La prova che i vostri clienti richiedono prima del contratto

L'Allegato A è stato ristrutturato da 114 a 93 misure, organizzato in quattro temi invece di quattordici e integrato con undici nuove misure — tra cui threat intelligence, sicurezza cloud, data leakage prevention e programmazione sicura. Chi ha costruito il proprio sistema sulla vecchia versione ha bisogno di una mappatura, non di ripartire da zero.

Il documento centrale della norma: un elenco di tutte le misure dell'Allegato A con la vostra decisione se sia applicabile, come venga implementata e perché sia eventualmente esclusa. Gli auditor iniziano quasi sempre da qui.

NIS2 è una legge, ISO 27001 è una norma. Un ISMS certificato non soddisfa automaticamente NIS2, ma copre una parte significativa delle misure di gestione del rischio richieste e fornisce la struttura di evidenze che le autorità di vigilanza si aspettano.

Di norma lo riduce notevolmente. Molti processi di acquisto accettano certificato più Dichiarazione di Applicabilità invece di un catalogo di domande a tre cifre.

A partire da 179 € al mese, inclusi preparazione, audit, certificato e audit di sorveglianza. Tradizionalmente, i costi totali per una PMI nel primo ciclo sono spesso significativamente più alti, perché consulenza, ente di certificazione e impegno interno si presentano separatamente. Il calcolatore dei costi mostra la differenza per le vostre dimensioni.

Per una nuova implementazione, realisticamente sei-otto settimane; con un ISMS già in funzione decisamente meno, in caso di passaggio fino a 48 ore, se la valutazione dei rischi e le misure vengono vissute concretamente. Il collo di bottiglia è quasi sempre la valutazione dei rischi, non l'audit.

No. Per ogni misura dovete decidere in modo motivato se è applicabile. L'esclusione deve essere comprensibile — questo è lo scopo della dichiarazione di applicabilità.

Un mapping sulla struttura del 2022, la valutazione delle undici nuove misure e l'adeguamento della dichiarazione di applicabilità. Nessuna nuova implementazione. Caricate semplicemente i vostri documenti esistenti sulla nostra piattaforma e rielaborate i suggerimenti dell'IA.

No. NIS2 è una legge e in alcuni punti va oltre, tra l'altro per quanto riguarda gli obblighi di segnalazione e la responsabilità personale della direzione. Tuttavia, un ISMS copre una grande parte delle misure richieste e fornisce la struttura di documentazione.

Sì. È fondamentale che gestiate i vostri fornitori e che la ripartizione delle responsabilità sia documentata.

Certifichiamo anche organizzazioni con meno di dieci dipendenti. L'impegno scala con la complessità, non solo con il numero di persone.

Non è un criterio di esclusione. Si verifica se lo avete riconosciuto, gestito e se ne avete tratto insegnamenti. È esattamente per questo che esiste il sistema. Qui si tratta di rendere visibile il miglioramento continuo.

Il vostro certificato viene rilasciato dall'organizzazione nazionale competente per il vostro mercato; il suo status lo trovate prima della conclusione del contratto. Per ISO/IEC 27001 l'accreditamento è obbligatorio solo in singoli settori regolamentati per legge — se questo vi riguarda, ve lo diciamo nel colloquio iniziale. Di norma vale quanto segue: viene verificata la stessa norma secondo lo stesso standard, e gli enti pubblici appaltanti devono accettare prove equivalenti. Tutto questo su .

Solo se il vostro ISMS è già operativo: valutazione dei rischi, dichiarazione di applicabilità e le misure scelte dell'Allegato A devono essere presenti e messe in pratica. In caso di passaggio da un altro ente di certificazione, ciò accade spesso; in caso di implementazione nuova, quasi mai. Ve lo diciamo nel controllo express, prima che prenotiate.

Questo è il punto centrale. Il vostro ISMS vive nella piattaforma: dichiarazione di applicabilità, rischi, misure e incidenti vengono gestiti lì, la nostra IA segnala le deviazioni e ricorda i cicli di revisione. Un ISMS che si addormenta tra due audit non regge a un audit del cliente.

La piattaforma e l'IA coprono i casi standard. Dove serve di più — ad esempio per la metodologia di valutazione dei rischi o un audit interno indipendente — vi mettiamo in contatto con consulenza indipendente dal nostro network di partner. Chi vi ha fornito consulenza non vi certifica presso di noi.