ISO 27001 NIS2 में किन बातों को कवर करता है, बिंदु-दर-बिंदु
ENISA का अपना मैपिंग NIS2 कार्यान्वयन विनियमन के हर तकनीकी उपाय को ISO 27001 से जोड़ता है। तो ISO प्रमाणपत्र काफ़ी क्यों नहीं है? इसका जवाब इसमें है कि मैपिंग किन बातों को कवर नहीं करती।
यदि आपके पास ISO 27001 प्रमाणपत्र है और आप पर NIS2 लागू होता है, तो पहला सवाल यह है कि काम का कितना हिस्सा पहले से हो चुका है। अच्छी खबर यह है कि ENISA, यानी यूरोपीय संघ की साइबर सुरक्षा एजेंसी, ने इसका अधिकांश जवाब दे दिया है: उसका कार्यान्वयन मार्गदर्शन NIS2 कार्यान्वयन विनियमन के हर बिंदु को ISO 27001 की धाराओं या Annex A नियंत्रणों से मैप करता है।
यह मैपिंग आवश्यकता-दर-आवश्यकता कैसी दिखती है, और NIS2 के वे हिस्से जिन्हें यह छूती नहीं, वह यहाँ है।
मुख्य आँकड़ा
49 NIS2 आवश्यकता बिंदु में से 49 (100%) ISO 27001 में किसी चीज़ से मैप होते हैं, 0 केवल ढीले तौर पर संबंधित हैं और 0 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →
कार्यान्वयन विनियमन (EU) 2024/2690 के Annex के हर आवश्यकता बिंदु का ISO 27001 में कुछ न कुछ मेल है। ये लिंक ENISA की अपनी मैपिंग तालिका से लिए गए हैं, हमारे आकलन से नहीं, इसीलिए इन्हें क्रॉसवॉक लेबल किया गया है।
हर NIS2 बिंदु और उसका ISO समकक्ष
| NIS2 | आवश्यकता | मिलान | ISO 27001 |
|---|---|---|---|
| 1.1 | Policy on the security of network and information systems | क्रॉसवॉक | A.5.1A.5.37Clause 5.2A.5.4 |
| 1.2 | Roles, responsibilities and authorities | क्रॉसवॉक | A.5.2A.5.4A.5.3Clause 5.3 |
| 2.1 | Risk management framework | क्रॉसवॉक | Clause 6.1.1Clause 6.1.2Clause 6.1.3A.5.7 |
| 2.2 | Compliance monitoring | क्रॉसवॉक | A.5.31Clause 9.1A.5.36A.5.35 |
| 2.3 | Independent review of information and network security | क्रॉसवॉक | A.5.31A.5.36Clause 9.1A.5.35 |
| 3.1 | Incident handling policy | क्रॉसवॉक | A.5.24A.5.25A.5.26 |
| 3.2 | Monitoring and logging | क्रॉसवॉक | A.5.25A.8.15A.8.16A.8.17 |
| 3.3 | Event reporting | क्रॉसवॉक | A.5.5A.6.8 |
| 3.4 | Event assessment and classification | क्रॉसवॉक | A.5.25A.8.16 |
| 3.5 | Incident response | क्रॉसवॉक | A.5.24A.5.25A.5.26A.5.28 |
| 3.6 | Post-incident reviews | क्रॉसवॉक | A.5.27Clause 10.1 |
| 4.1 | Business continuity and disaster recovery plan | क्रॉसवॉक | A.5.29A.5.30A.8.14 |
| 4.2 | Backup management | क्रॉसवॉक | A.5.30A.8.13A.8.14 |
| 4.3 | Crisis management | क्रॉसवॉक | A.5.26A.5.29A.5.30A.8.14 |
| 5.1 | Supply chain security policy | क्रॉसवॉक | A.5.19A.5.20A.5.21A.5.22 |
| 5.2 | Directory of suppliers and service providers | क्रॉसवॉक | A.5.19A.5.20A.5.22 |
| 6.1 | Security in acquisition of ICT services, ICT systems or ICT products | क्रॉसवॉक | A.5.19A.5.20A.5.21A.5.22 |
| 6.2 | Secure development life cycle | क्रॉसवॉक | A.8.25A.8.26A.8.28A.8.29 |
| 6.3 | Configuration management | क्रॉसवॉक | A.8.9 |
| 6.4 | Change management, repairs and maintenance | क्रॉसवॉक | A.7.13A.8.32Clause 6.3Clause 8.1 |
| 6.5 | Security testing | क्रॉसवॉक | A.8.8A.8.29A.8.33A.8.34 |
| 6.6 | Security patch management | क्रॉसवॉक | A.8.8A.8.31A.8.32 |
| 6.7 | Network security | क्रॉसवॉक | A.8.20A.8.21A.8.22A.8.16 |
| 6.8 | Network segmentation | क्रॉसवॉक | A.5.15A.8.5A.8.20A.8.21 |
| 6.9 | Protection against malicious and unauthorised software | क्रॉसवॉक | A.5.14A.8.19A.8.1A.8.7 |
| 6.10 | Vulnerability handling and disclosure | क्रॉसवॉक | A.8.8 |
| 7.1 | Policies and procedures to assess the effectiveness of cybersecurity risk-management measures | क्रॉसवॉक | Clause 6.1.1Clause 6.1.3Clause 6.2Clause 9.1 |
| 8.1 | Awareness raising and basic cyber hygiene practices | क्रॉसवॉक | A.6.3Clause 7.3A.8.7 |
| 8.2 | Security training | क्रॉसवॉक | A.6.3Clause 7.3Clause 7.2 |
| 9.1 | Cryptography | क्रॉसवॉक | A.8.24A.5.31 |
| 10.1 | Human resources security | क्रॉसवॉक | A.6.2A.6.3Clause 7.1Clause 7.2 |
| 10.2 | Verification of Background | क्रॉसवॉक | A.6.1A.6.4A.8.16 |
| 10.3 | Termination or change of employment procedures | क्रॉसवॉक | A.6.5 |
| 10.4 | Disciplinary process | क्रॉसवॉक | A.6.1A.6.4A.8.16A.5.28 |
| 11.1 | Access control policy | क्रॉसवॉक | A.5.15A.5.16A.5.18A.8.3 |
| 11.2 | Management of access rights | क्रॉसवॉक | A.5.15A.5.16A.5.18A.8.3 |
| 11.3 | Privileged accounts and system administration accounts | क्रॉसवॉक | A.8.2A.8.18 |
| 11.4 | Administration systems | क्रॉसवॉक | A.8.2A.8.18 |
| 11.5 | Identification | क्रॉसवॉक | A.5.15A.5.16A.5.18A.8.3 |
| 11.6 | Authentication | क्रॉसवॉक | A.5.15A.8.5A.8.22A.5.17 |
| 11.7 | Multi-factor authentication | क्रॉसवॉक | A.8.5 |
| 12.1 | Asset classification | क्रॉसवॉक | A.5.12A.5.13A.5.9 |
| 12.2 | Handling of assets | क्रॉसवॉक | A.5.14A.8.10A.8.11A.5.9 |
| 12.3 | Removable media policy | क्रॉसवॉक | A.5.14A.8.10A.8.11A.8.12 |
| 12.4 | Asset inventory | क्रॉसवॉक | A.5.9A.5.11A.7.14 |
| 12.5 | Deposit, return or deletion of assets upon termination of employment | क्रॉसवॉक | A.5.11A.5.18A.8.24 |
| 13.1 | Supporting utilities | क्रॉसवॉक | A.7.1A.7.2A.7.3A.7.4 |
| 13.2 | Protection against physical and environmental threats | क्रॉसवॉक | A.7.1A.7.2A.7.3A.7.4 |
| 13.3 | Perimeter and physical access control | क्रॉसवॉक | A.7.1A.7.2A.7.3A.7.4 |
तालिका को "अपने ISMS में कहाँ देखना है" के रूप में पढ़ें, "पहले से पूरा" के रूप में नहीं। मैपिंग बस यह बताती है कि ISO नियंत्रण उसी विषय को संबोधित करता है। आपका कार्यान्वयन NIS2 बिंदु को पूरा करता है या नहीं, यह इस पर निर्भर है कि आपने नियंत्रण कैसे लागू किया है और NIS2 पाठ का विवरण कितना है, जो अक्सर Annex A से अधिक विशिष्ट होता है।
ISO 27001 आपको क्या नहीं देता
कार्यान्वयन विनियमन अनुच्छेद 21 के जोखिम-प्रबंधन उपायों को कवर करता है। NIS2 स्वयं इससे अधिक माँगता है, और उसमें से कुछ भी ISO 27001 में नहीं है:
- घटना रिपोर्टिंग की समय-सीमाएँ (अनुच्छेद 23): किसी महत्वपूर्ण घटना की जानकारी मिलने के 24 घंटे के भीतर CSIRT या सक्षम प्राधिकरण को प्रारंभिक चेतावनी, 72 घंटे के भीतर अधिसूचना, और एक महीने के भीतर अंतिम रिपोर्ट। ISO 27001 घटना प्रबंधन की माँग करता है, घड़ी पर आधारित नियामकीय अधिसूचना की नहीं।
- प्रबंधन की जवाबदेही (अनुच्छेद 20): प्रबंधन निकाय को उपायों को मंज़ूरी देनी होगी, उनकी निगरानी करनी होगी और प्रशिक्षण में भाग लेना होगा, और उसे उत्तरदायी ठहराया जा सकता है। ISO की धारा 5 नेतृत्व की प्रतिबद्धता माँगती है, जो इससे कमज़ोर है।
- पंजीकरण आपके राष्ट्रीय प्राधिकरण के साथ, और उसके द्वारा पर्यवेक्षण।
- दायरा: ISO प्रमाणपत्र किसी संगठन के एक हिस्से को कवर कर सकता है। NIS2 इकाई पर लागू होता है।
कुछ Annex बिंदु मेल खाने वाले ISO नियंत्रण से भी आगे जाते हैं। आपूर्ति-शृंखला सुरक्षा, कमज़ोरी प्रबंधन और प्रकटीकरण, और क्रिप्टोग्राफ़ी इसके सामान्य उदाहरण हैं: ISO नियंत्रण मौजूद है, पर NIS2 उससे अधिक स्पष्ट रूप से बताता है।
दूसरी दिशा: NIS2 ISO में से क्या छोड़ता है
123 ISO 27001 Annex A नियंत्रण और ISMS खंड में से 104 (85%) NIS2 में किसी चीज़ से मैप होते हैं, 13 केवल ढीले तौर पर संबंधित हैं और 6 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →
वे ISO आवश्यकताएँ जिनकी कोई NIS2 मैपिंग नहीं है, वे प्रबंधन-प्रणाली की प्रक्रियाएँ हैं:
| ISO 27001 | आवश्यकता | मिलान | NIS2 |
|---|---|---|---|
| Clause 4.3 | Determining the scope of the ISMS | हमारे डेटा में कोई मैपिंग नहीं | — |
| Clause 5.1 | Leadership and commitment | हमारे डेटा में कोई मैपिंग नहीं | — |
| Clause 7.5.1 | General | हमारे डेटा में कोई मैपिंग नहीं | — |
| Clause 7.5.2 | Creating and updating | हमारे डेटा में कोई मैपिंग नहीं | — |
| Clause 7.5.3 | Control of documented information | हमारे डेटा में कोई मैपिंग नहीं | — |
| Clause 10.2 | Nonconformity and corrective action | हमारे डेटा में कोई मैपिंग नहीं | — |
NIS2 आपसे प्रमाणित होने योग्य प्रबंधन प्रणाली चलाने की माँग नहीं करता, इसलिए ISMS का दायरा निर्धारण, दस्तावेज़ नियंत्रण और औपचारिक सुधारात्मक कार्रवाई का कोई सीधा समकक्ष नहीं है। यह दोनों ओर काम करता है। जो संगठन NIS2 के लिए शून्य से तैयारी कर रहा है उसे इनकी ज़रूरत नहीं, पर ISMS आपको इस बात का सबसे मज़बूत प्रमाण देता है कि आपके उपाय प्रभावी हैं, और अनुच्छेद 21(2)(f) इसी की माँग करता है।
ISO 27001 होने पर क्या करें
- पुष्टि करें कि आप दायरे में हैं उस हर देश के राष्ट्रीय कानून के तहत जहाँ आप काम करते हैं, और जहाँ ज़रूरी हो वहाँ पंजीकरण करें।
- अपने प्रमाणपत्र का दायरा जाँचें कि वह पूरी इकाई को कवर करता है, न कि केवल एक सेवा या साइट को।
- तुलना करें अपने Statement of Applicability से ऊपर दिए Annex बिंदुओं तक; हमारी ISO 27001 → NIS2 गैप रिपोर्ट इसे एक ट्रैकर के रूप में निर्यात करती है।
- वह जोड़ें जो ISO कवर नहीं करता ISMS में: 24 और 72 घंटे की समय-सीमाओं वाली रिपोर्टिंग प्रक्रिया, प्रबंधन प्रशिक्षण और पंजीकरण। इन्हें ISMS के भीतर रखने से आपके आंतरिक ऑडिट और निगरानी ऑडिट इन्हें भी जाँचेंगे।
- जहाँ NIS2 अधिक विशिष्ट है वहाँ नियंत्रणों को गहरा करें, आपूर्ति-शृंखला सुरक्षा और कमज़ोरी प्रबंधन से शुरू करते हुए।
बड़ी तस्वीर के लिए, हमारी NIS2 गाइड और पूरी ISO 27001 बनाम NIS2 तुलना देखें।
प्रश्न
क्या ISO 27001 प्रमाणन आपको NIS2 अनुपालन बना देता है?
नहीं। यह अधिकांश तकनीकी और संगठनात्मक उपायों को कवर करता है, लेकिन NIS2 में घटना रिपोर्टिंग की समय-सीमाएँ, प्रबंधन प्रशिक्षण और जवाबदेही, राष्ट्रीय प्राधिकरण के साथ पंजीकरण, और कुछ ऐसी आवश्यकताएँ जुड़ती हैं जो Annex A से अधिक विशिष्ट हैं। अनुपालन का निर्णय राष्ट्रीय प्राधिकरण करते हैं, प्रमाणन निकाय नहीं।
NIS2 कार्यान्वयन विनियमन क्या है?
आयोग कार्यान्वयन विनियमन (EU) 2024/2690 DNS प्रदाताओं, TLD रजिस्ट्रियों, क्लाउड और डेटा सेंटर प्रदाताओं, प्रबंधित (सुरक्षा) सेवा प्रदाताओं, ऑनलाइन बाज़ारों, सर्च इंजनों, सोशल नेटवर्कों और ट्रस्ट सेवा प्रदाताओं के लिए अनुच्छेद 21 के उपायों का विस्तृत विवरण देता है।
2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।
संबंधित पोस्ट
विश्लेषण · 2026-10-27APRA CPS 234 और ISO 27001: आपका ISMS क्या कवर करता है और APRA क्या जोड़ता हैISO 27001 ISMS APRA के CPS 234 के लगभग हर अनुच्छेद को कवर करता है, फिर भी APRA बोर्ड की जिम्मेदारियाँ, तृतीय पक्ष आश्वासन और सख़्त सूचना समय-सीमाएँ जोड़ता है।
विश्लेषण · 2026-10-27Cyber Essentials बनाम Essential Eight: दो राष्ट्रीय बेसलाइनों की तुलनाUK का Cyber Essentials और ऑस्ट्रेलिया का Essential Eight, दोनों आम हमलों को निशाना बनाते हैं, लेकिन उनका दायरा अलग है। क्या ओवरलैप होता है, क्या नहीं होता, और क्यों।
विश्लेषण · 2026-10-27DORA बनाम NIS2: NIS2 कार्यक्रम पहले से क्या-क्या कवर करता हैDORA और NIS2 की अधिकांश सुरक्षा सामग्री समान है, लेकिन DORA में रजिस्टर, अनुबंध शर्तें और खतरा-आधारित परीक्षण जुड़ते हैं। अनुच्छेद-दर-अनुच्छेद देखें कि क्या आगे ले जाया जा सकता है।