ISO 27001 से NIS2 तक: गैप बंद करने की एक व्यावहारिक योजना

जिस संगठन के पास पहले से ISO 27001 प्रमाणन है, उसके लिए NIS2 मुख्यतः एक विस्तार है। ENISA का मैपिंग दस्तावेज़ NIS2 कार्यान्वयन विनियमन के हर तकनीकी उपाय को ISO 27001 से जोड़ता है, और हमारा बिंदु-दर-बिंदु विश्लेषण दिखाता है कि यह कैसे होता है। लेकिन "मैप होना" "पूरा होना" नहीं है, और जिन हिस्सों को ISO कवर नहीं करता, नियामक सबसे पहले उन्हीं की जाँच करते हैं। कार्य का यह क्रम हम अपनाएँगे।

49 NIS2 आवश्यकता बिंदु में से 49 (100%) ISO 27001 में किसी चीज़ से मैप होते हैं, 0 केवल ढीले तौर पर संबंधित हैं और 0 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

चरण 1: पुष्टि करें और पंजीकरण करें (सप्ताह 1 से 4)

1. दायरा और वर्गीकरण की पुष्टि करें उस हर यूरोपीय संघ देश के राष्ट्रीय कानून के तहत जहाँ आप सेवाएँ देते हैं: क्षेत्र, आकार, आवश्यक या महत्वपूर्ण।
2. जहाँ आवश्यक हो, सक्षम प्राधिकरण के साथ पंजीकरण करें। समय-सीमाएँ और प्रारूप देशों के अनुसार अलग हैं।
3. दायरों की तुलना करें: आपका ISO प्रमाणपत्र संगठन के एक हिस्से को कवर कर सकता है; NIS2 पूरी इकाई को कवर करता है। ISMS के दायरे को विस्तार देने की योजना बनाएँ।

चरण 2: शासन (महीने 1 से 2)

1. प्रबंधन निकाय को उसकी अनुच्छेद 20 की ज़िम्मेदारियों पर जानकारी दें: उपायों को मंज़ूरी देना, उनकी निगरानी करना और प्रशिक्षण पूरा करना। मंज़ूरी और प्रशिक्षण का रिकॉर्ड रखें।
2. ISMS में NIS2 जोड़ें: इसे कानूनी आवश्यकताओं की सूची में शामिल करें (A.5.31), जोखिम मूल्यांकन में सम्मिलित करें, और प्रयोज्यता विवरण (Statement of Applicability) में NIS2 के संदर्भ जोड़ें।

चरण 3: रिपोर्टिंग (महीने 1 से 3)

1. महत्वपूर्ण घटना की रिपोर्टिंग प्रक्रिया बनाएँ: कौन तय करता है कि घटना महत्वपूर्ण है, कौन CSIRT या प्राधिकरण को सूचित करता है, और आप 24 घंटे की प्रारंभिक चेतावनी, 72 घंटे की अधिसूचना और एक महीने की अंतिम रिपोर्ट की समय-सीमा कैसे पूरी करते हैं। उस प्रक्रिया के निर्माण पर हमारा लेख इसे चरण-दर-चरण समझाता है।
2. उसका परीक्षण करें, जिसमें कार्यालय के सामान्य समय के बाहर का परीक्षण भी शामिल हो।

चरण 4: तकनीकी उपायों को गहन बनाएँ (महीने 2 से 6)

1. ISO 27001 → NIS2 गैप रिपोर्ट के साथ आवश्यकता-दर-आवश्यकता तुलना करें और हर बिंदु को पूरा, आंशिक रूप से पूरा या अपूर्ण चिह्नित करें।
2. आम गैप को प्राथमिकता दें: आपूर्ति शृंखला सुरक्षा (आपूर्तिकर्ता मानदंड और अनुबंध की शर्तें), कमज़ोरियों का प्रबंधन और समन्वित प्रकटीकरण, क्रिप्टोग्राफ़ी नीति, और प्रभावशीलता मूल्यांकन (अनुच्छेद 21(2)(f))।
3. मौजूदा ISO नियंत्रणों में NIS2 का विवरण जोड़ें, समानांतर नए नियंत्रण बनाने के बजाय।

चरण 5: प्रमाणित करें कि यह काम करता है (निरंतर)

1. आंतरिक ऑडिट और प्रबंधन समीक्षा में NIS2 को शामिल करें।
2. प्रभावशीलता के साक्ष्य रखें: मेट्रिक्स, परीक्षण परिणाम और ऑडिट निष्कर्ष, क्योंकि पर्यवेक्षक इस बात का प्रमाण माँगते हैं कि उपाय काम करते हैं, केवल यह नहीं कि वे मौजूद हैं।
3. राष्ट्रीय मार्गदर्शन पर नज़र रखें: प्राधिकरण अब भी अपेक्षाएँ और टेम्पलेट प्रकाशित कर रहे हैं।

कौन क्या करता है

ऐसी योजना के लिए ISMS प्रबंधक से कहीं अधिक की आवश्यकता होती है:

• प्रबंधन निकाय: उपायों को मंज़ूरी देता है, प्रशिक्षण पूरा करता है और नियमित रिपोर्ट प्राप्त करता है।
• विधि या अनुपालन: राष्ट्रीय कानून के तहत दायरे की पुष्टि करता है, पंजीकरण सँभालता है और राष्ट्रीय मार्गदर्शन पर नज़र रखता है।
• सुरक्षा संचालन: रिपोर्टिंग प्रक्रिया, महत्व के निर्णय और अभ्यासों का स्वामित्व रखता है।
• खरीद: आपूर्तिकर्ता चयन मानदंड और सुरक्षा खंड अनुबंधों में लाता है।
• इंजीनियरिंग और IT: कमज़ोरी प्रकटीकरण, क्रिप्टोग्राफ़ी और प्रभावशीलता मेट्रिक्स जैसे तकनीकी गैप बंद करता है।
• ISMS प्रबंधक: समन्वय करता है, मैपिंग और साक्ष्य को अद्यतन रखता है, और आंतरिक ऑडिट चलाता है।

शुरू में ही इन भूमिकाओं को नामित करने से सबसे आम विफलता टलती है: एक ऐसा NIS2 कार्यक्रम जो पूरी तरह सुरक्षा टीम चलाती है, जो न अपने उपायों को मंज़ूरी दे सकती है और न खरीद अनुबंधों को फिर से लिख सकती है।

मुख्य बिंदु

• ISO-प्रमाणित संगठनों के लिए NIS2 एक विस्तार है, नया कार्यक्रम नहीं।
• दायरा, पंजीकरण, प्रबंधन की ज़िम्मेदारियों और रिपोर्टिंग से शुरुआत करें।
• फिर आपूर्ति शृंखला, कमज़ोरी प्रबंधन और क्रिप्टोग्राफ़ी को गहन बनाएँ।

बचने योग्य जाल

NIS2 को केवल दस्तावेज़ी कार्य समझना। ISO-प्रमाणित संगठनों के पास अक्सर नीतियाँ पहले से होती हैं; पर्यवेक्षक पूछेंगे कि क्या रिपोर्टिंग प्रक्रिया रात 2 बजे काम करती है, क्या प्रबंधन वास्तव में प्रशिक्षित हुआ है, और क्या आपूर्तिकर्ता आवश्यकताएँ असली अनुबंधों में हैं। पहले वहीं प्रयास लगाएँ।

पूरी तस्वीर के लिए NIS2 गाइड और ISO 27001 बनाम NIS2 तुलना देखें।

प्रश्न

ISO 27001 से NIS2 तक पहुँचने में कितना समय लगता है?

यह दायरे और मिले गैप पर निर्भर करता है, लेकिन चूँकि अधिकांश तकनीकी उपाय मैप हो जाते हैं, काम मुख्यतः शासन, रिपोर्टिंग, आपूर्तिकर्ता सुरक्षा और कुछ विशिष्ट नियंत्रणों को गहन बनाने का होता है, जो अक्सर नए बहु-वर्षीय कार्यक्रम के बजाय कुछ महीनों का मामला होता है।

क्या NIS2 के लिए ISO 27001 को फिर से प्रमाणित कराना होगा?

नहीं। NIS2 अनुपालन का मूल्यांकन आपका राष्ट्रीय प्राधिकरण करता है, कोई प्रमाणन निकाय नहीं। NIS2 आवश्यकताओं को ISMS में शामिल करने का अर्थ है कि आपके मौजूदा ऑडिट उनकी भी जाँच करेंगे।

क्या ENISA का मैपिंग बाध्यकारी है?

नहीं। कार्यान्वयन विनियमन का ISO 27001 और NIST CSF 2.0 से ENISA का मैपिंग मार्गदर्शन है। राष्ट्रीय कानून के तहत अनुपालन का निर्णय राष्ट्रीय प्राधिकरण करते हैं।