ISO 27001 vs NIS2: överlappningar och skillnader

Organisationer som förbereder sig för NIS2 frågar ofta om ISO/IEC 27001 redan täcker det, eller om de bör satsa på det ena före det andra. De två är olika till sin natur. ISO 27001 är en frivillig internationell standard för ett ledningssystem för informationssäkerhet. NIS2 är ett EU-direktiv, genomfört via nationell rätt, som ställer rättsliga skyldigheter på omfattade entiteter. De överlappar i hög grad, men ingen av dem ersätter den andra. Den här guiden förklarar hur de kan användas tillsammans. Den är allmän information och inte juridisk rådgivning.

Vad det är

ISO/IEC 27001:2022 anger krav för att upprätta, driva och förbättra ett ledningssystem för informationssäkerhet (ISMS): kontext och omfattning, ledarskap, riskbedömning och riskbehandling, stöd, drift, utvärdering av prestanda och förbättring. Bilaga A listar 93 referensåtgärder grupperade i organisatoriska, personella, fysiska och tekniska teman, som väljs utifrån er riskbedömning. Organisationer kan välja att låta ett ackrediterat certifieringsorgan revidera sitt ISMS. NIS2 kräver i stället att omfattade entiteter genomför riskhanteringsåtgärder inom definierade områden, håller ledningsorganen ansvariga och lägger till strikt incidentrapportering till myndigheter, tillsyn och sanktioner. Överlappningen är stor: riskbedömning, policyer, åtkomstkontroll, kryptografi, leverantörssäkerhet, incidenthantering, kontinuitet och utbildning förekommer i båda. Skillnaderna spelar också roll. NIS2 fastställer lagstadgade rapporteringsfrister, uttryckligt ledningsansvar och utbildning samt nationell tillsyn; ISO 27001 låter er själva definiera omfattningen, vilket inte nödvändigtvis motsvarar de tjänster som NIS2 fokuserar på.

Vem det är för

Jämförelsen är användbar för:

Organisationer med ett befintligt ISO 27001-program som bedömer brister i förhållande till NIS2
Organisationer som omfattas av NIS2 och överväger att bygga ett ISMS som ramverk
Leverantörer som av kunder ombeds visa antingen anpassning till ISO 27001 eller försäkringar kopplade till NIS2
Ledningsgrupper som fördelar budget mellan ramverk

Vad det hjälper till att klargöra

En jämförelse sida vid sida hjälper till att klargöra:

Vilka befintliga kontroller och dokumentationer som kan återanvändas som belägg för NIS2
Om ert ISMS-omfattning täcker de tjänster och system som är relevanta enligt NIS2
Vilka NIS2-skyldigheter, som rapporteringsfrister, som kräver ytterligare rutiner
Om formell ISO-certifiering är ett affärskrav eller helt enkelt ett användbart ramverk

Vad ingår

Jämför er ISMS-omfattning med de tjänster och system som skulle vara relevanta enligt NIS2
Mappa de åtgärder i bilaga A som ni har infört mot åtgärdsområdena i artikel 21 i NIS2
Lägg till en incidentrutin för rapporteringsstegen 24 timmar, 72 timmar och en månad
Dokumentera uttryckligen ledningsorganets godkännande, tillsyn och utbildning
Utvidga leverantörsbedömningen till att omfatta IKT-leverantörerna bakom kritiska tjänster
Kontrollera det nationella införlivandet för ytterligare krav eller ordningar som hänvisas till
Använd internrevisioner och ledningens genomgångar för att visa att åtgärderna är effektiva över tid
Spara belägg för tekniska kontroller, inte bara policyer

Vad som inte ingår

ISO 27001-certifiering eller revision av ett certifieringsorgan
Ett uttalande om att ISO 27001-certifiering uppfyller skyldigheterna enligt NIS2
Juridisk tolkning av nationell NIS2-lagstiftning
Officiella titlar eller ackrediteringar

När det passar att välja den

Använd jämförelsen när ni planerar ert säkerhetsprogram för de kommande ett till två åren. Om kunder kräver ett ISO 27001-certifikat, planera en ackrediterad certifieringsrevision som ett separat steg. Om ni omfattas av NIS2, använd ISMS-strukturen för att organisera åtgärderna men lägg till de direktivspecifika delarna. Om ni har ingetdera är det ofta mer användbart att börja med en strukturerad gapgranskning mot en överenskommen referens än att skriva policyer först. Den här artikeln är allmän information och inte juridisk rådgivning.

Vår strategi

Behandla ISO 27001 som ledningsstrukturen och NIS2 som en uppsättning rättsliga krav som strukturen måste uppfylla. Börja med en gemensam uppsättning kontroller mappad mot båda, så att varje kontroll har en ansvarig och en uppsättning belägg. Var särskilt uppmärksam på omfattningen: ett ISMS som bara omfattar en funktion på huvudkontoret visar inte mycket om systemen bakom en kritisk tjänst. Vår tjänst Security Baseline Review kan hjälpa till med den tekniska sidan: en skriftlig bild av överenskomna tillgångar, klassad efter allvarlighetsgrad, och iakttagelser om beredskapsbrister mot en överenskommen referens där det ingår i den bekräftade omfattningen. Det är stöd för beredskap och beslut som förbereder er för arbetet med ackrediterade certifieringsorgan, revisorer och juridiska rådgivare. Där certifiering är målet, välj ett ackrediterat certifieringsorgan för revisionen och håll beredskapsarbetet åtskilt från den.

Security Baseline Review

Visa tjänstesidan för Security Baseline Review