Notranja presoja skladnosti z ZInfV-1 in NIS2
Presoja, ali ukrepi in postopki organizacije ustrezajo zahtevam ZInfV-1 in NIS2.
Notranja presoja skladnosti z ZInfV-1 in NIS2 je nepristransko preverjanje, ali organizacija izpolnjuje obveznosti zakona, ki jih ima kot zavezanec, ter ali so ukrepi dokumentirani in izvajani. Merilo je besedilo zakona in direktive, ne standard ISO.
Katero težavo rešujemo
Organizacija ne ve, ali je zavezanec, kateri ukrepi so že urejeni in katere obveznosti (prijava incidentov, odgovornost vodstva, ukrepi za obvladovanje tveganj) niso pokrite.
Zakaj je to pomembno
Standard ISO/IEC 27001 ne pomeni samodejne skladnosti z zakonom. Presoja primerja zahteve zakona z dejanskim stanjem in pokaže, kaj je treba še urediti.
Za koga je
- Organizacije, ki so zavezanci ali to preverjajo (bistveni in pomembni subjekti).
- Dobavitelji zavezancev, ki jim naročniki prenašajo zahteve.
- Organizacije z ISO/IEC 27001, ki želijo preveriti prekrivanje z zakonom.
Kaj obsega delo
- Ugotovitev statusa zavezanca (okvirno, brez pravnega mnenja).
- Ukrepi za obvladovanje tveganj in odgovornost vodstva.
- Obvladovanje incidentov in postopek prijave.
- Neprekinjenost poslovanja, obvladovanje kriz in varnost dobavne verige.
- Dokumentacija in dokazila o izvajanju.
Potek dela
Uvodni pogovor: obseg, merila, termin in preverjanje neodvisnosti.
Presojevalni načrt: merila (člena zakona ZInfV-1 in direktive NIS2, ki veljata za organizacijo), vzorci in seznam intervjuvancev.
Pregled dokumentacije in zapisov.
Presoja: intervjuji, opazovanje in vzorčenje zapisov.
Končni sestanek z ustnim povzetkom.
Poročilo in po dogovoru preverjanje korektivnih ukrepov.
Kaj potrebujemo od vas
- Podatki o dejavnosti in velikosti organizacije.
- Politike, register tveganj, postopek za incidente.
- Obstoječe certifikate ali ugotovitve prejšnjih presoj.
Kaj prejmete
- Presojevalni načrt in program presoje.
- Poročilo o presoji z ugotovitvami, dokazi in merili.
- Seznam neskladnosti in priložnosti za izboljšave.
- Povzetek za vodstvo.
Kaj ni vključeno in kje so meje
- Pravno mnenje ali formalna ocena skladnosti.
- Certifikacija: uredbe in zakoni ne vsebujejo certifikata ISO.
Notranja presoja skladnosti ni pravno mnenje. Roke in obveznosti preverite v uradnem besedilu predpisa. Presojamo le sisteme, pri vzpostavitvi katerih nismo sodelovali. Če smo organizaciji svetovali ali pripravljali dokumentacijo, presoje ne prevzamemo ali pa to jasno navedemo in presoje ne predstavimo kot neodvisne.
Pogosta vprašanja
Ali presoja pomeni uradno ugotovitev skladnosti?
Ne. Je notranja presoja organizacije. Uradni nadzor izvajajo pristojni organi, presoja pa ne nadomešča pravnega mnenja.
Kakšna je razlika med presojo in GAP analizo?
GAP analiza ugotavlja razliko med stanjem in zahtevami in je lahko tudi svetovalna. Presoja je nepristranska in dokazno vzorčena. Obe se lahko izvedeta zaporedno, vendar ne pri istem sistemu pri isti osebi.
Viri
- Zakon o informacijski varnosti (ZInfV-1), Uradni list RS, št. 40/25 (odpre se v novem zavihku)
- Direktiva (EU) 2022/2555 (NIS2), EUR-Lex (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.