ما الذي تغطيه ISO 27001 في NIS2، نقطة بنقطة

إذا كانت لديك شهادة ISO 27001 وينطبق عليك NIS2، فإن السؤال الأول هو مقدار العمل المنجز بالفعل. الخبر الجيد أن ENISA، وكالة الاتحاد الأوروبي للأمن السيبراني، قد أجابت عن معظمه: فإرشادات التنفيذ الخاصة بها تربط كل نقطة في اللائحة التنفيذية لـ NIS2 ببنود ISO 27001 أو ضوابط الملحق A.

إليك شكل هذا الربط، متطلباً بمتطلب، والأجزاء التي لا يتناولها NIS2.

أعلى رقم

من أصل 49 نقاط المتطلبات في NIS2، يُطابق 49 (100%) شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 0 في بياناتنا. افتح تقرير الفجوات →

كل نقطة من نقاط المتطلبات الواردة في ملحق اللائحة التنفيذية (EU) 2024/2690 تقابل شيئاً ما في ISO 27001. هذه الروابط مأخوذة من جدول الربط الخاص بـ ENISA نفسه، لا من تقديرنا، ولهذا وُسمت بأنها جدول المطابقة.

كل نقطة في NIS2 ونظيرتها في ISO

NIS2	المتطلب	تطابق	ISO 27001
1.1	Policy on the security of network and information systems	جدول المطابقة	A.5.1A.5.37Clause 5.2A.5.4
1.2	Roles, responsibilities and authorities	جدول المطابقة	A.5.2A.5.4A.5.3Clause 5.3
2.1	Risk management framework	جدول المطابقة	Clause 6.1.1Clause 6.1.2Clause 6.1.3A.5.7
2.2	Compliance monitoring	جدول المطابقة	A.5.31Clause 9.1A.5.36A.5.35
2.3	Independent review of information and network security	جدول المطابقة	A.5.31A.5.36Clause 9.1A.5.35
3.1	Incident handling policy	جدول المطابقة	A.5.24A.5.25A.5.26
3.2	Monitoring and logging	جدول المطابقة	A.5.25A.8.15A.8.16A.8.17
3.3	Event reporting	جدول المطابقة	A.5.5A.6.8
3.4	Event assessment and classification	جدول المطابقة	A.5.25A.8.16
3.5	Incident response	جدول المطابقة	A.5.24A.5.25A.5.26A.5.28
3.6	Post-incident reviews	جدول المطابقة	A.5.27Clause 10.1
4.1	Business continuity and disaster recovery plan	جدول المطابقة	A.5.29A.5.30A.8.14
4.2	Backup management	جدول المطابقة	A.5.30A.8.13A.8.14
4.3	Crisis management	جدول المطابقة	A.5.26A.5.29A.5.30A.8.14
5.1	Supply chain security policy	جدول المطابقة	A.5.19A.5.20A.5.21A.5.22
5.2	Directory of suppliers and service providers	جدول المطابقة	A.5.19A.5.20A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	جدول المطابقة	A.5.19A.5.20A.5.21A.5.22
6.2	Secure development life cycle	جدول المطابقة	A.8.25A.8.26A.8.28A.8.29
6.3	Configuration management	جدول المطابقة	A.8.9
6.4	Change management, repairs and maintenance	جدول المطابقة	A.7.13A.8.32Clause 6.3Clause 8.1
6.5	Security testing	جدول المطابقة	A.8.8A.8.29A.8.33A.8.34
6.6	Security patch management	جدول المطابقة	A.8.8A.8.31A.8.32
6.7	Network security	جدول المطابقة	A.8.20A.8.21A.8.22A.8.16
6.8	Network segmentation	جدول المطابقة	A.5.15A.8.5A.8.20A.8.21
6.9	Protection against malicious and unauthorised software	جدول المطابقة	A.5.14A.8.19A.8.1A.8.7
6.10	Vulnerability handling and disclosure	جدول المطابقة	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	جدول المطابقة	Clause 6.1.1Clause 6.1.3Clause 6.2Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	جدول المطابقة	A.6.3Clause 7.3A.8.7
8.2	Security training	جدول المطابقة	A.6.3Clause 7.3Clause 7.2
9.1	Cryptography	جدول المطابقة	A.8.24A.5.31
10.1	Human resources security	جدول المطابقة	A.6.2A.6.3Clause 7.1Clause 7.2
10.2	Verification of Background	جدول المطابقة	A.6.1A.6.4A.8.16
10.3	Termination or change of employment procedures	جدول المطابقة	A.6.5
10.4	Disciplinary process	جدول المطابقة	A.6.1A.6.4A.8.16A.5.28
11.1	Access control policy	جدول المطابقة	A.5.15A.5.16A.5.18A.8.3
11.2	Management of access rights	جدول المطابقة	A.5.15A.5.16A.5.18A.8.3
11.3	Privileged accounts and system administration accounts	جدول المطابقة	A.8.2A.8.18
11.4	Administration systems	جدول المطابقة	A.8.2A.8.18
11.5	Identification	جدول المطابقة	A.5.15A.5.16A.5.18A.8.3
11.6	Authentication	جدول المطابقة	A.5.15A.8.5A.8.22A.5.17
11.7	Multi-factor authentication	جدول المطابقة	A.8.5
12.1	Asset classification	جدول المطابقة	A.5.12A.5.13A.5.9
12.2	Handling of assets	جدول المطابقة	A.5.14A.8.10A.8.11A.5.9
12.3	Removable media policy	جدول المطابقة	A.5.14A.8.10A.8.11A.8.12
12.4	Asset inventory	جدول المطابقة	A.5.9A.5.11A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	جدول المطابقة	A.5.11A.5.18A.8.24
13.1	Supporting utilities	جدول المطابقة	A.7.1A.7.2A.7.3A.7.4
13.2	Protection against physical and environmental threats	جدول المطابقة	A.7.1A.7.2A.7.3A.7.4
13.3	Perimeter and physical access control	جدول المطابقة	A.7.1A.7.2A.7.3A.7.4

اقرأ الجدول بوصفه «أين أبحث في نظام إدارة أمن المعلومات لديك»، لا بوصفه «منجز بالفعل». الربط يعني أن ضابط ISO يتناول الموضوع نفسه. أما ما إذا كان تطبيقك يفي بنقطة NIS2 فيعتمد على كيفية تطبيقك للضابط وعلى تفاصيل نص NIS2، وهو غالباً أكثر تحديداً من الملحق A.

ما لا تمنحك إياه ISO 27001

تغطي اللائحة التنفيذية تدابير إدارة المخاطر الواردة في المادة 21. أما NIS2 نفسه فيطلب أكثر من ذلك، ولا شيء من ذلك وارد في ISO 27001:

• مواعيد الإبلاغ عن الحوادث (المادة 23): إنذار مبكر إلى CSIRT أو السلطة المختصة خلال 24 ساعة من إدراك وقوع حادث جسيم، وإشعار خلال 72 ساعة، وتقرير نهائي خلال شهر. تتطلب ISO 27001 إدارة الحوادث، لا الإبلاغ التنظيمي وفق جدول زمني محدد.
• مساءلة الإدارة (المادة 20): يجب على هيئة الإدارة الموافقة على التدابير والإشراف عليها والمشاركة في التدريب، ويمكن تحميلها المسؤولية. يتطلب البند 5 في ISO التزام القيادة، وهو أضعف من ذلك.
• التسجيل لدى السلطة الوطنية الخاصة بك، والخضوع لإشرافها.
• النطاق: قد تغطي شهادة ISO جزءاً من المؤسسة. أما NIS2 فيسري على الكيان بأكمله.

بعض نقاط الملحق تذهب أيضاً أبعد من ضابط ISO المقابل. أمن سلسلة الإمداد، ومعالجة الثغرات والإفصاح عنها، والتشفير أمثلة شائعة: ضابط ISO موجود، لكن NIS2 يفصّل أكثر.

الاتجاه الآخر: ما يتركه NIS2 خارج ISO

من أصل 123 ضوابط الملحق A وبنود نظام إدارة أمن المعلومات في ISO 27001، يُطابق 104 (85%) شيئًا في NIS2، وترتبط 13 بشكل فضفاض فقط، ولا يوجد ربط لـ 6 في بياناتنا. افتح تقرير الفجوات →

متطلبات ISO التي لا تقابلها أي نقطة في NIS2 هي آليات نظام الإدارة:

ISO 27001	المتطلب	تطابق	NIS2
Clause 4.3	Determining the scope of the ISMS	لا يوجد ربط في بياناتنا	—
Clause 5.1	Leadership and commitment	لا يوجد ربط في بياناتنا	—
Clause 7.5.1	General	لا يوجد ربط في بياناتنا	—
Clause 7.5.2	Creating and updating	لا يوجد ربط في بياناتنا	—
Clause 7.5.3	Control of documented information	لا يوجد ربط في بياناتنا	—
Clause 10.2	Nonconformity and corrective action	لا يوجد ربط في بياناتنا	—

لا يطلب منك NIS2 تشغيل نظام إدارة قابل للاعتماد بالشهادة، لذلك ليس لتحديد نطاق ISMS، ولضبط الوثائق، ولإجراءات التصحيح الرسمية نظير مباشر فيه. وهذا يسري في الاتجاهين. فالمؤسسة التي تبني امتثالها لـ NIS2 من الصفر لا تحتاجها، لكن نظام ISMS يمنحك أقوى دليل على فعالية تدابيرك، وهو ما تتطلبه المادة 21(2)(f) فعلاً.

ما الذي يجب فعله إذا كنت تحمل ISO 27001

1. تأكد من دخولك في النطاق بموجب القانون الوطني لكل دولة تعمل فيها، وسجّل حيثما يلزم.
2. تحقق من أن نطاق شهادتك يغطي الكيان بأكمله، لا خدمة أو موقعاً واحداً فقط.
3. أجرِ المقارنة من بيان قابلية التطبيق (Statement of Applicability) إلى نقاط الملحق أعلاه؛ يصدّر تقرير فجوات ISO 27001 → NIS2 الخاص بنا هذه المقارنة كجدول متابعة.
4. أضف ما لا تغطيه ISO إلى ISMS: إجراء الإبلاغ مع مهلتيه 24 و72 ساعة، والتدريب الإداري، والتسجيل. فإدراجها داخل ISMS يعني أن تدقيقك الداخلي ومراجعات المتابعة ستتحقق منها أيضاً.
5. عمّق الضوابط حيث يكون NIS2 أكثر تحديداً، مبتدئاً بأمن سلسلة الإمداد ومعالجة الثغرات.

للصورة الأوسع، راجع دليلنا عن NIS2 والمقارنة الكاملة بين ISO 27001 وNIS2.

الأسئلة

هل تجعلك شهادة ISO 27001 ممتثلاً لـ NIS2؟

لا. فهي تغطي معظم التدابير التقنية والتنظيمية، لكن NIS2 يضيف مواعيد الإبلاغ عن الحوادث، والتدريب الإداري والمساءلة، والتسجيل لدى السلطة الوطنية، وبعض المتطلبات الأكثر تحديداً من الملحق A. فالسلطات الوطنية، لا هيئات الشهادات، هي من يقرر الامتثال.

ما هي اللائحة التنفيذية لـ NIS2؟

اللائحة التنفيذية للمفوضية (EU) 2024/2690 تحدد بالتفصيل تدابير المادة 21 من NIS2 لمزودي خدمات DNS، وسجلات TLD، ومزودي الحوسبة السحابية ومراكز البيانات، ومزودي الخدمات الأمنية المُدارة، والأسواق الإلكترونية، ومحركات البحث، والشبكات الاجتماعية، ومزودي خدمات الثقة.