ISO 27001 與 NIS2：重疊與差異

服務簡介

ISO/IEC 27001:2022 規定了建立、運作與改善資訊安全管理系統（ISMS）的要求：組織全景與範圍、領導、風險評鑑與處理、支援、運作、績效評估以及改善。其附錄 A 列出 93 項參考控制措施，分為組織、人員、實體與技術四個主題，並依風險評鑑結果進行選擇。組織可自行選擇由經認證的驗證機構對其 ISMS 進行稽核。NIS2 則要求受涵蓋實體在規定領域實施風險管理措施，追究管理機構的責任，並增加了向主管機關嚴格通報事件、監理與罰則等要求。兩者重疊很大：風險評鑑、政策、存取控制、密碼學、供應商安全、事件管理、持續性與訓練在兩者中都有涵蓋。差異同樣重要。NIS2 規定了法定通報期限、明確的管理階層問責與訓練要求以及國家層級的監理；ISO 27001 則允許您自行界定範圍，而該範圍可能與 NIS2 所關注的服務並不一致。

適用對象

此比較適用於：

• 已有 ISO 27001 計畫、正在評估 NIS2 差距的組織
• 在 NIS2 適用範圍內、正在決定是否以 ISMS 作為框架的組織
• 被客戶要求證明符合 ISO 27001 或提供 NIS2 相關安全承諾的供應商
• 需要在不同框架之間分配預算的管理團隊

有助釐清的問題

將兩者並列比較，有助於釐清：

• 哪些現有控制措施與紀錄可以作為 NIS2 證據重複使用
• 您的 ISMS 範圍是否涵蓋 NIS2 下相關的服務與系統
• 哪些 NIS2 義務（例如通報時限）需要增加額外的程序
• 正式的 ISO 驗證是業務上的必要條件，還是僅是一個實用的框架

包含內容

• 將您的 ISMS 範圍與 NIS2 下相關的服務與系統相互比較
• 將您已實施的附錄 A 控制措施對應到 NIS2 第 21 條的各項措施領域
• 增加一套事件處理程序，涵蓋 24 小時、72 小時與一個月的通報階段
• 明確記錄管理機構的核准、監督與訓練情況
• 將供應商評估擴及關鍵服務背後的 ICT 供應商
• 查閱本國轉化立法中的額外要求或引用的計畫
• 透過內部稽核與管理審查，證明措施持續有效
• 保留技術控制措施的證據，而不只是政策文件

不包含內容

• ISO 27001 驗證或由驗證機構進行的稽核
• 宣稱 ISO 27001 驗證即可滿足 NIS2 義務
• 對本國 NIS2 法律的法律解釋
• 官方頭銜或資格認可

適用時機

在規劃未來一至兩年的資安計畫時使用此比較。如果客戶要求提供 ISO 27001 證書，請將經認證的驗證稽核作為單獨步驟進行規劃。如果您在 NIS2 適用範圍內，請利用 ISMS 架構來組織各項措施，同時補充該指令特有的要素。如果兩者您都尚未具備，那麼對照約定參考標準進行結構化差距審查，往往比先撰寫政策文件更有用。本文僅為一般資訊，不構成法律建議。

我們的方法

將 ISO 27001 視為管理架構，將 NIS2 視為該架構必須滿足的一組法律要求。首先建立一套同時對應兩者的控制措施，讓每項控制措施只有一位負責人與一套證據。尤其要注意範圍：僅涵蓋總部職能的 ISMS，無法充分說明關鍵服務背後的系統情況。我們的 Security Baseline Review 可以在技術層面提供協助：對約定資產提供依嚴重程度分級的書面評估，並在確認範圍包含的情況下，提供對照約定參考標準的準備度差距觀察。它屬於準備度評估與決策支援，為您與經認證的驗證機構、稽核人員及法律顧問的合作做好準備。如果您的目標是取得驗證，請選擇經認證的驗證機構進行稽核，並將準備工作與稽核分開。

Security Baseline Review

常見問題

相關文章