ISO 27001 SoA za spremnost na NIS2 i DORA

Ponedjeljak je, 08:30, a Elena, direktorica informacijske sigurnosti (CISO) brzorastućeg B2B FinTech SaaS pružatelja usluga, otvara hitan zahtjev upravnog odbora. Tvrtka je upravo stekla ISO/IEC 27001:2022 certifikaciju, ali veliki potencijalni bankarski klijent iz EU postavlja zahtjevnija pitanja od uobičajenog sigurnosnog upitnika.

Ne pitaju samo šifrira li tvrtka podatke, koristi li MFA ili ima li izvješće o penetracijskom testiranju. Žele znati podržava li SaaS platforma njihove obveze prema DORA, može li pružatelj usluge biti obuhvaćen NIS2 kao IKT usluga ili ovisnost digitalne infrastrukture te može li ISO 27001 Izjava o primjenjivosti obrazložiti svaku uključenu kontrolu, svaku isključenu kontrolu i svaki dokaz.

Upravni odbor postavlja pitanje koje sve češće čuju svaki CISO, voditelj usklađenosti i osnivač SaaS tvrtke:

Može li naša ISO 27001 SoA dokazati spremnost na NIS2 i DORA?

Elena zna da bi pogrešan odgovor bio pokrenuti tri odvojena programa usklađenosti: jedan za ISO 27001, jedan za NIS2 i jedan za DORA. To bi stvorilo duplicirane dokaze, sukobljene vlasnike kontrola i stalnu žurbu prije svake procjene klijenta. Bolji je odgovor koristiti postojeći ISMS kao operativni sustav usklađenosti, a Izjavu o primjenjivosti, odnosno SoA, kao glavni dokument sljedivosti.

SoA nije samo proračunska tablica za ISO certifikaciju. U EU okruženju kibernetičke sigurnosti i operativne otpornosti, to je mjesto na kojem organizacija dokazuje zašto kontrole postoje, zašto su isključenja dokaziva, tko je vlasnik svake kontrole, koji dokazi podupiru implementaciju i kako skup kontrola adresira NIS2, DORA, GDPR, ugovore s klijentima i internu obradu rizika.

Clarysecova Enterprise Politika informacijske sigurnosti Politika informacijske sigurnosti navodi:

ISMS mora uključivati definirane granice opsega, metodologiju procjene rizika, mjerljive ciljeve i dokumentirane kontrole obrazložene u Izjavi o primjenjivosti (SoA).

Taj zahtjev, iz točke politike 6.1.2 u Politici informacijske sigurnosti, temelj je revizijski spremnog pristupa. SoA treba postati most između obveza, rizika, kontrola, dokaza i odluka rukovodstva.

Zašto su NIS2 i DORA promijenili značenje pojma „primjenjivo”

Tradicionalna ISO/IEC 27001:2022 SoA često počinje jednostavnim pitanjem: „Koje se kontrole iz Priloga A primjenjuju na naš plan obrade rizika?” To je i dalje ispravno, ali više nije dovoljno za SaaS, oblak, upravljane usluge, fintech i pružatelje usluga u kritičnom opskrbnom lancu.

NIS2 podiže polaznu razinu upravljanja rizicima kibernetičke sigurnosti za ključne i važne subjekte u EU. Obuhvaća sektore kao što su digitalna infrastruktura, pružatelji usluga računalstva u oblaku, pružatelji usluga podatkovnih centara, mreže za isporuku sadržaja, pružatelji upravljanih usluga, pružatelji upravljanih sigurnosnih usluga, bankarstvo i infrastrukture financijskih tržišta. Države članice moraju identificirati ključne i važne subjekte te pružatelje usluga registracije naziva domena, a mnogi pružatelji tehnologije koji su regulaciju kibernetičke sigurnosti ranije promatrali kao pitanje klijenta sada su ili izravno obuhvaćeni ili izloženi kroz ugovorne zahtjeve koji se prenose niz lanac.

NIS2 Article 21 zahtijeva odgovarajuće i razmjerne tehničke, operativne i organizacijske mjere u području analize rizika, sigurnosnih politika, postupanja s incidentima, neprekidnosti poslovanja, sigurnosti opskrbnog lanca, sigurne nabave i razvoja, procjene djelotvornosti kontrola, kibernetičke higijene, osposobljavanja, kriptografije, sigurnosti ljudskih resursa, kontrole pristupa, upravljanja imovinom i autentifikacije gdje je primjenjivo. NIS2 Article 23 dodaje očekivanja postupnog prijavljivanja incidenata, uključujući rano upozorenje, obavijest, ažuriranja i završno izvješćivanje za značajne incidente.

DORA, Digital Operational Resilience Act, primjenjuje se od 17. siječnja 2025. i usmjerena je na financijske subjekte i njihov ekosustav IKT rizika. Obuhvaća upravljanje IKT rizicima, prijavljivanje incidenata povezanih s IKT-om, prijavljivanje operativnih ili sigurnosnih incidenata povezanih s plaćanjima za određene subjekte, testiranje digitalne operativne otpornosti, razmjenu obavještajnih podataka o kibernetičkim prijetnjama, upravljanje rizicima trećih strana u području IKT-a, ugovorne aranžmane i nadzor nad kritičnim pružateljima IKT usluga trećih strana.

Za financijske subjekte koji su ujedno ključni ili važni subjekti prema NIS2, DORA djeluje kao sektorski režim za ekvivalentne obveze upravljanja IKT rizicima i prijavljivanja incidenata. No za SaaS pružatelje, pružatelje usluga u oblaku, MSP-ove i MDR pružatelje koji opslužuju financijske klijente, praktična je stvarnost da očekivanja DORA dolaze kroz nabavu, ugovore, prava na reviziju, obveze podrške u incidentima, planiranje izlaska, transparentnost podizvršitelja i dokaze otpornosti.

To mijenja razgovor o SoA. Pitanje više nije: „Sadrži li Prilog A ovu kontrolu?” Bolje pitanje glasi:

Možemo li dokazati da je odabir kontrola utemeljen na riziku, svjestan obveza, razmjeran, dodijeljen vlasnicima, implementiran, praćen, potkrijepljen dokazima i odobren?

ISO 27001 univerzalni je prevoditelj za NIS2 i DORA

ISO/IEC 27001:2022 vrijedan je jer je standard sustava upravljanja, a ne uski kontrolni popis. Zahtijeva da ISMS bude integriran u organizacijske procese i razmjeran potrebama organizacije. Zbog toga je učinkovit univerzalni prevoditelj za preklapajuće zahtjeve usklađenosti.

Točke 4.1 do 4.4 zahtijevaju da organizacija razumije svoj kontekst, identificira zainteresirane strane, utvrdi relevantne zahtjeve i definira opseg ISMS-a. Za FinTech SaaS pružatelja poput Elenine organizacije, ti zahtjevi zainteresiranih strana mogu uključivati klijente iz EU, financijske klijente na koje utječe DORA, izloženost sektoru prema NIS2, obveze voditelja obrade i izvršitelja obrade prema GDPR, vanjsko ugovorene ovisnosti o oblaku, sučelja dobavljača i očekivanja upravnog odbora.

Točke 6.1.1 do 6.1.3 zahtijevaju planiranje rizika i prilika, ponovljiv proces procjene rizika informacijske sigurnosti, proces obrade rizika, usporedbu s Prilogom A i Izjavu o primjenjivosti koja identificira uključene kontrole, status implementacije i obrazloženja isključenja.

Tu SoA postaje zapis odluke o kontroli. Kontrola može biti uključena jer obrađuje rizik, zadovoljava pravni zahtjev, ispunjava ugovor s klijentom, podržava poslovni cilj ili predstavlja polaznu mjeru kibernetičke higijene. Kontrola se može isključiti samo nakon što ju je organizacija svjesno procijenila, utvrdila da nije relevantna za opseg ISMS-a, dokumentirala obrazloženje i ishodila odgovarajuće odobrenje.

Clarysecova Enterprise Politika upravljanja rizicima Politika upravljanja rizicima navodi:

Izjava o primjenjivosti (SoA) mora odražavati sve odluke o obradi rizika i mora se ažurirati svaki put kada se promijeni obuhvat kontrola.

Taj zahtjev, iz točke politike 5.4 u Politici upravljanja rizicima, ključan je za spremnost na NIS2 i DORA. Novi regulirani klijent, nova ovisnost o oblaku, nova obveza prijavljivanja incidenata ili novi rizik koncentracije dobavljača mogu promijeniti primjenjivost kontrola.

Počnite od registra usklađenosti, ne od popisa kontrola

Slaba SoA počinje s Prilogom A i pita: „Koje kontrole već imamo?” Snažna SoA počinje od operativne stvarnosti organizacije i pita: „Koje obveze, usluge, rizike, podatke, dobavljače i klijente ISMS mora adresirati?”

ISO/IEC 27005:2022 podržava takav pristup naglašavanjem zahtjeva zainteresiranih strana, kriterija rizika i potrebe razmatranja standarda, internih pravila, zakona, propisa, ugovora i postojećih kontrola. Također naglašava da neprimjenjivost ili neusklađenost treba objasniti i obrazložiti.

Clarysecova Politika pravne i regulatorne usklađenosti za SME Politika pravne i regulatorne usklađenosti za SME obuhvaća isto operativno načelo:

Glavni direktor mora održavati jednostavan, strukturiran registar usklađenosti koji navodi:

Taj zahtjev proizlazi iz točke 5.1.1 Politike pravne i regulatorne usklađenosti za SME. Za manju organizaciju registar može biti jednostavan. Za poduzeće treba biti detaljniji. Logika je ista: obveze moraju biti vidljive prije nego što se mogu mapirati.

Clarysecova Enterprise Politika pravne i regulatorne usklađenosti Politika pravne i regulatorne usklađenosti izričita je:

Sve pravne i regulatorne obveze moraju se mapirati na određene politike, kontrole i vlasnike unutar sustava upravljanja informacijskom sigurnošću (ISMS).

To je točka politike 6.2.1 u Politici pravne i regulatorne usklađenosti. Ona je upravljačka okosnica za korištenje ISO 27001 Izjave o primjenjivosti radi spremnosti na usklađenost s NIS2 i DORA.

Izgradite kriterije rizika koji odražavaju otpornost, privatnost, dobavljače i regulativu

Mnoga obrazloženja u SoA ne uspijevaju jer je model bodovanja rizika preuzak. Mjeri tehničku vjerojatnost i utjecaj, ali ne obuhvaća regulatornu izloženost, kritičnost usluge, štetu za klijenta, ovisnost o dobavljaču, utjecaj na privatnost ili sustavni operativni poremećaj.

NIS2 nije usmjeren samo na povjerljivost. Fokus je na sprječavanju i minimiziranju utjecaja incidenata na usluge i primatelje usluga. DORA definira kritične ili važne funkcije prema tome bi li poremećaj materijalno narušio financijsku uspješnost, kontinuitet pružanja usluge ili usklađenost s regulatornim zahtjevima. GDPR dodaje odgovornost, cjelovitost, povjerljivost, spremnost na povredu i štetu za ispitanika.

Clarysecova Politika upravljanja rizicima za SME Politika upravljanja rizicima za SME daje praktični minimum:

Svaki unos rizika mora uključivati: opis, vjerojatnost, utjecaj, ocjenu, vlasnika i plan obrade rizika.

To je točka 5.1.2 Politike upravljanja rizicima za SME. Za spremnost na NIS2 i DORA, Clarysec taj minimum proširuje poljima kao što su izvor obveze, zahvaćena usluga, kategorija podataka, ovisnost o dobavljaču, vlasnik poslovanja, regulatorni utjecaj, preostali rizik, status obrade i izvor dokaza.

Obratite pozornost na jezik. Snažno obrazloženje ne kaže samo „implementirano”. Ono objašnjava zašto je kontrola primjenjiva u poslovnom, regulatornom i rizičnom kontekstu organizacije.

Mapirajte domene NIS2 i DORA na ISO 27001:2022 kontrole

Nakon uspostave registra usklađenosti i kriterija rizika, praktičan je posao mapirati regulatorne domene na kontrole iz Priloga A. To mapiranje samo po sebi ne dokazuje usklađenost, ali revizorima i klijentima daje jasan indeks za testiranje dokaza.

Za Elenu je ovo mapiranje promijenilo razgovor s upravnim odborom. Umjesto predstavljanja NIS2 i DORA kao odvojenih projekata, mogla je pokazati preklapanje: upravljanje, upravljanje rizicima, incidente, kontinuitet, dobavljače, testiranje, kontrolu pristupa i kriptografiju.

Tri ISO kontrole o kojima ovisi svaka SoA za NIS2 i DORA

U Zenith Controls: The Cross-Compliance Guide Zenith Controls, Clarysec tretira tri ISO/IEC 27002:2022 kontrole kao središnje za revizijski spremno upravljanje SoA u kontekstu NIS2 i DORA. To su ISO kontrole, obogaćene atributima međusobne usklađenosti u vodiču Zenith Controls.

Te kontrole nisu izolirane. Izravno se povezuju s kontrolama odnosa s dobavljačima A.5.19 do A.5.23, kontrolama upravljanja incidentima A.5.24 do A.5.28, kontrolama neprekidnosti poslovanja A.5.29 i A.5.30, kontrolom privatnosti A.5.34, upravljanjem ranjivostima A.8.8, upravljanjem konfiguracijom A.8.9, sigurnosnim kopiranjem informacija A.8.13, zapisivanjem događaja A.8.15, aktivnostima praćenja A.8.16, kriptografijom A.8.24, kontrolama sigurnog razvoja A.8.25 do A.8.29 i upravljanjem promjenama A.8.32.

Vrijednost Zenith Controls jest u tome što pomaže timovima izbjeći tretiranje SoA kao artefakta jednog standarda. Kontrola 5.31 podržava pravno i ugovorno mapiranje. Kontrola 5.35 podržava unutarnju reviziju, neovisni pregled i osiguranje rukovodstva. Kontrola 5.36 podržava operativnu usklađenost s politikama, postupcima, standardima i zahtjevima kontrola.

Upotrijebite Zenith Blueprint za izradu, testiranje i obranu SoA

U Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, Clarysec smješta izradu SoA u fazu upravljanja rizicima, korak 13: planiranje obrade rizika i Izjava o primjenjivosti. Blueprint upućuje organizacije da koriste list SoA u predlošku “Risk Register and SoA Builder.xlsx”, odluče je li svaka od 93 kontrole iz Priloga A primjenjiva i utemelje odluku na obradi rizika, pravnim i ugovornim zahtjevima, relevantnosti opsega i organizacijskom kontekstu.

Blueprint navodi:

SoA je u praksi dokument povezivanja: povezuje vašu procjenu/obradu rizika sa stvarnim kontrolama koje imate.

Ta rečenica obuhvaća operativni model. SoA povezuje obveze, rizike, politike, kontrole, dokaze i zaključke revizije.

Zenith Blueprint također upućuje timove da u napomenama SoA prema potrebi unakrsno upućuju na propise. Ako je kontrola implementirana radi GDPR, NIS2 ili DORA, to treba biti navedeno u registru rizika ili napomenama SoA. Kasnije, u koraku 24, Blueprint upućuje organizacije da ažuriraju SoA nakon implementacije i unakrsno je provjere s planom obrade rizika. U koraku 30, priprema za certifikaciju, završni pregled i probna revizija, Blueprint usmjerava timove da potvrde kako svaka primjenjiva kontrola iz Priloga A ima dokaze kao što su politika, postupak, izvješće, plan ili zapis implementacije.

Taj slijed čini SoA živim instrumentom usklađenosti:

1. Korak 13 gradi je iz obrade rizika i obveza.
2. Korak 24 testira je u odnosu na stvarno stanje implementacije.
3. Korak 30 brani je završnim pregledom dokaza i probnom revizijom.

Kako pisati obrazloženja uključivanja koja revizori mogu pratiti

Kontrolu treba uključiti kada postoji barem jedan dokaziv pokretač: obrada rizika, pravni zahtjev, ugovorni zahtjev, relevantnost opsega, polazna kibernetička higijena, očekivanje klijenta u pogledu dokazivanja sigurnosti ili cilj otpornosti koji je odobrilo rukovodstvo.

Korisna formula glasi:

Primjenjivo jer [rizik ili obveza] utječe na [uslugu, imovinu, podatke ili proces], a ova kontrola osigurava [preventivni, detektivni, korektivni ili ishod otpornosti], potkrijepljeno [politikom, zapisom, testom, izvješćem ili izlazom sustava].

Za fintech SaaS pružatelja, jedan redak SoA mogao bi izgledati ovako:

Ovo je spremno za reviziju jer povezuje kontrolu s kontekstom, rizikom, obvezom, implementacijom, vlasništvom i dokazima.

Kako obrazložiti isključenja bez stvaranja revizijske izloženosti

Isključenja nisu neuspjesi. Loše obrazložena isključenja jesu neuspjesi.

ISO/IEC 27001:2022 zahtijeva da SoA obrazloži isključene kontrole iz Priloga A. ISO/IEC 27005:2022 dodatno potvrđuje da neprimjenjivost treba objasniti i obrazložiti. Clarysecova Enterprise Politika informacijske sigurnosti navodi:

Polazna osnova može se prilagoditi; međutim, isključenja moraju biti dokumentirana s formalnim odobrenjem i obrazloženjem u SoA.

To je točka 7.2.2 Politike informacijske sigurnosti.

Clarysecova Politika informacijske sigurnosti za SME Politika informacijske sigurnosti za SME navodi:

Svako odstupanje od ove politike mora biti dokumentirano, uz jasno objašnjenje zašto je odstupanje potrebno, koje su alternativne zaštitne mjere uspostavljene i koji je datum određen za ponovno preispitivanje.

Taj zahtjev proizlazi iz točke 7.2.1 Politike informacijske sigurnosti za SME.

Za NIS2 i DORA isključenja zahtijevaju dodatnu pažnju. SaaS tvrtka rijetko bi smjela isključiti zapisivanje događaja, praćenje, sigurnosne kopije, upravljanje incidentima, kontrolu pristupa, sigurnost dobavljača ili upravljanje ranjivostima. Čak i kada kontrola nije povezana s jednim specifičnim rizikom, i dalje može biti potrebna kao polazna sigurnosna mjera, dokazivanje sigurnosti prema klijentima, ugovorno očekivanje ili pravna obveza.

Clarysecova Politika upravljanja rizicima za SME također podsjeća timove kako treba postupati s prihvaćenim rizikom:

Prihvatiti: obrazložiti zašto nije potrebna daljnja radnja i zabilježiti preostali rizik.

Ta točka, 6.1.1 u Politici upravljanja rizicima za SME, upravo je način razmišljanja potreban za isključenja i odluke o preostalom riziku.

Prijavljivanje incidenata: dokažite radni tok, ne postojanje politike

NIS2 Article 23 zahtijeva postupno prijavljivanje značajnih incidenata, uključujući rano upozorenje u roku od 24 sata od saznanja, obavijest u roku od 72 sata, ažuriranja kada se zatraže i završno izvješće u roku od mjesec dana od 72-satne obavijesti. DORA zahtijeva od financijskih subjekata da otkrivaju, upravljaju, klasificiraju, eskaliraju, komuniciraju i prijavljuju velike incidente povezane s IKT-om, informiraju pogođene klijente gdje je potrebno, provedu analizu temeljnog uzroka i poboljšaju kontrole.

SaaS pružatelj ne mora uvijek izravno izvješćivati nadležno tijelo prema DORA, ali može morati podržati rokove izvješćivanja financijskih klijenata. Zbog toga su kontrole incidenata izrazito relevantne u SoA.

Slaba SoA kaže: „Politika odgovora na incidente postoji.”

Snažna SoA kaže: „Primjenjivo jer organizacija mora otkriti, procijeniti, klasificirati, eskalirati, komunicirati, očuvati dokaze, podržati regulatorne rokove izvješćivanja, obavijestiti pogođene klijente kada je to ugovorno potrebno i učiti iz incidenata koji utječu na usluge, podatke ili regulirane klijente.”

Dokazi trebaju uključivati:

• Plan odgovora na incidente i matricu eskalacije.
• Kriterije klasifikacije ozbiljnosti.
• Radni tok obavješćivanja klijenata.
• Stablo odluka za regulatorno obavješćivanje gdje je primjenjivo.
• Prijave incidenata i vremenske slijedove.
• Zapise dnevnika i upozorenja praćenja.
• Zapise stolnih vježbi.
• Pregled nakon incidenta i korektivne radnje.
• Postupke očuvanja dokaza.

Clarysecova Enterprise Politika praćenja revizije i usklađenosti Politika praćenja revizije i usklađenosti objašnjava zašto je to važno:

Generirati dokazive dokaze i revizijski trag kao podršku regulatornim upitima, pravnim postupcima ili zahtjevima klijenata za pružanje potvrda.

Taj cilj proizlazi iz točke 3.4 Politike praćenja revizije i usklađenosti.

Za manje organizacije zadržavanje dokaza također mora biti izričito. Clarysecova Politika praćenja revizije i usklađenosti za SME Politika praćenja revizije i usklađenosti za SME navodi:

Dokazi se moraju čuvati najmanje dvije godine ili dulje ako to zahtijevaju certifikacija ili ugovori s klijentima.

To je točka 6.2.4 Politike praćenja revizije i usklađenosti za SME.

Jedna SoA, više revizijskih razgovora

Najbolja SoA ne duplicira okvire. Ona stvara sljediv narativ kontrola koji različiti revizori mogu razumjeti.

ISO 27001 revizor obično počinje logikom točaka: opseg, zainteresirane strane, procjena rizika, obrada rizika, SoA, ciljevi, unutarnja revizija, preispitivanje od strane uprave i poboljšanje. Recenzent usmjeren na NIS2 fokusira se na razmjernost, odgovornost rukovodstva, osposobljavanje, opskrbni lanac, rokove za incidente i utjecaj na uslugu. Procjenitelj klijenta usmjeren na DORA fokusira se na IKT rizik, kritične ili važne funkcije, velike IKT incidente, testiranje otpornosti, ugovorne odredbe, prava na reviziju, planove izlaska, podugovaranje i rizik koncentracije. Recenzent privatnosti fokusira se na odgovornost prema GDPR i spremnost na povredu. Revizor u stilu COBIT 2019 ili ISACA testira upravljanje, metrike, vlasništvo, osiguranje i korektivne radnje.

Zato SoA ne može održavati samo sigurnosni tim. Potrebno je vlasništvo pravnih poslova, privatnosti, nabave, inženjeringa, operacija, ljudskih resursa i izvršnog rukovodstva.

Česti neuspjesi SoA u projektima spremnosti za NIS2 i DORA

Clarysec u projektima spremnosti opetovano pronalazi iste probleme:

1. SoA označava kontrole kao primjenjive, ali nije zabilježen rizik, obveza ili poslovni razlog.
2. NIS2 i DORA spominju se u politikama, ali nisu mapirani na kontrole, vlasnike ili dokaze.
3. Kontrole dobavljača označene su kao implementirane, ali ne postoji registar dobavljača, ocjena kritičnosti, pregled ugovora ili plan izlaska.
4. Kontrole incidenata postoje, ali proces ne podržava radne tokove izvješćivanja za 24 sata, 72 sata, klijenta ili završno izvješće.
5. Odobrenje rukovodstva se podrazumijeva, ali ne postoji zapis o prihvaćanju rizika, odobrenju SoA ili odluci o preostalom riziku.
6. Isključenja su kopirana iz predloška i ne odgovaraju stvarnom operativnom modelu u oblaku, radu na daljinu, SaaS-u ili fintechu.
7. Dokazi postoje u različitim alatima, ali nijedan revizijski trag ne povezuje dokaze sa SoA.
8. Obrada osobnih podataka prema GDPR nije povezana sa sigurnosnim kontrolama, odgovorom na povredu, ugovorima s dobavljačima ili zadržavanjem.
9. Unutarnja revizija provjerava dokumente, ali ne testira odražava li SoA stvarnu implementaciju.
10. SoA se ažurira samo prije certifikacije, a ne nakon novih klijenata, dobavljača, incidenata, nalaza revizije ili regulatornih promjena.

To nisu administrativni problemi. To su problemi upravljanja.

Praktični kontrolni popis za ISO 27001 SoA spremnu za reviziju

Upotrijebite ovaj kontrolni popis prije ISO 27001 certifikacijske revizije, pregleda spremnosti za NIS2, procjene klijenta prema DORA, sastanka upravnog odbora ili procesa dubinske analize investitora.

Pretvorite SoA u dokaziv most usklađenosti

Elenina prezentacija upravnom odboru uspjela je jer nije predstavila tri nepovezana projekta usklađenosti. Predstavila je jedan kontroliran operativni model utemeljen na dokazima, izgrađen na ISO/IEC 27001:2022, sa SoA kao mostom između regulative, rizika, implementacije kontrola, dokaza i nadzora rukovodstva.

NIS2 i DORA ne čine ISO 27001 zastarjelim. One čine dobro izrađenu ISO 27001 Izjavu o primjenjivosti vrednijom. SoA može postati jedinstveno mjesto na kojem vaša organizacija objašnjava zašto kontrole postoje, zašto su isključenja dokaziva, kako se dokazi čuvaju, kako se upravlja dobavljačima, kako se incidenti eskaliraju i kako rukovodstvo zna da ISMS funkcionira.

Vaša neposredna radnja je jednostavna:

1. Otvorite svoju trenutačnu SoA.
2. Odaberite pet kontrola označenih kao primjenjive i pitajte: „Koji rizik, obveza ili ugovor to opravdava?”
3. Odaberite pet isključenja i pitajte: „Bi li to i dalje imalo smisla revizoru za NIS2, DORA, GDPR ili ISO/IEC 27001:2022?”
4. Provjerite ima li svaka primjenjiva kontrola ažurne dokaze.
5. Potvrdite da je rukovodstvo odobrilo preostale rizike i odluke u SoA.
6. Ažurirajte registar usklađenosti, registar rizika i SoA svaki put kada se promijene usluge, dobavljači, klijenti, propisi ili incidenti.

Clarysec pomaže organizacijama to postići kroz Zenith Blueprint Zenith Blueprint, Zenith Controls Zenith Controls, Enterprise i SME skupove politika, alate za registar rizika, SoA predloške, pripremu za reviziju i mapiranje međusobne usklađenosti za NIS2, DORA, GDPR, NIST CSF 2.0, COBIT 2019 i dokazivanje sigurnosti prema klijentima.

Ako vaša SoA ne može odgovoriti zašto, tko je vlasnik, koji dokazi to potvrđuju i koju obvezu podržava, još nije spremna. Upotrijebite Clarysec kako biste je pretvorili u revizijski spreman most usklađenosti prije nego što regulator, revizor ili klijent prvi postavi ista pitanja.