverandørbidrag og aftalt, hvordan resultatet skal kontrolleres. Accel Comply kan rådgive ledelsen og lede det aftalte arbejde fra beslutning til overdragelse.
Ikke sikker på hvad der gælder for jeres virksomhed?
Beskriv kundekravet, den mulige juridiske position og den ejer, der mangler. Samtalen lover ikke en juridisk konklusion.
I får et direkte svar på, om opgaven passer, hvad den første leverance kan være, og hvilke oplysninger der skal til for at begynde.