ISO 27001 vs. NIS2: v čem se překrývají a v čem se liší

Organizace, které se připravují na NIS2, se často ptají, zda ji ISO/IEC 27001 již pokrývá, nebo zda by měly usilovat o jedno dříve než o druhé. Obojí má odlišnou povahu. ISO 27001 je dobrovolná mezinárodní norma pro systém řízení bezpečnosti informací. NIS2 je směrnice EU provedená vnitrostátním právem, která stanoví právní povinnosti pro dotčené subjekty. Do značné míry se překrývají, ale ani jedna nenahrazuje druhou. Tento průvodce vysvětluje, jak je používat společně. Jde o obecnou informaci, nikoli o právní poradenství.

Co to je?

ISO/IEC 27001:2022 stanoví požadavky na zavedení, provozování a zlepšování systému řízení bezpečnosti informací (ISMS): kontext a rozsah, vedení, posouzení a zvládání rizik, podporu, provoz, hodnocení výkonnosti a zlepšování. Její příloha A uvádí 93 referenčních opatření seskupených do organizačních, personálních, fyzických a technologických témat, která se vybírají podle vašeho posouzení rizik. Organizace se mohou rozhodnout nechat svůj ISMS auditovat akreditovaným certifikačním orgánem. NIS2 naproti tomu vyžaduje, aby dotčené subjekty zavedly opatření k řízení rizik ve vymezených oblastech, činí řídicí orgány odpovědnými a přidává přísné hlášení incidentů orgánům, dohled a sankce. Překryv je velký: posouzení rizik, politiky, řízení přístupu, kryptografie, bezpečnost dodavatelů, řízení incidentů, kontinuita a školení se objevují v obou. Na rozdílech však také záleží. NIS2 stanoví zákonné lhůty pro hlášení, výslovnou odpovědnost a školení vedení a vnitrostátní dohled; ISO 27001 vám umožňuje vymezit rozsah, který nemusí odpovídat službám, o něž se NIS2 zajímá.

Pro koho to je?

Toto srovnání je užitečné pro:

Organizace se stávajícím programem ISO 27001, které posuzují mezery vůči NIS2
Organizace v působnosti NIS2, které zvažují, zda vybudovat ISMS jako svůj rámec
Dodavatele, po nichž zákazníci žádají buď soulad s ISO 27001, nebo ujištění související s NIS2
Vedení, které rozděluje rozpočet mezi jednotlivé rámce

Co to pomůže objasnit

Porovnání obou vedle sebe pomáhá ujasnit:

Která stávající opatření a záznamy lze znovu použít jako důkazy pro NIS2
Zda rozsah vašeho ISMS pokrývá služby a systémy relevantní podle NIS2
Které povinnosti podle NIS2, například lhůty pro hlášení, vyžadují doplňující postupy
Zda je formální certifikace ISO obchodním požadavkem, nebo jen užitečným rámcem

Co je zahrnuto

Porovnejte rozsah svého ISMS se službami a systémy, které by byly relevantní podle NIS2
Namapujte zavedená opatření z přílohy A na oblasti opatření podle článku 21 NIS2
Doplňte postup pro incidenty pokrývající fáze hlášení do 24 hodin, do 72 hodin a do jednoho měsíce
Výslovně zdokumentujte schválení, dohled a školení řídicího orgánu
Rozšiřte posuzování dodavatelů na dodavatele ICT, kteří stojí za kritickými službami
Ověřte vnitrostátní transpozici z hlediska dalších požadavků nebo odkazovaných schémat
Využívejte interní audity a přezkoumání vedením k prokázání účinnosti opatření v čase
Uchovávejte důkazy o technických opatřeních, nejen politiky

Co není součástí

Certifikace ISO 27001 nebo audit certifikačním orgánem
Prohlášení, že certifikace ISO 27001 splňuje povinnosti podle NIS2
Právní výklad vnitrostátního práva k NIS2
Oficiální tituly nebo akreditace

Kdy si ji vybrat

Toto srovnání použijte při plánování bezpečnostního programu na příští jeden až dva roky. Pokud zákazníci vyžadují certifikát ISO 27001, naplánujte akreditovaný certifikační audit jako samostatný krok. Pokud spadáte do působnosti NIS2, využijte strukturu ISMS k uspořádání opatření, ale doplňte prvky specifické pro směrnici. Pokud nemáte ani jedno, bývá užitečnější začít strukturovanou revizí mezer vůči dohodnutému referenčnímu rámci než psaním politik. Tento článek je obecnou informací a není právním poradenstvím.

Náš přístup

Berte ISO 27001 jako strukturu řízení a NIS2 jako soubor právních požadavků, které tato struktura musí splnit. Začněte jedinou sadou opatření namapovanou na oba rámce, aby každé opatření mělo jednoho vlastníka a jednu sadu důkazů. Zvláštní pozornost věnujte rozsahu: ISMS, který pokrývá pouze funkci ústředí, toho o systémech za kritickou službou mnoho neprokáže. Naše služba Security Baseline Review může pomoci s technickou stránkou: písemný pohled na dohodnutá aktiva odstupňovaný podle závažnosti a zjištění o mezerách v připravenosti vůči dohodnutému referenčnímu rámci, pokud jsou zahrnuta v potvrzeném rozsahu. Jde o podporu připravenosti a rozhodování, která vás připraví na spolupráci s akreditovanými certifikačními orgány, auditory a právními poradci. Pokud je vaším cílem certifikace, zvolte pro audit akreditovaný certifikační orgán a práci na připravenosti od něj oddělte.

Security Baseline Review

Zobrazit stránku služby Security Baseline Review