ISO 27001 与 NIS2：重叠与差异

服务简介

ISO/IEC 27001:2022 规定了建立、运行和改进信息安全管理体系（ISMS）的要求：组织环境与范围、领导作用、风险评估与处置、支持、运行、绩效评价以及改进。其附录 A 列出了 93 项参考控制措施，分为组织、人员、物理和技术四个主题，并根据风险评估结果进行选择。组织可以自行选择由经认可的认证机构对其 ISMS 进行审核。NIS2 则要求受覆盖实体在规定领域实施风险管理措施，追究管理机构的责任，并增加了向主管机关严格报告事件、监管和处罚等要求。两者重叠很大：风险评估、策略、访问控制、密码学、供应商安全、事件管理、连续性和培训在两者中都有体现。差异同样重要。NIS2 规定了法定报告期限、明确的管理层问责和培训要求以及国家层面的监管；ISO 27001 则允许您自行界定范围，而该范围可能与 NIS2 所关注的服务并不一致。

适用对象

此对比适用于：

• 已有 ISO 27001 体系、正在评估 NIS2 差距的组织
• 在 NIS2 适用范围内、正在决定是否以 ISMS 作为框架的组织
• 被客户要求证明符合 ISO 27001 或提供 NIS2 相关安全承诺的供应商
• 需要在不同框架之间分配预算的管理团队

帮助厘清的问题

将两者并列比较，有助于厘清：

• 哪些现有控制措施和记录可以作为 NIS2 证据加以复用
• 您的 ISMS 范围是否涵盖 NIS2 下相关的服务和系统
• 哪些 NIS2 义务（例如报告时限）需要增加额外的程序
• 正式的 ISO 认证是业务上的必要条件，还是仅仅是一个有用的框架

包含内容

• 将您的 ISMS 范围与 NIS2 下相关的服务和系统进行比较
• 将您已实施的附录 A 控制措施映射到 NIS2 第 21 条的各项措施领域
• 增加一套事件处理程序，覆盖 24 小时、72 小时和一个月的报告阶段
• 明确记录管理机构的批准、监督和培训情况
• 将供应商评估扩展至关键服务背后的 ICT 供应商
• 核查本国转化立法中的额外要求或引用的计划
• 通过内部审核和管理评审，证明措施持续有效
• 保留技术控制措施的证据，而不仅仅是策略文件

不包含内容

• ISO 27001 认证或由认证机构进行的审核
• 声称 ISO 27001 认证即可满足 NIS2 义务
• 对本国 NIS2 法律的法律解释
• 官方头衔或资质认可

适用时机

在规划未来一至两年的安全计划时使用此对比。如果客户要求提供 ISO 27001 证书，请将经认可的认证审核作为单独步骤进行规划。如果您在 NIS2 适用范围内，请利用 ISMS 结构来组织各项措施，同时补充该指令特有的要素。如果两者您都尚未具备，那么对照约定参考标准开展结构化差距评审，往往比先编写策略文件更有用。本文仅为一般性信息，不构成法律建议。

我们的方法

将 ISO 27001 视为管理结构，将 NIS2 视为该结构必须满足的一组法律要求。首先建立一套同时映射到两者的控制措施，使每项控制措施只有一位负责人和一套证据。尤其要注意范围：仅覆盖总部职能的 ISMS，无法充分说明关键服务背后的系统情况。我们的 Security Baseline Review 可以在技术层面提供帮助：对约定资产提供按严重程度分级的书面评估，并在确认范围包含的情况下，提供对照约定参考标准的就绪差距观察。它属于就绪评估与决策支持，为您与经认可的认证机构、审计师和法律顾问的合作做好准备。如果您的目标是获得认证，请选择经认可的认证机构进行审核，并将就绪工作与审核分开。

Security Baseline Review

常见问题

相关文章