ISO 27001 vs NIS2: overlapp og forskjeller

Hva det er

ISO/IEC 27001:2022 spesifiserer krav til å etablere, drive og forbedre et styringssystem for informasjonssikkerhet (ISMS): kontekst og omfang, lederskap, risikovurdering og risikohåndtering, støtte, drift, evaluering av ytelse og forbedring. Vedlegg A lister opp 93 referansekontroller gruppert i organisatoriske, personellmessige, fysiske og teknologiske temaer, valgt ut fra risikovurderingen. Organisasjoner kan velge å få sitt ISMS revidert av et akkreditert sertifiseringsorgan. NIS2 krever i stedet at omfattede enheter gjennomfører risikostyringstiltak innen definerte områder, holder ledelsesorganene ansvarlige og legger til strenge krav om hendelsesrapportering til myndighetene, tilsyn og sanksjoner. Overlappet er stort: risikovurdering, policyer, tilgangskontroll, kryptografi, leverandørsikkerhet, hendelseshåndtering, kontinuitet og opplæring finnes i begge. Forskjellene er også viktige. NIS2 fastsetter lovpålagte rapporteringsfrister, uttrykkelig ledelsesansvar og opplæring og nasjonalt tilsyn; ISO 27001 lar dere selv definere omfanget, som ikke nødvendigvis samsvarer med tjenestene NIS2 er opptatt av.

Hvem det er for

Denne sammenligningen er nyttig for:

• Organisasjoner med et eksisterende ISO 27001-program som vurderer gap mot NIS2
• Organisasjoner som er omfattet av NIS2 og vurderer å bygge et ISMS som rammeverk
• Leverandører som av kunder blir bedt om enten samsvar med ISO 27001 eller forsikringer knyttet til NIS2
• Ledergrupper som fordeler budsjett mellom rammeverk

Hva det hjelper med å klarlegge

En sammenligning side om side bidrar til å avklare:

• Hvilke eksisterende kontroller og registreringer som kan gjenbrukes som dokumentasjon for NIS2
• Om ISMS-omfanget dekker tjenestene og systemene som er relevante etter NIS2
• Hvilke NIS2-forpliktelser, som rapporteringsfrister, som krever ekstra prosedyrer
• Om formell ISO-sertifisering er et forretningskrav eller bare et nyttig rammeverk

Hva er inkludert

• Sammenlign ISMS-omfanget med tjenestene og systemene som vil være relevante etter NIS2
• Kartlegg kontrollene fra vedlegg A som dere har innført, mot tiltaksområdene i NIS2 artikkel 21
• Legg til en hendelsesprosedyre for rapporteringstrinnene på 24 timer, 72 timer og én måned
• Dokumenter ledelsesorganets godkjenning, tilsyn og opplæring uttrykkelig
• Utvid leverandørvurderingen til å omfatte IKT-leverandørene bak kritiske tjenester
• Sjekk nasjonal gjennomføring for tilleggskrav eller ordninger det vises til
• Bruk internrevisjoner og ledelsens gjennomganger til å vise at tiltakene er effektive over tid
• Ta vare på dokumentasjon av tekniske kontroller, ikke bare policyer

Hva er ikke inkludert

• ISO 27001-sertifisering eller revisjon utført av et sertifiseringsorgan
• En erklæring om at ISO 27001-sertifisering oppfyller forpliktelsene etter NIS2
• Juridisk tolkning av nasjonal NIS2-lovgivning
• Offisielle titler eller akkrediteringer

Når skal den velges

Bruk denne sammenligningen når dere planlegger sikkerhetsprogrammet for de neste ett til to årene. Hvis kunder krever et ISO 27001-sertifikat, planlegg en akkreditert sertifiseringsrevisjon som et eget steg. Hvis dere er omfattet av NIS2, bruk ISMS-strukturen til å organisere tiltakene, men legg til de direktivspesifikke elementene. Hvis dere har ingen av delene, er det ofte mer nyttig å starte med en strukturert gjennomgang av gap mot en avtalt referanse enn å skrive policyer først. Denne artikkelen er generell informasjon og ikke juridisk rådgivning.

Vår tilnærming

Behandle ISO 27001 som styringsstrukturen og NIS2 som et sett rettslige krav som strukturen må oppfylle. Start med ett felles kontrollsett kartlagt mot begge, slik at hver kontroll har én eier og ett sett med dokumentasjon. Vær særlig oppmerksom på omfanget: et ISMS som bare dekker en funksjon ved hovedkontoret, vil ikke vise mye om systemene bak en kritisk tjeneste. Tjenesten vår Security Baseline Review kan hjelpe med den tekniske siden: en skriftlig oversikt over avtalte eiendeler, gradert etter alvorlighet, og observasjoner av beredskapsgap mot en avtalt referanse der det inngår i det bekreftede omfanget. Det er beredskaps- og beslutningsstøtte som forbereder dere på arbeidet med akkrediterte sertifiseringsorganer, revisorer og juridiske rådgivere. Der sertifisering er målet, velg et akkreditert sertifiseringsorgan for revisjonen, og hold beredskapsarbeidet adskilt fra den.

Security Baseline Review

Ofte stilte spørsmål

Beslektede artikler