ISO 27001 vs. NIS2: hvor de overlapper, og hvor de adskiller sig

Organisationer, der forbereder sig på NIS2, spørger ofte, om ISO/IEC 27001 allerede dækker det, eller om de bør gå efter det ene før det andet. De to er forskellige af natur. ISO 27001 er en frivillig international standard for et ledelsessystem for informationssikkerhed. NIS2 er et EU-direktiv, der gennemføres via national lovgivning, og som fastsætter retlige forpligtelser for omfattede enheder. De overlapper betydeligt, men ingen af dem erstatter den anden. Denne vejledning forklarer, hvordan de bruges sammen. Den er generel information og ikke juridisk rådgivning.

Hvad det er

ISO/IEC 27001:2022 specificerer krav til etablering, drift og forbedring af et ledelsessystem for informationssikkerhed (ISMS): kontekst og omfang, ledelse, risikovurdering og risikohåndtering, støtte, drift, evaluering af præstation og forbedring. Bilag A oplister 93 referencekontroller grupperet i organisatoriske, menneskelige, fysiske og teknologiske temaer, som udvælges ud fra jeres risikovurdering. Organisationer kan vælge at få deres ISMS revideret af et akkrediteret certificeringsorgan. NIS2 kræver i stedet, at omfattede enheder implementerer risikostyringsforanstaltninger på tværs af fastlagte områder, holder ledelsesorganerne ansvarlige og tilføjer streng hændelsesrapportering til myndighederne, tilsyn og sanktioner. Overlappet er stort: risikovurdering, politikker, adgangskontrol, kryptografi, leverandørsikkerhed, hændelseshåndtering, kontinuitet og uddannelse optræder i begge. Forskellene har også betydning. NIS2 fastsætter lovbestemte rapporteringsfrister, udtrykkeligt ledelsesansvar og uddannelse samt nationalt tilsyn; ISO 27001 lader jer selv definere omfanget, som måske ikke svarer til de tjenester, NIS2 interesserer sig for.

Hvem er det for?

Denne sammenligning er nyttig for:

Organisationer med et eksisterende ISO 27001-program, der vurderer mangler i forhold til NIS2
Organisationer omfattet af NIS2, der overvejer at opbygge et ISMS som deres ramme
Leverandører, som kunder beder om enten tilpasning til ISO 27001 eller forsikringer relateret til NIS2
Ledelsesteams, der fordeler budget mellem rammerne

Hvad det hjælper med at afklare

Når de sammenlignes side om side, hjælper det med at afklare:

Hvilke eksisterende kontroller og registreringer der kan genbruges som dokumentation for NIS2
Om jeres ISMS-omfang dækker de tjenester og systemer, der er relevante under NIS2
Hvilke NIS2-forpligtelser, såsom rapporteringsfrister, der kræver yderligere procedurer
Om formel ISO-certificering er et forretningskrav eller blot en nyttig ramme

Hvad er inkluderet

Sammenlign jeres ISMS-omfang med de tjenester og systemer, der ville være relevante under NIS2
Kortlæg de kontroller fra bilag A, I har implementeret, til foranstaltningsområderne i NIS2-artikel 21
Tilføj en hændelsesprocedure for rapporteringstrinene efter 24 timer, 72 timer og en måned
Dokumentér udtrykkeligt ledelsesorganets godkendelse, tilsyn og uddannelse
Udvid leverandørvurderingen, så den dækker de ICT-leverandører, der ligger bag kritiske tjenester
Kontrollér den nationale gennemførelse for yderligere krav eller henviste ordninger
Brug interne audits og ledelsens evalueringer til at vise, at foranstaltningerne er effektive over tid
Opbevar dokumentation for tekniske kontroller, ikke kun politikker

Hvad er ikke inkluderet?

ISO 27001-certificering eller en audit udført af et certificeringsorgan
En erklæring om, at ISO 27001-certificering opfylder forpligtelserne under NIS2
Juridisk fortolkning af national NIS2-lovgivning
Officielle titler eller akkrediteringer

Hvornår du skal vælge det

Brug denne sammenligning, når I planlægger jeres sikkerhedsprogram for de næste et til to år. Hvis kunder kræver et ISO 27001-certifikat, så planlæg en akkrediteret certificeringsaudit som et særskilt trin. Hvis I er omfattet af NIS2, så brug ISMS-strukturen til at organisere foranstaltningerne, men tilføj de direktivspecifikke elementer. Hvis I har ingen af delene, er det ofte mere nyttigt at starte med en struktureret gennemgang af mangler i forhold til en aftalt reference end at skrive politikker først. Denne artikel er generel information og ikke juridisk rådgivning.

Vores tilgang

Betragt ISO 27001 som ledelsesstrukturen og NIS2 som et sæt retlige krav, som strukturen skal opfylde. Begynd med ét kontrolsæt kortlagt til begge, så hver kontrol har én ejer og ét sæt dokumentation. Vær særligt opmærksom på omfanget: et ISMS, der kun dækker en hovedkontorfunktion, vil ikke vise meget om de systemer, der ligger bag en kritisk tjeneste. Vores tjeneste Security Baseline Review kan hjælpe med den tekniske side: en skriftlig vurdering af aftalte aktiver graderet efter alvorlighed og observationer af parathedsmangler i forhold til en aftalt reference, hvor det indgår i det bekræftede omfang. Det er støtte til parathed og beslutninger, der forbereder jer på samarbejdet med akkrediterede certificeringsorganer, revisorer og juridiske rådgivere. Hvis certificering er jeres mål, så vælg et akkrediteret certificeringsorgan til auditten, og hold parathedsarbejdet adskilt fra den.

Security Baseline Review

Se siden for tjenesten Security Baseline Review