ISO 27001とNIS2の違い：重なる点と異なる点

何であるのか

ISO/IEC 27001:2022は、情報セキュリティマネジメントシステム（ISMS）の確立、運用、改善の要求事項を規定しています。組織の状況と適用範囲、リーダーシップ、リスクアセスメントとリスク対応、支援、運用、パフォーマンス評価、改善です。附属書Aには、組織的、人的、物理的、技術的の各テーマに分類された93の参照管理策が列挙されており、リスクアセスメントに基づいて選択します。組織は、認定を受けた認証機関によるISMSの審査を受けることを選択できます。一方、NIS2は対象事業体に対し、定められた領域にわたるリスク管理対策の実施を求め、経営陣に責任を負わせ、さらに当局への厳格なインシデント報告、監督、罰則を加えています。重なる部分は大きく、リスクアセスメント、ポリシー、アクセス制御、暗号化、サプライヤーのセキュリティ、インシデント管理、事業継続、研修は両方に含まれます。違いも重要です。NIS2は法定の報告期限、経営陣の明確な責任と研修、国による監督を定めています。ISO 27001では適用範囲を自ら定められますが、それがNIS2で重視されるサービスと一致しない場合があります。

誰のために

この比較は次のような方に役立ちます。

• 既存のISO 27001プログラムを持ち、NIS2とのギャップを評価している組織
• NIS2の対象であり、ISMSをフレームワークとして構築するかを検討している組織
• 顧客からISO 27001への準拠、またはNIS2に関する確認を求められているサプライヤー
• フレームワーク間で予算を配分する経営陣

明確にするのに役立つこと

両者を並べて比較することで、次の点が明確になります。

• 既存のどの管理策と記録をNIS2の証跡として再利用できるか
• ISMSの適用範囲が、NIS2のもとで関係するサービスとシステムをカバーしているか
• 報告のタイムラインなど、どのNIS2の義務に追加の手順が必要か
• ISOの正式な認証が事業上の要件なのか、単に有用なフレームワークなのか

含まれる内容

• ISMSの適用範囲を、NIS2のもとで関係するサービスやシステムと比較する
• 実施済みの附属書Aの管理策を、NIS2第21条の対策領域に対応付ける
• 24時間、72時間、1か月の各報告段階に対応するインシデント手順を追加する
• 経営陣による承認、監督、研修を明示的に文書化する
• サプライヤー評価を、重要なサービスを支えるICTサプライヤーにまで広げる
• 国内法化の内容に、追加要件や参照されているスキームがないかを確認する
• 内部監査とマネジメントレビューを活用し、対策が継続的に有効であることを示す
• ポリシーだけでなく、技術的な管理策の証跡も保管する

含まれていないもの

• ISO 27001の認証、または認証機関による審査
• ISO 27001の認証がNIS2の義務を満たすという記述
• NIS2の国内法に関する法的解釈
• 公式な称号や認定

それを選ぶべきとき

今後1〜2年のセキュリティプログラムを計画する際に、この比較を活用してください。顧客がISO 27001の認証を求めている場合は、認定を受けた認証機関による審査を別のステップとして計画してください。NIS2の対象である場合は、ISMSの構造を使って対策を整理しつつ、指令固有の要素を追加してください。どちらもない場合は、ポリシーを先に書くよりも、合意した基準に対して体系的なギャップレビューから始める方が有用なことがよくあります。本記事は一般的な情報であり、法的助言ではありません。

私たちのアプローチ

ISO 27001をマネジメントの構造として、NIS2をその構造が満たすべき法的要件の集合として扱ってください。まず、両方に対応付けた単一の管理策セットから始め、各管理策に1人の担当者と1組の証跡が対応するようにします。特に適用範囲に注意してください。本社機能だけをカバーするISMSでは、重要なサービスを支えるシステムについてほとんど示すことができません。当社のSecurity Baseline Reviewは技術面を支援できます。合意した資産についての書面による深刻度別の見解と、確定したスコープに含まれる場合は、合意した基準に対する準備状況のギャップに関する指摘事項です。これは準備と意思決定の支援であり、認定を受けた認証機関、監査人、法律顧問との作業に備えるものです。認証が目的である場合は、審査には認定を受けた認証機関を選び、準備作業とは切り離してください。

Security Baseline Review

よくある質問

関連記事