Standardi in predpisi
Standardi, smernice in zakonodaja niso isto. Pomembno je vedeti, katera zahteva je prostovoljna, katera zavezujoča in kaj od tega je mogoče certificirati.
Certifikacijski standard (na primer ISO/IEC 27001) določa zahteve za sistem upravljanja, ki ga lahko preveri neodvisen certifikacijski organ. Smernice (na primer ISO/IEC 27017) dopolnjujejo kontrole, zakonodaja (na primer ZInfV-1) pa je zavezujoča za zavezance.
ISO 22301 – neprekinjenost poslovanja
Certifikacijski standard za sistem upravljanja neprekinjenosti poslovanja (BCMS).
Več o strani →ISO 31000 – upravljanje tveganj
Splošne smernice za načela, okvir in postopek upravljanja tveganj.
Več o strani →ISO/IEC 27005 – tveganja informacijske varnosti
Smernice za oceno in obravnavo tveganj informacijske varnosti v okviru ISO/IEC 27001.
Več o strani →Disaster recovery – načrt obnove po izpadu
Pregled in priprava načrta obnove IT in poslovnih storitev po izpadu, napadu ali izgubi podatkov.
Več o strani →ISO/IEC 27017 – varnost v oblaku
Smernice in kontrole za oblačne storitve, ki dopolnjujejo ISO/IEC 27002.
Več o strani →ISO/IEC 27018 – osebni podatki v oblaku
Smernice za zaščito osebnih podatkov pri ponudnikih javnega oblaka, ki so obdelovalci.
Več o strani →ZInfV-1 in direktiva NIS2
Slovenski zakon o informacijski varnosti, ki prenaša direktivo NIS2.
Več o strani →EU AI Act – uredba o umetni inteligenci
Uredba EU o umetni inteligenci, ki določa obveznosti glede na stopnjo tveganja.
Več o strani →Cyber Resilience Act (CRA)
Uredba EU o kibernetski varnosti izdelkov z digitalnimi elementi.
Več o strani →Naša področja
Osrednji področji sta ISO/IEC 27001 (informacijska varnost) in ISO/IEC 42001 (upravljanje umetne inteligence). Za oba izvajamo notranje presoje, pripravo na ISO in GAP analize.
Enako delo, torej GAP analizo, svetovalni pregled in pripravo na zunanjo presojo, izvajamo tudi na spodnjih področjih. Kjer gre za standard ISO, ponudimo tudi notranjo presojo.
- ISO 22301: neprekinjenost poslovanja
- ISO 31000 in ISO/IEC 27005: upravljanje tveganj
- Disaster recovery: načrt obnove IT in poslovnih storitev
- ISO/IEC 27017: varnost v oblaku
- ISO/IEC 27018: osebni podatki v javnem oblaku
- ZInfV-1 in direktiva NIS2
- EU AI Act
- Cyber Resilience Act (CRA)
Vrste dokumentov
| Vrsta | Primer | Certifikacija | Zavezujoče |
|---|---|---|---|
| Certifikacijski standard | ISO/IEC 27001, ISO/IEC 42001, ISO 22301 | Da, pri akreditiranem certifikacijskem organu | Ne, prostovoljno (razen če ga zahteva naročnik ali pogodba) |
| Smernice in kontrole | ISO 31000, ISO/IEC 27005, ISO/IEC 27017, ISO/IEC 27018 | Ne kot samostojen certifikat | Ne |
| Sektorske zahteve | Zahteve naročnikov ali panožni okviri | Odvisno od zahteve | Pogodbeno |
| Zakonodaja | ZInfV-1 / NIS2, EU AI Act, CRA | Ne, uredbe in zakoni ne vsebujejo certifikata ISO | Da, za zavezance |
Standard ni isto kot zakon
Noben standard ali zakon samodejno ne dokazuje skladnosti z drugim. ISO/IEC 27001 ne pomeni polne skladnosti z ZInfV-1, ISO/IEC 42001 pa ne pomeni skladnosti z EU AI Act. Prekrivanje je treba preveriti s primerjavo zahtev.
Pri zakonodaji ne dajemo pravnega svetovanja. Roke in obveznosti preverite v uradnem besedilu predpisa.
Kaj Presojevalec ne dela
Presojevalec ni certifikacijski organ in ne izdaja certifikatov. Naše notranje presoje in pregledi so priprava na zunanjo presojo, ne njena zamenjava. Besedil plačljivih standardov ne objavljamo.
Pogosta vprašanja
Kateri standard izbrati kot prvega?
Odvisno od zahtev naročnikov, dejavnosti in tveganj. Za informacijsko varnost je običajna izbira ISO/IEC 27001, za upravljanje umetne inteligence ISO/IEC 42001.
Ali je ISO/IEC 27017 ali 27018 mogoče certificirati samostojno?
Ne. Sta smernici, ki dopolnjujeta kontrole. Zunanja potrditev je običajno povezana s certifikacijo ISO/IEC 27001, pogoje določi certifikacijski organ.
Ali ISO/IEC 27001 zadošča za ZInfV-1?
Ne samodejno. Standard pokriva velik del ukrepov, zakon pa vsebuje tudi samostojne obveznosti. Primerjavo je treba izvesti posebej.
Ali lahko pri vas dobim certifikat?
Ne. Certifikat izda akreditiran certifikacijski organ. Mi pomagamo pri pripravi in izvedemo notranjo presojo.
Viri
- ISO/IEC 27001 – sistemi upravljanja informacijske varnosti (odpre se v novem zavihku)
- ISO/IEC 42001 – sistemi upravljanja umetne inteligence (odpre se v novem zavihku)
- Direktiva (EU) 2022/2555 (NIS2), EUR-Lex (odpre se v novem zavihku)
- Uredba (EU) 2024/1689 (AI Act), EUR-Lex (odpre se v novem zavihku)
- Uredba (EU) 2024/2847 (CRA), EUR-Lex (odpre se v novem zavihku)
Zadnja vsebinska preveritev: .
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.