NIS2 مقابل ISO 27001: هل نظام ISMS لديك كافٍ؟
ISO/IEC 27001:2022 · NIS2 Implementing Regulation (EU) 2024/2690 · بيانات 2026-10-27
حسب Paul Gillet · آخر تحديث 2026-10-17
يُلزم التوجيه NIS2 (التوجيه (EU) 2022/2555) الكيانات الأساسية والمهمة في جميع أنحاء الاتحاد الأوروبي باتخاذ تدابير لإدارة مخاطر الأمن السيبراني والإبلاغ عن الحوادث الجسيمة. وتفصّل اللائحة التنفيذية للمفوضية (EU) 2024/2690 هذه التدابير بالتفصيل لمزودي البنية التحتية الرقمية وخدمات تقنية المعلومات (مثل DNS والحوسبة السحابية ومراكز البيانات ومزودي الخدمات المُدارة ومزودي خدمات الأمن المُدارة والمنصات الإلكترونية وغيرها). وتربط الإرشادات التقنية للتنفيذ الصادرة عن ENISA كل متطلب من متطلباتها بالمعيار ISO/IEC 27001:2022.
يفسّر هذا الربط سبب ظهور كل نقطة من نقاط NIS2 أدناه على أنها مغطاة عندما تكون لديك شهادة ISO 27001: إذ تربط ENISA كل نقطة ببنود ISO محددة أو بضوابط الملحق A. ويُعد نظام ISMS وفق ISO 27001 أقصر طريق إلى الجاهزية التقنية لـ NIS2، وتعدّه دول أعضاء كثيرة دليلًا قويًا.
لكن ENISA تنص صراحةً على أن تطبيق المعايير المرتبطة لا "يفترض الامتثال". كما يفرض NIS2 التزامات لا تفرضها ISO، منها مساءلة الإدارة العليا وتدريبها (المادة 20)، والإبلاغ عن الحوادث إلى فريق CSIRT لديك أو إلى الجهة المختصة ضمن مواعيد محددة (المادة 23: إنذار مبكر خلال 24 ساعة، وإشعار خلال 72 ساعة، وتقرير نهائي خلال شهر)، والتسجيل لدى الجهة الوطنية المختصة، وتفاصيل التنفيذ الوطني التي تختلف من دولة إلى أخرى.
عند الانتقال من NIS2 إلى ISO، يبقى العمل على نظام الإدارة القابل للاعتماد: النطاق، والقيادة، والمعلومات الموثقة، والتدقيق الداخلي، ومراجعة الإدارة.
نظرة سريعة
| ISO 27001 | NIS2 | |
|---|---|---|
| ما هو | معيار طوعي قابل للاعتماد | تشريع للاتحاد الأوروبي يُطبَّق عبر التشريعات الوطنية |
| لمن ينطبق | أي جهة تختاره | الكيانات الأساسية والمهمة في 18 قطاعًا |
| الإبلاغ عن الحوادث | غير مطلوب بموجب المعيار | إنذار مبكر خلال 24 ساعة، وإشعار خلال 72 ساعة، وتقرير نهائي خلال شهر واحد |
| مساءلة الإدارة | التزام القيادة (البند 5) | يجب أن تعتمد الإدارة التدابير وتشرف عليها وتتلقى التدريب، ويمكن تحميلها المسؤولية |
| التقييم | تدقيق من جهة الاعتماد | إشراف الجهة الوطنية المختصة وعمليات التدقيق والعقوبات |
| الربط الرسمي | — | تربط ENISA كل نقطة من نقاط اللائحة التنفيذية بمعيار ISO 27001 |
ما لا يمنحك إياه ISO 27001
- مواعيد الإبلاغ: إجراء مختبَر لتحديد ما إذا كان الحادث جسيمًا، والإشعار خلال 24 و72 ساعة، بما في ذلك خارج ساعات العمل.
- تدريب الإدارة ومسؤوليتها: تشترط المادة 20 تدريب هيئة الإدارة واعتمادها للتدابير.
- التسجيل لدى الجهة الوطنية المختصة.
- متطلبات تقنية محددة: بعض نقاط اللائحة التنفيذية (مثل ما يتعلق بالتشفير ومعالجة الثغرات وأمن سلسلة الإمداد) أكثر تحديدًا من ضابط الملحق A المقابل.
- النطاق: قد تغطي شهادة ISO جزءًا فقط من المنظمة، بينما ينطبق NIS2 على الكيان نفسه.
استخدام ISO 27001 كعمود فقري
إذا كنت معتمدًا، فأجرِ تقييم فجوات انطلاقًا من بيان قابلية التطبيق (Statement of Applicability) مقابل ملحق اللائحة التنفيذية (أو المادة 21 وفق قانونك الوطني)، ووسّع نطاق ISMS ليشمل الكيان بأكمله عند الحاجة، وأضف إجراء الإبلاغ وتدريب الإدارة إلى ISMS ليُدقَّقا مع بقية العناصر. فالجهات الرقابية، لا جهات الاعتماد، هي التي تقرر الامتثال، لكن نظام ISMS فعّال دليل قوي على فعالية التدابير.
من يحتاج إلى ماذا
NIS2 إلزامي للكيانات الأساسية والمهمة في القطاعات المدرجة فيه، وعادةً للمنظمات متوسطة الحجم والأكبر العاملة في الاتحاد الأوروبي، إضافةً إلى بعض المزودين الأصغر مثل مزودي DNS ومزودي خدمات الثقة. أما ISO 27001 فهو طوعي لكنه كثيرًا ما يُطلب من العملاء. وغالبًا ما تنتهي المنظمات الخاضعة لـ NIS2 التي تبيع أيضًا للمؤسسات أو تتقدم لعطاءات حكومية بامتلاك الاثنين: NIS2 لأن القانون يتطلبه، وISO 27001 لأن العملاء يطلبون الشهادة.
التكلفة والجهد
بالنسبة إلى منظمة تحمل شهادة ISO 27001 بالفعل، تتركز معظم تكلفة NIS2 في الحوكمة والعمليات أكثر من التقنية: تدريب الإدارة واعتمادها، وإجراء مختبَر للإبلاغ عن الحوادث الجسيمة، ومتطلبات أمن الموردين المدرجة في العقود، والتسجيل، وإثبات فعالية التدابير. أما الفجوات التقنية فموجودة لكنها عادةً أضيق، وتشمل الإفصاح عن الثغرات، وقواعد التشفير، وتدابير سلسلة الإمداد المحددة. أما المنظمة التي تبدأ من الصفر فإن بناء نظام ISMS على نهج ISO يكون غالبًا أكفأ طريقة لتلبية تدابير المادة 21 في NIS2، سواء اعتمدته لاحقًا أم لا.
الجدول الزمني
يمكن للمنظمة المعتمدة وفق ISO عادةً سد فجوات NIS2 الخاصة خلال ثلاثة إلى ستة أشهر: التسجيل وتدريب الإدارة أولًا، ثم إجراء الإبلاغ خلال الربع الأول، ثم أمن الموردين والتدابير التقنية الأكثر تحديدًا. وتعرض خطة الانتقال من ISO 27001 إلى NIS2 الترتيب بالتفصيل. أما إذا بدأت دون ISO، فخطط لستة إلى اثني عشر شهرًا، وهي المدة التي يستغرقها عادةً إنشاء أول نظام ISMS، مع إعطاء الإبلاغ والحوكمة الأولوية لأن الجهات الرقابية تتحقق منهما أولًا.
مثال تطبيقي: مزود خدمات مُدارة
مزود خدمات مُدارة في الاتحاد الأوروبي يضم 200 موظف، ويحمل شهادة ISO 27001 لخدمات الاستضافة والدعم. وبصفته مزود خدمات مُدارة، يخضع لـ NIS2، وتنطبق عليه تدابير اللائحة التنفيذية التفصيلية مباشرةً.
يُظهر ربط ENISA أن كل نقطة من نقاط اللائحة التنفيذية مرتبطة بضابط ISO يطبّقه بالفعل. لذلك يركّز عمل الفجوات لديه على: توسيع نطاق ISMS من خطي خدمة إلى الكيان بأكمله؛ وتدريب مجلس الإدارة وتسجيل اعتماده للتدابير؛ وبناء إجراء إبلاغ عن الحوادث الجسيمة خلال 24 ساعة مع تغطية خارج ساعات العمل؛ وإضافة متطلبات الأمن وبنود إشعار الحوادث إلى عقود موردّيه؛ ونشر سياسة منسّقة للإفصاح عن الثغرات. وخلال ستة أشهر يستطيع أن يُظهر لجهته الوطنية المختصة مجموعةً عاملة ومدقَّقة من التدابير، مع توفير نظام ISMS الذي يقدم دليل الفعالية الذي تطلبه المادة 21(2)(f).
أخطاء شائعة
- افتراض أن الشهادة تحسم الأمر. الجهات الرقابية هي التي تقيّم الامتثال لـ NIS2، أما جهات الاعتماد فلا.
- إبقاء النطاق ضيقًا. نطاق ISO الذي يغطي خط خدمة واحدًا لا يغطي التزامًا قانونيًا على مستوى الكيان بأكمله.
- كتابة إجراء إبلاغ لم يختبره أحد، خاصةً خارج ساعات العمل، حين يكون الالتزام بمهلة الـ24 ساعة أصعب ما يكون.
- تجاهل القانون الوطني. يختلف التسجيل والإشراف وبعض التفاصيل بين الدول الأعضاء.
- تدريب الإدارة مرة واحدة ثم نسيانه. تتوقع المادة 20 أن يُحافَظ على التدريب لا أن يكون جلسة واحدة.
أهم النقاط
- ISO 27001 → NIS2: التدابير التقنية مغطاة إلى حد كبير؛ أضف إجراءات الإبلاغ وفق المادة 23 وتدريب الإدارة والتسجيل الوطني.
- تحقّق من تنفيذ التوجيه في بلدك، فالمتطلبات وممارسات الإشراف تختلف من دولة عضو إلى أخرى.
- تأكد من إثبات أمن سلسلة الإمداد (القسم 5 من CIR) بأدلة فعلية، لا بالسياسات وحدها.
من أصل 49 متطلبًا في NIS2 Implementing Regulation (EU) 2024/2690، يُطابق 49 شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 0 في بياناتنا.
يقصد بـ NIS2 هنا التدابير التقنية الواردة في اللائحة التنفيذية (EU) 2024/2690، التي تنطبق مباشرة على مزودي البنية التحتية الرقمية وخدمات تقنية المعلومات والاتصالات؛ أما سائر الكيانات الخاضعة لـ NIS2 فتتبع التشريع الوطني لدولتها الذي يُنفّذ المادة 21. مواعيد الإبلاغ عن الحوادث (المادة 23) خارج النطاق. مطابقة ENISA غير ملزمة.
مُطابَق (49)
| NIS2 | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| 1. Policy on the security of network and information systems · 2 | ||||
| 1.1 | Policy on the security of network and information systems | جدول المطابقة | A.5.1A.5.37Clause 5.2+3 | الموضوع نفسه: سياسة الحوكمة |
| 1.2 | Roles, responsibilities and authorities | جدول المطابقة | A.5.2A.5.4A.5.3+1 | الموضوع نفسه: الأدوار والمسؤوليات |
| 2. Risk management policy · 3 | ||||
| 2.1 | Risk management framework | جدول المطابقة | Clause 6.1.1Clause 6.1.2Clause 6.1.3+8 | الموضوع نفسه: إدارة المخاطر, تقييم المخاطر |
| 2.2 | Compliance monitoring | جدول المطابقة | A.5.31Clause 9.1A.5.36+2 | الموضوع نفسه: الامتثال |
| 2.3 | Independent review of information and network security | جدول المطابقة | A.5.31A.5.36Clause 9.1+4 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| 3. Incident handling · 6 | ||||
| 3.1 | Incident handling policy | جدول المطابقة | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث |
| 3.2 | Monitoring and logging | جدول المطابقة | A.5.25A.8.15A.8.16+2 | الموضوع نفسه: SIEM / SOC, التسجيل والتدقيق, المراقبة المستمرة, كشف التسلل |
| 3.3 | Event reporting | جدول المطابقة | A.5.5A.6.8 | الموضوع نفسه: الإبلاغ |
| 3.4 | Event assessment and classification | جدول المطابقة | A.5.25A.8.16 | الموضوع نفسه: SIEM / SOC, اكتشاف الشذوذ |
| 3.5 | Incident response | جدول المطابقة | A.5.24A.5.25A.5.26+1 | الموضوع نفسه: الاستجابة للحوادث, التخفيف |
| 3.6 | Post-incident reviews | جدول المطابقة | A.5.27Clause 10.1 | الموضوع نفسه: الدروس المستفادة |
| 4. Business continuity and crisis management · 3 | ||||
| 4.1 | Business continuity and disaster recovery plan | جدول المطابقة | A.5.29A.5.30A.8.14 | الموضوع نفسه: تخطيط الاستعادة, استمرارية الأعمال, التعافي من الكوارث |
| 4.2 | Backup management | جدول المطابقة | A.5.30A.8.13A.8.14 | الموضوع نفسه: التعافي من الكوارث, النسخ الاحتياطي والاستعادة |
| 4.3 | Crisis management | جدول المطابقة | A.5.26A.5.29A.5.30+3 | الموضوع نفسه: التواصل والاستعادة, استمرارية الأعمال |
| 5. Supply chain security · 2 | ||||
| 5.1 | Supply chain security policy | جدول المطابقة | A.5.19A.5.20A.5.21+2 | الموضوع نفسه: مخاطر سلسلة التوريد, إدارة مخاطر الموردين |
| 5.2 | Directory of suppliers and service providers | جدول المطابقة | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين |
| 6. Security in acquisition, development and maintenance · 10 | ||||
| 6.1 | Security in acquisition of ICT services, ICT systems or ICT products | جدول المطابقة | A.5.19A.5.20A.5.21+2 | الموضوع نفسه: مخاطر سلسلة التوريد, إدارة مخاطر الموردين |
| 6.2 | Secure development life cycle | جدول المطابقة | A.8.25A.8.26A.8.28+2 | الموضوع نفسه: التطوير الآمن |
| 6.3 | Configuration management | جدول المطابقة | A.8.9 | الموضوع نفسه: الإعدادات الآمنة |
| 6.4 | Change management, repairs and maintenance | جدول المطابقة | A.7.13A.8.32Clause 6.3+1 | ENISA NIS2 → ISO 27001 mapping |
| 6.5 | Security testing | جدول المطابقة | A.8.8A.8.29A.8.33+1 | الموضوع نفسه: إدارة الثغرات |
| 6.6 | Security patch management | جدول المطابقة | A.8.8A.8.31A.8.32 | الموضوع نفسه: إدارة الرقع |
| 6.7 | Network security | جدول المطابقة | A.8.20A.8.21A.8.22+1 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة |
| 6.8 | Network segmentation | جدول المطابقة | A.5.15A.8.5A.8.20+2 | الموضوع نفسه: الثقة المعدومة, جدار الحماية / تجزئة الشبكة |
| 6.9 | Protection against malicious and unauthorised software | جدول المطابقة | A.5.14A.8.19A.8.1+2 | الموضوع نفسه: أمن البريد الإلكتروني, حماية نقاط النهاية |
| 6.10 | Vulnerability handling and disclosure | جدول المطابقة | A.8.8 | الموضوع نفسه: إدارة الثغرات |
| 7. Assessing the effectiveness of cybersecurity risk-management measures · 1 | ||||
| 7.1 | Policies and procedures to assess the effectiveness of cybersecurity risk-management measures | جدول المطابقة | Clause 6.1.1Clause 6.1.3Clause 6.2+2 | الموضوع نفسه: إدارة المخاطر |
| 8. Basic cyber hygiene practices and security training · 2 | ||||
| 8.1 | Awareness raising and basic cyber hygiene practices | جدول المطابقة | A.6.3Clause 7.3A.8.7 | الموضوع نفسه: التوعية والتدريب |
| 8.2 | Security training | جدول المطابقة | A.6.3Clause 7.3Clause 7.2 | الموضوع نفسه: التوعية والتدريب |
| 9. Cryptography · 1 | ||||
| 9.1 | Cryptography | جدول المطابقة | A.8.24A.5.31 | الموضوع نفسه: التشفير |
| 10. Human resources security · 4 | ||||
| 10.1 | Human resources security | جدول المطابقة | A.6.2A.6.3Clause 7.1+1 | ENISA NIS2 → ISO 27001 mapping |
| 10.2 | Verification of Background | جدول المطابقة | A.6.1A.6.4A.8.16 | الموضوع نفسه: التهديدات الداخلية |
| 10.3 | Termination or change of employment procedures | جدول المطابقة | A.6.5 | ENISA NIS2 → ISO 27001 mapping |
| 10.4 | Disciplinary process | جدول المطابقة | A.6.1A.6.4A.8.16+1 | الموضوع نفسه: التهديدات الداخلية |
| 11. Access control · 7 | ||||
| 11.1 | Access control policy | جدول المطابقة | A.5.15A.5.16A.5.18+5 | الموضوع نفسه: التحكم في الوصول, الثقة المعدومة |
| 11.2 | Management of access rights | جدول المطابقة | A.5.15A.5.16A.5.18+2 | الموضوع نفسه: التحكم في الوصول |
| 11.3 | Privileged accounts and system administration accounts | جدول المطابقة | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز |
| 11.4 | Administration systems | جدول المطابقة | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز |
| 11.5 | Identification | جدول المطابقة | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول |
| 11.6 | Authentication | جدول المطابقة | A.5.15A.8.5A.8.22+1 | الموضوع نفسه: الثقة المعدومة, المصادقة متعددة العناصر |
| 11.7 | Multi-factor authentication | جدول المطابقة | A.8.5 | الموضوع نفسه: المصادقة متعددة العناصر |
| 12. Asset management · 5 | ||||
| 12.1 | Asset classification | جدول المطابقة | A.5.12A.5.13A.5.9 | الموضوع نفسه: تصنيف البيانات |
| 12.2 | Handling of assets | جدول المطابقة | A.5.14A.8.10A.8.11+3 | الموضوع نفسه: حماية البيانات |
| 12.3 | Removable media policy | جدول المطابقة | A.5.14A.8.10A.8.11+3 | الموضوع نفسه: حماية البيانات |
| 12.4 | Asset inventory | جدول المطابقة | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول |
| 12.5 | Deposit, return or deletion of assets upon termination of employment | جدول المطابقة | A.5.11A.5.18A.8.24 | ENISA NIS2 → ISO 27001 mapping |
| 13. Environmental and physical security · 3 | ||||
| 13.1 | Supporting utilities | جدول المطابقة | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي |
| 13.2 | Protection against physical and environmental threats | جدول المطابقة | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي |
| 13.3 | Perimeter and physical access control | جدول المطابقة | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي |
من أصل 123 متطلبًا في ISO/IEC 27001:2022، يُطابق 104 شيئًا في NIS2، وترتبط 13 بشكل فضفاض فقط، ولا يوجد ربط لـ 6 في بياناتنا.
عمل جديد على الأرجح: متطلبات ISO 27001 لا يوجد لها ربط بـ NIS2 (6)
| ISO 27001 | المتطلب | تطابق | NIS2 | الأدلة |
|---|---|---|---|---|
| ISMS clauses 4–10 · 6 | ||||
| Clause 4.3 | Determining the scope of the ISMS | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIS2 في بياناتنا. |
| Clause 5.1 | Leadership and commitment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIS2 في بياناتنا. |
| Clause 7.5.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIS2 في بياناتنا. |
| Clause 7.5.2 | Creating and updating | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIS2 في بياناتنا. |
| Clause 7.5.3 | Control of documented information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIS2 في بياناتنا. |
| Clause 10.2 | Nonconformity and corrective action | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIS2 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (13)
| ISO 27001 | المتطلب | تطابق | NIS2 | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 3 | ||||
| A.5.8 | Information security in project management | 5.15.26.2+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-05, ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.33 | Protection of records | 9.112.3 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.5.34 | Privacy and protection of PII | 1.16.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| A.6 People controls · 2 | ||||
| A.6.6 | Confidentiality or non-disclosure agreements | 2.110.110.2+1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-03, GV.RR-04: ذو صلة، وليس ربطًا | |
| A.6.7 | Remote working | 1.110.110.2+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.RR-04: ذو صلة، وليس ربطًا | |
| A.7 Physical controls · 1 | ||||
| A.7.9 | Security of assets off-premises | 9.112.3 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.8 Technological controls · 4 | ||||
| A.8.4 | Access to source code | 9.111.111.2+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.AA-05: ذو صلة، وليس ربطًا | |
| A.8.6 | Capacity management | 6.66.9 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09: ذو صلة، وليس ربطًا | |
| A.8.23 | Web filtering | 6.76.8 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-01: ذو صلة، وليس ربطًا | |
| A.8.27 | Secure system architecture and engineering principles | 4.3 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| ISMS clauses 4–10 · 3 | ||||
| Clause 4.1 | Understanding the organization and its context | 1.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02: ذو صلة، وليس ربطًا | |
| Clause 4.2 | Understanding the needs and expectations of interested parties | 5.11.19.1+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-03, GV.SC-05, GV.SC-06, GV.OC-02…: ذو صلة، وليس ربطًا | |
| Clause 4.4 | Information security management system | 1.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02: ذو صلة، وليس ربطًا | |
مُطابَق (104)
| ISO 27001 | المتطلب | تطابق | NIS2 | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 34 | ||||
| A.5.1 | Policies for information security | جدول المطابقة | 1.1 | الموضوع نفسه: سياسة الحوكمة |
| A.5.2 | Information security roles and responsibilities | جدول المطابقة | 1.2 | الموضوع نفسه: الأدوار والمسؤوليات |
| A.5.3 | Segregation of duties | جدول المطابقة | 1.211.2 | ENISA NIS2 → ISO 27001 mapping |
| A.5.4 | Management responsibilities | جدول المطابقة | 1.21.1 | الموضوع نفسه: الأدوار والمسؤوليات |
| A.5.5 | Contact with authorities | جدول المطابقة | 3.3 | الموضوع نفسه: الإبلاغ |
| A.5.6 | Contact with special interest groups | تحريري | 4.3 | الموضوع نفسه: الاتصالات (اختيار المحرر) |
| A.5.7 | Threat intelligence | جدول المطابقة | 2.1 | ENISA NIS2 → ISO 27001 mapping |
| A.5.9 | Inventory of information and other associated assets | جدول المطابقة | 12.412.112.2 | الموضوع نفسه: إدارة الأصول |
| A.5.10 | Acceptable use of information and other associated assets | جدول المطابقة | 12.2 | ENISA NIS2 → ISO 27001 mapping |
| A.5.11 | Return of assets | جدول المطابقة | 12.412.5 | الموضوع نفسه: إدارة الأصول |
| A.5.12 | Classification of information | جدول المطابقة | 12.1 | الموضوع نفسه: تصنيف البيانات |
| A.5.13 | Labelling of information | جدول المطابقة | 12.1 | الموضوع نفسه: تصنيف البيانات |
| A.5.14 | Information transfer | جدول المطابقة | 6.912.212.3 | الموضوع نفسه: أمن البريد الإلكتروني, حماية البيانات |
| A.5.15 | Access control | جدول المطابقة | 6.811.111.2+2 | الموضوع نفسه: الثقة المعدومة, التحكم في الوصول |
| A.5.16 | Identity management | جدول المطابقة | 11.111.211.5 | الموضوع نفسه: التحكم في الوصول |
| A.5.17 | Authentication information | جدول المطابقة | 11.6 | ENISA NIS2 → ISO 27001 mapping |
| A.5.18 | Access rights | جدول المطابقة | 11.111.211.5+1 | الموضوع نفسه: التحكم في الوصول |
| A.5.19 | Information security in supplier relationships | جدول المطابقة | 5.15.26.1+1 | الموضوع نفسه: مخاطر سلسلة التوريد, إدارة مخاطر الموردين |
| A.5.20 | Addressing information security within supplier agreements | جدول المطابقة | 5.15.26.1+1 | الموضوع نفسه: إدارة مخاطر الموردين |
| A.5.21 | Managing information security in the ICT supply chain | جدول المطابقة | 5.16.12.1 | الموضوع نفسه: مخاطر سلسلة التوريد |
| A.5.22 | Monitoring, review and change management of supplier services | جدول المطابقة | 5.15.26.1 | الموضوع نفسه: إدارة مخاطر الموردين |
| A.5.23 | Information security for use of cloud services | جدول المطابقة | 6.1 | الموضوع نفسه: أمن السحابة |
| A.5.24 | Information security incident management planning and preparation | جدول المطابقة | 3.13.5 | الموضوع نفسه: الاستجابة للحوادث |
| A.5.25 | Assessment and decision on information security events | جدول المطابقة | 3.13.23.4+1 | الموضوع نفسه: الاستجابة للحوادث, SIEM / SOC |
| A.5.26 | Response to information security incidents | جدول المطابقة | 3.13.54.3 | الموضوع نفسه: الاستجابة للحوادث, التخفيف, التواصل والاستعادة |
| A.5.27 | Learning from information security incidents | جدول المطابقة | 3.6 | الموضوع نفسه: الدروس المستفادة |
| A.5.28 | Collection of evidence | جدول المطابقة | 3.53.210.4 | الموضوع نفسه: الطب الشرعي الرقمي |
| A.5.29 | Information security during disruption | جدول المطابقة | 4.14.3 | الموضوع نفسه: تخطيط الاستعادة, استمرارية الأعمال |
| A.5.30 | ICT readiness for business continuity | جدول المطابقة | 4.14.24.3 | الموضوع نفسه: تخطيط الاستعادة, استمرارية الأعمال, التعافي من الكوارث |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | جدول المطابقة | 2.22.39.1 | الموضوع نفسه: الامتثال |
| A.5.32 | Intellectual property rights | جدول المطابقة | 6.9 | ENISA NIS2 → ISO 27001 mapping |
| A.5.35 | Independent review of information security | جدول المطابقة | 2.22.3 | ENISA NIS2 → ISO 27001 mapping |
| A.5.36 | Compliance with policies, rules and standards for information security | جدول المطابقة | 2.22.31.1 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| A.5.37 | Documented operating procedures | جدول المطابقة | 1.1 | الموضوع نفسه: سياسة الحوكمة |
| A.6 People controls · 6 | ||||
| A.6.1 | Screening | جدول المطابقة | 10.210.4 | الموضوع نفسه: التهديدات الداخلية |
| A.6.2 | Terms and conditions of employment | جدول المطابقة | 10.1 | ENISA NIS2 → ISO 27001 mapping |
| A.6.3 | Information security awareness, education and training | جدول المطابقة | 8.18.210.1 | الموضوع نفسه: التوعية والتدريب |
| A.6.4 | Disciplinary process | جدول المطابقة | 10.210.4 | الموضوع نفسه: التهديدات الداخلية |
| A.6.5 | Responsibilities after termination or change of employment | جدول المطابقة | 10.3 | ENISA NIS2 → ISO 27001 mapping |
| A.6.8 | Information security event reporting | جدول المطابقة | 3.3 | الموضوع نفسه: الإبلاغ |
| A.7 Physical controls · 13 | ||||
| A.7.1 | Physical security perimeters | جدول المطابقة | 13.113.213.3 | الموضوع نفسه: الأمن المادي |
| A.7.2 | Physical entry | جدول المطابقة | 13.113.213.3+1 | الموضوع نفسه: الأمن المادي |
| A.7.3 | Securing offices, rooms and facilities | جدول المطابقة | 13.113.213.3 | الموضوع نفسه: الأمن المادي |
| A.7.4 | Physical security monitoring | جدول المطابقة | 13.113.213.3 | الموضوع نفسه: الأمن المادي |
| A.7.5 | Protecting against physical and environmental threats | جدول المطابقة | 13.113.213.3 | الموضوع نفسه: الأمن المادي |
| A.7.6 | Working in secure areas | جدول المطابقة | 13.113.213.3 | الموضوع نفسه: الأمن المادي |
| A.7.7 | Clear desk and clear screen | جدول المطابقة | 12.3 | ENISA NIS2 → ISO 27001 mapping |
| A.7.8 | Equipment siting and protection | جدول المطابقة | 13.113.213.3 | الموضوع نفسه: الأمن المادي |
| A.7.10 | Storage media | جدول المطابقة | 12.212.3 | ENISA NIS2 → ISO 27001 mapping |
| A.7.11 | Supporting utilities | جدول المطابقة | 13.113.213.3 | الموضوع نفسه: الأمن المادي |
| A.7.12 | Cabling security | جدول المطابقة | 13.113.213.3 | الموضوع نفسه: الأمن المادي |
| A.7.13 | Equipment maintenance | جدول المطابقة | 6.4 | ENISA NIS2 → ISO 27001 mapping |
| A.7.14 | Secure disposal or re-use of equipment | جدول المطابقة | 12.4 | الموضوع نفسه: إدارة الأصول |
| A.8 Technological controls · 30 | ||||
| A.8.1 | User endpoint devices | تحريري | 6.9 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.2 | Privileged access rights | جدول المطابقة | 11.311.4 | الموضوع نفسه: الوصول المميز |
| A.8.3 | Information access restriction | جدول المطابقة | 11.111.211.5 | الموضوع نفسه: التحكم في الوصول |
| A.8.5 | Secure authentication | جدول المطابقة | 6.811.111.6+1 | الموضوع نفسه: الثقة المعدومة, المصادقة متعددة العناصر |
| A.8.7 | Protection against malware | جدول المطابقة | 6.98.1 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.8 | Management of technical vulnerabilities | جدول المطابقة | 6.56.66.10 | الموضوع نفسه: إدارة الثغرات, إدارة الرقع |
| A.8.9 | Configuration management | جدول المطابقة | 6.3 | الموضوع نفسه: الإعدادات الآمنة |
| A.8.10 | Information deletion | جدول المطابقة | 12.212.3 | الموضوع نفسه: حماية البيانات |
| A.8.11 | Data masking | جدول المطابقة | 12.212.3 | الموضوع نفسه: حماية البيانات |
| A.8.12 | Data leakage prevention | جدول المطابقة | 12.3 | الموضوع نفسه: DLP |
| A.8.13 | Information backup | جدول المطابقة | 4.2 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| A.8.14 | Redundancy of information processing facilities | جدول المطابقة | 4.14.24.3 | الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث |
| A.8.15 | Logging | جدول المطابقة | 3.2 | الموضوع نفسه: التسجيل والتدقيق |
| A.8.16 | Monitoring activities | جدول المطابقة | 3.23.410.2+2 | الموضوع نفسه: المراقبة المستمرة, كشف التسلل, SIEM / SOC, اكتشاف الشذوذ, التهديدات الداخلية |
| A.8.17 | Clock synchronization | جدول المطابقة | 3.2 | الموضوع نفسه: التسجيل والتدقيق |
| A.8.18 | Use of privileged utility programs | جدول المطابقة | 11.311.4 | الموضوع نفسه: الوصول المميز |
| A.8.19 | Installation of software on operational systems | جدول المطابقة | 6.9 | الموضوع نفسه: حماية نقاط النهاية |
| A.8.20 | Networks security | جدول المطابقة | 6.76.8 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة |
| A.8.21 | Security of network services | جدول المطابقة | 6.76.811.1 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة |
| A.8.22 | Segregation of networks | جدول المطابقة | 6.76.811.1+1 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة, الثقة المعدومة |
| A.8.24 | Use of cryptography | جدول المطابقة | 9.112.5 | الموضوع نفسه: التشفير |
| A.8.25 | Secure development life cycle | جدول المطابقة | 6.2 | الموضوع نفسه: التطوير الآمن |
| A.8.26 | Application security requirements | جدول المطابقة | 6.2 | الموضوع نفسه: التطوير الآمن |
| A.8.28 | Secure coding | جدول المطابقة | 6.2 | الموضوع نفسه: التطوير الآمن |
| A.8.29 | Security testing in development and acceptance | جدول المطابقة | 6.26.5 | الموضوع نفسه: التطوير الآمن |
| A.8.30 | Outsourced development | جدول المطابقة | 5.1 | ENISA NIS2 → ISO 27001 mapping |
| A.8.31 | Separation of development, test and production environments | جدول المطابقة | 6.26.6 | ENISA NIS2 → ISO 27001 mapping |
| A.8.32 | Change management | جدول المطابقة | 6.46.6 | ENISA NIS2 → ISO 27001 mapping |
| A.8.33 | Test information | جدول المطابقة | 6.5 | ENISA NIS2 → ISO 27001 mapping |
| A.8.34 | Protection of information systems during audit testing | جدول المطابقة | 2.36.5 | ENISA NIS2 → ISO 27001 mapping |
| ISMS clauses 4–10 · 21 | ||||
| Clause 5.2 | Policy | جدول المطابقة | 1.1 | الموضوع نفسه: سياسة الحوكمة |
| Clause 5.3 | Organizational roles, responsibilities and authorities | جدول المطابقة | 1.2 | ENISA NIS2 → ISO 27001 mapping |
| Clause 6.1.1 | General | جدول المطابقة | 2.17.1 | الموضوع نفسه: إدارة المخاطر |
| Clause 6.1.2 | Information security risk assessment | جدول المطابقة | 2.1 | الموضوع نفسه: تقييم المخاطر |
| Clause 6.1.3 | Information security risk treatment | جدول المطابقة | 2.17.1 | الموضوع نفسه: إدارة المخاطر, تقييم المخاطر |
| Clause 6.2 | Information security objectives and planning to achieve them | جدول المطابقة | 2.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 6.3 | Planning of changes | جدول المطابقة | 6.4 | ENISA NIS2 → ISO 27001 mapping |
| Clause 7.1 | Resources | جدول المطابقة | 10.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 7.2 | Competence | جدول المطابقة | 8.210.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 7.3 | Awareness | جدول المطابقة | 8.18.2 | الموضوع نفسه: التوعية والتدريب |
| Clause 7.4 | Communication | جدول المطابقة | 4.3 | الموضوع نفسه: الاتصالات, التواصل والاستعادة |
| Clause 8.1 | Operational planning and control | جدول المطابقة | 6.4 | ENISA NIS2 → ISO 27001 mapping |
| Clause 8.2 | Information security risk assessment | جدول المطابقة | 2.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 8.3 | Information security risk treatment | جدول المطابقة | 2.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | جدول المطابقة | 2.22.37.1 | الموضوع نفسه: الامتثال |
| Clause 9.2.1 | General | جدول المطابقة | 2.22.3 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.2.2 | Internal audit programme | جدول المطابقة | 2.22.3 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.3.1 | General | جدول المطابقة | 1.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.3.2 | Management review inputs | جدول المطابقة | 1.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.3.3 | Management review results | جدول المطابقة | 1.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 10.1 | Continual improvement | جدول المطابقة | 3.62.3 | الموضوع نفسه: الدروس المستفادة (اختيار المحرر) |
حسب الموضوع
يغطي كلاهما (43):
ISO 27001 فقط (7):
الأسئلة
هل تستوفي شهادة ISO 27001 متطلبات NIS2؟
ليس بذاتها. فهي تغطي معظم التدابير التقنية والتنظيمية، لكنها لا تغطي مواعيد الإبلاغ، ولا تدريب الإدارة، ولا التسجيل، ولا كل متطلب تقني محدد.
هل سيشترط NIS2 الحصول على شهادة ISO 27001؟
يتيح NIS2 للدول الأعضاء اشتراط مخططات اعتماد لبعض الخدمات، لكنه لا يشترط ISO 27001 بشكل عام. راجع قانونك الوطني.
هل تقبل جهات الرقابة على NIS2 شهادات ISO 27001؟
قد تأخذ السلطات الاعتماد في الحسبان كدليل، وتشير بعض القوانين الوطنية إليه، لكنها تقيّم الامتثال وفق NIS2 نفسه. فالشهادة لا تغطي واجبات الإبلاغ والحوكمة والتسجيل.
هل NIS2 أكثر صرامةً من ISO 27001؟
في بعض الجوانب. فـ NIS2 يضيف التزامات قانونية لا توجد في ISO (مواعيد الإبلاغ، ومسؤولية الإدارة، والإشراف مع الغرامات)، كما أن اللائحة التنفيذية أكثر تحديدًا في بعض النقاط التقنية. أما ISO 27001 فيشترط نظام إدارة متكاملًا، وهذا ما لا يشترطه NIS2.
هل ينطبق NIS2 على الشركات خارج الاتحاد الأوروبي؟
نعم، قد ينطبق. فبعض مزودي الخدمات الرقمية الذين يقدمون خدماتهم في الاتحاد الأوروبي دون أن يكونوا مقيمين فيه، يجب أن يعيّنوا ممثلًا في دولة عضو وأن يلتزموا.
ما هي عقوبات NIS2؟
يجب أن تسمح الدول الأعضاء بغرامات لا تقل عن 10 ملايين يورو أو 2% من إجمالي الإيرادات السنوية العالمية للكيانات الأساسية، و7 ملايين يورو أو 1.4% للكيانات المهمة، أيهما أعلى.
هل ينبغي لشركة لا تملك ISO 27001 أن تحصل على الشهادة من أجل NIS2؟
الشهادة غير مطلوبة، لكن نظام ISMS وسيلة فعّالة لتطبيق تدابير NIS2 وإثباتها. وكثير من المنظمات تبني نظام ISMS من أجل NIS2، وتقرر الاعتماد بشكل منفصل.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.