ISO 27001 vs. NIS2: onde se sobrepõem e onde diferem

Organizações que se preparam para a NIS2 costumam perguntar se a ISO/IEC 27001 já a abrange ou se devem buscar uma antes da outra. As duas têm naturezas diferentes. A ISO 27001 é uma norma internacional voluntária para um sistema de gestão de segurança da informação. A NIS2 é uma diretiva da UE, implementada por meio da legislação nacional, que estabelece obrigações legais para as entidades abrangidas. Elas se sobrepõem substancialmente, mas nenhuma substitui a outra. Este guia explica como usá-las em conjunto. Ele contém informações gerais e não constitui aconselhamento jurídico.

O que é

A ISO/IEC 27001:2022 especifica requisitos para estabelecer, operar e melhorar um sistema de gestão de segurança da informação (SGSI): contexto e escopo, liderança, avaliação e tratamento de riscos, apoio, operação, avaliação de desempenho e melhoria. Seu Anexo A lista 93 controles de referência agrupados nos temas organizacional, de pessoas, físico e tecnológico, selecionados de acordo com a sua avaliação de riscos. As organizações podem optar por ter seu SGSI auditado por um organismo de certificação acreditado. Já a NIS2 exige que as entidades abrangidas implementem medidas de gestão de riscos em áreas definidas, responsabiliza os órgãos de administração e acrescenta notificação rigorosa de incidentes às autoridades, supervisão e sanções. A sobreposição é grande: avaliação de riscos, políticas, controle de acesso, criptografia, segurança de fornecedores, gestão de incidentes, continuidade e treinamento aparecem em ambas. As diferenças também importam. A NIS2 estabelece prazos legais de notificação, responsabilização e treinamento explícitos da gestão e supervisão nacional; a ISO 27001 permite que você defina o escopo, o que pode não corresponder aos serviços que interessam à NIS2.

Para Quem É

Esta comparação é útil para:

Organizações com um programa ISO 27001 existente que avaliam as lacunas em relação à NIS2
Organizações no escopo da NIS2 que estão decidindo se estruturam um SGSI como seu framework
Fornecedores aos quais os clientes pedem alinhamento à ISO 27001 ou comprovações relacionadas à NIS2
Equipes de gestão que distribuem o orçamento entre frameworks

O Que Isso Ajuda A Esclarecer

Compará-las lado a lado ajuda a esclarecer:

Quais controles e registros existentes podem ser reaproveitados como evidência para a NIS2
Se o escopo do seu SGSI abrange os serviços e sistemas relevantes no âmbito da NIS2
Quais obrigações da NIS2, como os prazos de notificação, exigem procedimentos adicionais
Se a certificação ISO formal é um requisito de negócio ou simplesmente um framework útil

O que está incluído

Compare o escopo do seu SGSI com os serviços e sistemas que seriam relevantes no âmbito da NIS2
Mapeie os controles do Anexo A que você implementou para as áreas de medidas do Artigo 21 da NIS2
Acrescente um procedimento de incidentes para as etapas de notificação de 24 horas, 72 horas e um mês
Documente de forma explícita a aprovação, a supervisão e o treinamento do órgão de administração
Amplie a avaliação de fornecedores para abranger os fornecedores de TIC por trás dos serviços críticos
Verifique a transposição nacional em busca de requisitos adicionais ou esquemas referenciados
Use auditorias internas e análises críticas pela direção para demonstrar que as medidas são eficazes ao longo do tempo
Mantenha evidências dos controles técnicos, e não apenas das políticas

O que não está incluído

Certificação ISO 27001 ou auditoria por um organismo de certificação
Uma declaração de que a certificação ISO 27001 atende às obrigações da NIS2
Interpretação jurídica da legislação nacional da NIS2
Títulos ou credenciamentos oficiais

Quando Escolher

Use esta comparação ao planejar o seu programa de segurança para os próximos um a dois anos. Se os clientes exigirem um certificado ISO 27001, planeje uma auditoria de certificação acreditada como uma etapa separada. Se você está no escopo da NIS2, use a estrutura do SGSI para organizar as medidas, mas acrescente os elementos específicos da diretiva. Se você não tem nenhum dos dois, começar por uma revisão estruturada de lacunas em relação a uma referência acordada costuma ser mais útil do que redigir políticas primeiro. Este artigo contém informações gerais e não constitui aconselhamento jurídico.

Nossa abordagem

Trate a ISO 27001 como a estrutura de gestão e a NIS2 como um conjunto de requisitos legais que essa estrutura precisa atender. Comece com um único conjunto de controles mapeado para ambas, de modo que cada controle tenha um único responsável e um único conjunto de evidências. Dê atenção especial ao escopo: um SGSI que abrange apenas uma função da sede pouco demonstrará sobre os sistemas por trás de um serviço crítico. Nosso serviço Security Baseline Review pode ajudar no lado técnico: uma visão escrita, classificada por severidade, dos ativos acordados e observações de lacunas de preparação em relação a uma referência acordada, quando incluídas no escopo confirmado. Trata-se de apoio à preparação e à decisão que prepara você para trabalhar com organismos de certificação acreditados, auditores e assessores jurídicos. Se a certificação for o seu objetivo, escolha um organismo de certificação acreditado para a auditoria e mantenha o trabalho de preparação separado dela.

Security Baseline Review

Ver a página do serviço Security Baseline Review