तुलना

NIS2 बनाम ISO 27001: क्या आपका ISMS पर्याप्त है?

ISO/IEC 27001:2022 · NIS2 Implementing Regulation (EU) 2024/2690 · डेटा 2026-10-27

Paul Gillet के अनुसार · अपडेट किया गया 2026-10-17

NIS2 (निर्देश (EU) 2022/2555) के तहत पूरे यूरोपीय संघ में आवश्यक और महत्वपूर्ण संस्थाओं को साइबर सुरक्षा जोखिम-प्रबंधन उपाय अपनाने और महत्वपूर्ण घटनाओं की रिपोर्ट करनी होती है। आयोग का कार्यान्वयन विनियमन (EU) 2024/2690 डिजिटल-इंफ्रास्ट्रक्चर और ICT-सेवा प्रदाताओं (DNS, क्लाउड, डेटा सेंटर, प्रबंधित और प्रबंधित सुरक्षा सेवा प्रदाता, ऑनलाइन प्लेटफ़ॉर्म और अन्य) के लिए उन उपायों को विस्तार से बताता है। ENISA का तकनीकी कार्यान्वयन मार्गदर्शन अपनी हर आवश्यकता को ISO/IEC 27001:2022 से मैप करता है।

इसी मैपिंग के कारण, जब आपके पास ISO 27001 है, तो नीचे दिया गया हर NIS2 बिंदु कवर हुआ दिखता है: ENISA हर बिंदु को विशिष्ट ISO खंडों या Annex A नियंत्रणों से जोड़ता है। ISO 27001 ISMS NIS2 की तकनीकी तैयारी का सबसे सीधा मार्ग है, और कई सदस्य राज्य इसे मज़बूत साक्ष्य मानते हैं।

लेकिन ENISA स्पष्ट करता है कि मैप किए गए मानकों को लागू करना "अनुपालन की धारणा नहीं बनाता"। NIS2 में कुछ ऐसी बाध्यताएँ भी हैं जो ISO में नहीं हैं: प्रबंधन-निकाय की जवाबदेही और प्रशिक्षण (अनुच्छेद 20), तय समय-सीमाओं पर आपके CSIRT या प्राधिकरण को घटना की रिपोर्टिंग (अनुच्छेद 23: 24 घंटे की प्रारंभिक चेतावनी, 72 घंटे में सूचना, एक महीने में अंतिम रिपोर्ट), आपके राष्ट्रीय प्राधिकरण के साथ पंजीकरण, और राष्ट्रीय कार्यान्वयन के विवरण जो हर देश में अलग होते हैं।

NIS2 से ISO की ओर बढ़ने पर शेष काम प्रमाणित होने योग्य प्रबंधन प्रणाली का है: दायरा, नेतृत्व, दस्तावेज़ित सूचना, आंतरिक ऑडिट और प्रबंधन समीक्षा।

एक नज़र में

	ISO 27001	NIS2
यह क्या है	एक स्वैच्छिक, प्रमाणित होने योग्य मानक	EU कानून, जो राष्ट्रीय विधान के माध्यम से लागू होता है
यह किन पर लागू होता है	जो भी इसे चुनना चाहे	18 क्षेत्रों की आवश्यक और महत्वपूर्ण संस्थाएँ
घटना रिपोर्टिंग	मानक द्वारा आवश्यक नहीं	24 घंटे की प्रारंभिक चेतावनी, 72 घंटे की सूचना, एक महीने की अंतिम रिपोर्ट
प्रबंधन की जवाबदेही	नेतृत्व की प्रतिबद्धता (खंड 5)	प्रबंधन को मंज़ूरी देनी, निगरानी करनी और प्रशिक्षण लेना होगा, और उस पर दायित्व ठहराया जा सकता है
मूल्यांकन	प्रमाणन निकाय के ऑडिट	राष्ट्रीय प्राधिकरण की निगरानी, ऑडिट और दंड
आधिकारिक मैपिंग	—	ENISA हर कार्यान्वयन विनियमन बिंदु को ISO 27001 से मैप करता है

ISO 27001 आपको क्या नहीं देता

रिपोर्टिंग की समय-सीमाएँ: एक परखी हुई प्रक्रिया जो तय करे कि घटना महत्वपूर्ण है या नहीं, और 24 व 72 घंटों के भीतर सूचना दे, जिसमें कार्यालय समय के बाद भी शामिल है।
प्रबंधन प्रशिक्षण और दायित्व: अनुच्छेद 20 के अनुसार प्रबंधन-निकाय को प्रशिक्षित होना और उपायों को मंज़ूरी देना आवश्यक है।
पंजीकरण अपने राष्ट्रीय प्राधिकरण के साथ।
विशिष्ट तकनीकी आवश्यकताएँ: कार्यान्वयन विनियमन के कुछ बिंदु (उदाहरण के लिए क्रिप्टोग्राफी, कमज़ोरी प्रबंधन और आपूर्ति-श्रृंखला सुरक्षा पर) संबंधित Annex A नियंत्रण से अधिक निर्धारित हैं।
दायरा: ISO प्रमाणपत्र संगठन के केवल एक हिस्से को कवर कर सकता है; NIS2 संस्था पर लागू होता है।

ISO 27001 को आधार बनाना

यदि आप प्रमाणित हैं, तो अपने Statement of Applicability से कार्यान्वयन विनियमन के Annex (या अपने राष्ट्रीय कानून के तहत अनुच्छेद 21) के विरुद्ध गैप मूल्यांकन करें, आवश्यकता हो तो ISMS का दायरा पूरी संस्था तक बढ़ाएँ, और रिपोर्टिंग प्रक्रिया व प्रबंधन प्रशिक्षण को ISMS में जोड़ें ताकि उनका भी बाकी सब के साथ ऑडिट हो। अनुपालन का निर्णय प्राधिकरण करते हैं, प्रमाणन निकाय नहीं, लेकिन एक कार्यशील ISMS प्रभावी उपायों का मज़बूत साक्ष्य है।

किसे क्या चाहिए

NIS2 उन क्षेत्रों की आवश्यक और महत्वपूर्ण संस्थाओं के लिए अनिवार्य है जो वह सूचीबद्ध करता है, सामान्यतः EU में काम करने वाले मध्यम आकार और बड़े संगठन, साथ ही DNS और ट्रस्ट सेवा प्रदाताओं जैसे कुछ छोटे प्रदाता। ISO 27001 स्वैच्छिक है, पर अक्सर ग्राहक इसकी माँग करते हैं। NIS2 के दायरे में आने वाले ऐसे संगठन जो उद्यमों को बिक्री करते हैं या सार्वजनिक अनुबंधों के लिए बोली लगाते हैं, आम तौर पर दोनों अपनाते हैं: NIS2 इसलिए क्योंकि कानून इसकी माँग करता है, ISO 27001 इसलिए क्योंकि ग्राहक प्रमाणपत्र माँगते हैं।

लागत और प्रयास

जिस संगठन के पास पहले से ISO 27001 है, उसकी NIS2 लागत अधिकतर तकनीक के बजाय शासन और प्रक्रिया में होती है: प्रबंधन का प्रशिक्षण और मंज़ूरी, एक परखी हुई महत्वपूर्ण-घटना रिपोर्टिंग प्रक्रिया, अनुबंधों में लिखी गई आपूर्तिकर्ता सुरक्षा आवश्यकताएँ, पंजीकरण, और इस बात के साक्ष्य कि उपाय काम करते हैं। तकनीकी अंतर मौजूद होते हैं पर आम तौर पर सीमित होते हैं: कमज़ोरी का खुलासा, क्रिप्टोग्राफी नियम और विशिष्ट आपूर्ति-श्रृंखला उपाय। जो संगठन शून्य से शुरू कर रहा है, उसके लिए ISO-शैली का ISMS बनाना अक्सर NIS2 के अनुच्छेद 21 के उपायों को पूरा करने का सबसे कुशल तरीका है, भले ही वह बाद में प्रमाणित हो या न हो।

समय-सीमा

ISO-प्रमाणित संगठन आम तौर पर NIS2-विशिष्ट अंतर तीन से छह महीनों में बंद कर सकता है: पहले पंजीकरण और प्रबंधन प्रशिक्षण, पहली तिमाही में रिपोर्टिंग प्रक्रिया, फिर आपूर्तिकर्ता सुरक्षा और अधिक विशिष्ट तकनीकी उपाय। हमारी ISO 27001 से NIS2 योजना इसका क्रम विस्तार से बताती है। बिना ISO के शुरू करने पर, पहले ISMS में आम तौर पर लगने वाले छह से बारह महीनों की योजना बनाएँ, जिसमें रिपोर्टिंग और शासन को प्राथमिकता दी जाए क्योंकि पर्यवेक्षक इन्हीं की जाँच सबसे पहले करते हैं।

कार्य उदाहरण: एक प्रबंधित सेवा प्रदाता

EU में 200 कर्मचारियों वाला एक प्रबंधित सेवा प्रदाता अपनी होस्टिंग और सहायता सेवाओं के लिए ISO 27001 रखता है। एक प्रबंधित सेवा प्रदाता के रूप में यह NIS2 के अंतर्गत आता है, और कार्यान्वयन विनियमन के विस्तृत उपाय इस पर सीधे लागू होते हैं।

ENISA मैपिंग दिखाती है कि कार्यान्वयन विनियमन का हर बिंदु उस ISO नियंत्रण से जुड़ा है जिसे संगठन पहले से चलाता है। इसलिए उसका गैप कार्य इन पर केंद्रित है: ISMS के दायरे को दो सेवा-पंक्तियों से बढ़ाकर पूरी संस्था तक करना; प्रबंधन बोर्ड को प्रशिक्षित करना और उपायों पर उसकी मंज़ूरी दर्ज करना; कार्यालय समय के बाद की व्यवस्था सहित 24 घंटे की महत्वपूर्ण-घटना रिपोर्टिंग प्रक्रिया बनाना; अपने ही आपूर्तिकर्ता अनुबंधों में सुरक्षा आवश्यकताएँ और घटना-सूचना खंड जोड़ना; और एक समन्वित कमज़ोरी-खुलासा नीति प्रकाशित करना। छह महीनों के भीतर वह अपने राष्ट्रीय प्राधिकरण को कार्यशील और ऑडिट किए गए उपायों का सेट दिखा सकता है, जिसमें ISMS वह प्रभावशीलता का साक्ष्य देता है जो Article 21(2)(f) माँगता है।

आम गलतियाँ

मान लेना कि प्रमाणपत्र मामला सुलझा देता है। पर्यवेक्षक NIS2 अनुपालन का मूल्यांकन करते हैं; प्रमाणन निकाय ऐसा नहीं करते।
दायरा संकीर्ण रखना। केवल एक सेवा-पंक्ति को कवर करने वाला ISO दायरा संस्था-व्यापी कानूनी दायित्व को कवर नहीं करता।
ऐसी रिपोर्टिंग प्रक्रिया लिखना जिसे किसी ने परखा नहीं, खासकर कार्यालय समय के बाद, जब 24 घंटे की घड़ी सबसे कठिन होती है।
राष्ट्रीय कानून को नज़रअंदाज़ करना। पंजीकरण, निगरानी और कुछ विवरण सदस्य राज्यों के बीच अलग होते हैं।
प्रबंधन को एक बार प्रशिक्षित करके भूल जाना। अनुच्छेद 20 अपेक्षा करता है कि प्रशिक्षण बनाए रखा जाए, न कि केवल एक सत्र हो।

मुख्य बिंदु

ISO 27001 → NIS2: तकनीकी उपाय काफी हद तक कवर हैं; अनुच्छेद 23 की रिपोर्टिंग प्रक्रियाएँ, प्रबंधन प्रशिक्षण और राष्ट्रीय पंजीकरण जोड़ें।
अपने देश का कार्यान्वयन जाँचें: आवश्यकताएँ और पर्यवेक्षी व्यवहार सदस्य राज्य के अनुसार अलग होते हैं।
सुनिश्चित करें कि आपूर्ति-श्रृंखला सुरक्षा (CIR खंड 5) केवल नीति में नहीं, साक्ष्य के साथ सिद्ध हो।

यह तुलना (CSV) डाउनलोड करें गैप विश्लेषण में खोलें →

ISO 27001 है → NIS2 चाहिए

49 आवश्यकताएँ

49 मैप किए गए · · 0 कोई मैपिंग नहीं गैप व्यू में खोलें →

49 NIS2 Implementing Regulation (EU) 2024/2690 आवश्यकताओं में से 49 ISO 27001 में किसी चीज़ से मैप होती हैं, 0 केवल ढीले तौर पर संबंधित हैं, और 0 का हमारे डेटा में कोई मैपिंग नहीं है।

यहाँ NIS2 से तात्पर्य Implementing Regulation (EU) 2024/2690 के तकनीकी उपायों से है, जो सीधे डिजिटल-इंफ्रास्ट्रक्चर और ICT-सेवा प्रदाताओं पर लागू होता है; अन्य NIS2 संस्थाएँ अपने देश के Article 21 के ट्रांसपोज़िशन का पालन करती हैं। घटना रिपोर्टिंग की समय-सीमाएँ (Article 23) इसके दायरे में नहीं हैं। ENISA की मैपिंग गैर-बाध्यकारी है।

मैप किया गया (49)

NIS2	आवश्यकता	मिलान	ISO 27001	साक्ष्य
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	क्रॉसवॉक	A.5.1 A.5.37 Clause 5.2+3	वही विषय: शासन नीति
1.2	Roles, responsibilities and authorities	क्रॉसवॉक	A.5.2 A.5.4 A.5.3+1	वही विषय: भूमिकाएँ और उत्तरदायित्व
2. Risk management policy · 3
2.1	Risk management framework	क्रॉसवॉक	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3+8	वही विषय: जोखिम प्रबंधन, जोखिम मूल्यांकन
2.2	Compliance monitoring	क्रॉसवॉक	A.5.31 Clause 9.1 A.5.36+2	वही विषय: अनुपालन
2.3	Independent review of information and network security	क्रॉसवॉक	A.5.31 A.5.36 Clause 9.1+4	वही विषय: अनुपालन (संपादकीय पसंद)
3. Incident handling · 6
3.1	Incident handling policy	क्रॉसवॉक	A.5.24 A.5.25 A.5.26	वही विषय: घटना प्रतिक्रिया
3.2	Monitoring and logging	क्रॉसवॉक	A.5.25 A.8.15 A.8.16+2	वही विषय: SIEM / SOC, लॉगिंग और ऑडिट, सतत निगरानी, घुसपैठ का पता लगाना
3.3	Event reporting	क्रॉसवॉक	A.5.5 A.6.8	वही विषय: रिपोर्टिंग
3.4	Event assessment and classification	क्रॉसवॉक	A.5.25 A.8.16	वही विषय: SIEM / SOC, विसंगति पहचान (Anomaly Detection)
3.5	Incident response	क्रॉसवॉक	A.5.24 A.5.25 A.5.26+1	वही विषय: घटना प्रतिक्रिया, शमन
3.6	Post-incident reviews	क्रॉसवॉक	A.5.27 Clause 10.1	वही विषय: सीखे गए सबक
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	क्रॉसवॉक	A.5.29 A.5.30 A.8.14	वही विषय: रिकवरी योजना, व्यवसाय निरंतरता, आपदा पुनर्प्राप्ति
4.2	Backup management	क्रॉसवॉक	A.5.30 A.8.13 A.8.14	वही विषय: आपदा पुनर्प्राप्ति, बैकअप और रिकवरी
4.3	Crisis management	क्रॉसवॉक	A.5.26 A.5.29 A.5.30+3	वही विषय: संचार और बहाली, व्यवसाय निरंतरता
5. Supply chain security · 2
5.1	Supply chain security policy	क्रॉसवॉक	A.5.19 A.5.20 A.5.21+2	वही विषय: आपूर्ति श्रृंखला जोखिम, वेंडर जोखिम प्रबंधन
5.2	Directory of suppliers and service providers	क्रॉसवॉक	A.5.19 A.5.20 A.5.22	वही विषय: वेंडर जोखिम प्रबंधन
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	क्रॉसवॉक	A.5.19 A.5.20 A.5.21+2	वही विषय: आपूर्ति श्रृंखला जोखिम, वेंडर जोखिम प्रबंधन
6.2	Secure development life cycle	क्रॉसवॉक	A.8.25 A.8.26 A.8.28+2	वही विषय: सुरक्षित विकास
6.3	Configuration management	क्रॉसवॉक	A.8.9	वही विषय: सुरक्षित कॉन्फ़िगरेशन
6.4	Change management, repairs and maintenance	क्रॉसवॉक	A.7.13 A.8.32 Clause 6.3+1	ENISA NIS2 → ISO 27001 mapping
6.5	Security testing	क्रॉसवॉक	A.8.8 A.8.29 A.8.33+1	वही विषय: भेद्यता प्रबंधन
6.6	Security patch management	क्रॉसवॉक	A.8.8 A.8.31 A.8.32	वही विषय: पैच प्रबंधन
6.7	Network security	क्रॉसवॉक	A.8.20 A.8.21 A.8.22+1	वही विषय: फ़ायरवॉल / नेट सेग
6.8	Network segmentation	क्रॉसवॉक	A.5.15 A.8.5 A.8.20+2	वही विषय: ज़ीरो ट्रस्ट, फ़ायरवॉल / नेट सेग
6.9	Protection against malicious and unauthorised software	क्रॉसवॉक	A.5.14 A.8.19 A.8.1+2	वही विषय: ईमेल सुरक्षा, एंडपॉइंट सुरक्षा
6.10	Vulnerability handling and disclosure	क्रॉसवॉक	A.8.8	वही विषय: भेद्यता प्रबंधन
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	क्रॉसवॉक	Clause 6.1.1 Clause 6.1.3 Clause 6.2+2	वही विषय: जोखिम प्रबंधन
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	क्रॉसवॉक	A.6.3 Clause 7.3 A.8.7	वही विषय: जागरूकता और प्रशिक्षण
8.2	Security training	क्रॉसवॉक	A.6.3 Clause 7.3 Clause 7.2	वही विषय: जागरूकता और प्रशिक्षण
9. Cryptography · 1
9.1	Cryptography	क्रॉसवॉक	A.8.24 A.5.31	वही विषय: एन्क्रिप्शन
10. Human resources security · 4
10.1	Human resources security	क्रॉसवॉक	A.6.2 A.6.3 Clause 7.1+1	ENISA NIS2 → ISO 27001 mapping
10.2	Verification of Background	क्रॉसवॉक	A.6.1 A.6.4 A.8.16	वही विषय: इनसाइडर थ्रेट
10.3	Termination or change of employment procedures	क्रॉसवॉक	A.6.5	ENISA NIS2 → ISO 27001 mapping
10.4	Disciplinary process	क्रॉसवॉक	A.6.1 A.6.4 A.8.16+1	वही विषय: इनसाइडर थ्रेट
11. Access control · 7
11.1	Access control policy	क्रॉसवॉक	A.5.15 A.5.16 A.5.18+5	वही विषय: एक्सेस कंट्रोल, ज़ीरो ट्रस्ट
11.2	Management of access rights	क्रॉसवॉक	A.5.15 A.5.16 A.5.18+2	वही विषय: एक्सेस कंट्रोल
11.3	Privileged accounts and system administration accounts	क्रॉसवॉक	A.8.2 A.8.18	वही विषय: विशेषाधिकार प्राप्त पहुँच
11.4	Administration systems	क्रॉसवॉक	A.8.2 A.8.18	वही विषय: विशेषाधिकार प्राप्त पहुँच
11.5	Identification	क्रॉसवॉक	A.5.15 A.5.16 A.5.18+1	वही विषय: एक्सेस कंट्रोल
11.6	Authentication	क्रॉसवॉक	A.5.15 A.8.5 A.8.22+1	वही विषय: ज़ीरो ट्रस्ट, मल्टी-फ़ैक्टर ऑथेंटिकेशन
11.7	Multi-factor authentication	क्रॉसवॉक	A.8.5	वही विषय: मल्टी-फ़ैक्टर ऑथेंटिकेशन
12. Asset management · 5
12.1	Asset classification	क्रॉसवॉक	A.5.12 A.5.13 A.5.9	वही विषय: डेटा वर्गीकरण
12.2	Handling of assets	क्रॉसवॉक	A.5.14 A.8.10 A.8.11+3	वही विषय: डेटा संरक्षण
12.3	Removable media policy	क्रॉसवॉक	A.5.14 A.8.10 A.8.11+3	वही विषय: डेटा संरक्षण
12.4	Asset inventory	क्रॉसवॉक	A.5.9 A.5.11 A.7.14	वही विषय: एसेट प्रबंधन
12.5	Deposit, return or deletion of assets upon termination of employment	क्रॉसवॉक	A.5.11 A.5.18 A.8.24	ENISA NIS2 → ISO 27001 mapping
13. Environmental and physical security · 3
13.1	Supporting utilities	क्रॉसवॉक	A.7.1 A.7.2 A.7.3+6	वही विषय: भौतिक सुरक्षा
13.2	Protection against physical and environmental threats	क्रॉसवॉक	A.7.1 A.7.2 A.7.3+6	वही विषय: भौतिक सुरक्षा
13.3	Perimeter and physical access control	क्रॉसवॉक	A.7.1 A.7.2 A.7.3+6	वही विषय: भौतिक सुरक्षा

NIS2 है → ISO 27001 चाहिए

123 आवश्यकताएँ

104 मैप किए गए · · 6 कोई मैपिंग नहीं गैप व्यू में खोलें →

123 ISO/IEC 27001:2022 आवश्यकताओं में से 104 NIS2 में किसी चीज़ से मैप होती हैं, 13 केवल ढीले तौर पर संबंधित हैं, और 6 का हमारे डेटा में कोई मैपिंग नहीं है।

संभवतः नया कार्य: NIS2 से कोई मैपिंग न रखने वाली ISO 27001 आवश्यकताएँ (6)

ISO 27001	आवश्यकता	मिलान	NIS2	साक्ष्य
ISMS clauses 4–10 · 6
Clause 4.3	Determining the scope of the ISMS	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में NIS2 से कोई मैपिंग नहीं।
Clause 5.1	Leadership and commitment	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में NIS2 से कोई मैपिंग नहीं।
Clause 7.5.1	General	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में NIS2 से कोई मैपिंग नहीं।
Clause 7.5.2	Creating and updating	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में NIS2 से कोई मैपिंग नहीं।
Clause 7.5.3	Control of documented information	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में NIS2 से कोई मैपिंग नहीं।
Clause 10.2	Nonconformity and corrective action	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में NIS2 से कोई मैपिंग नहीं।

इन्हें जाँचें: केवल ढीले तौर पर संबंधित (एक साझा CSF परिणाम, मैपिंग नहीं) (13)

ISO 27001	आवश्यकता	मिलान	NIS2	साक्ष्य
A.5 Organizational controls · 3
A.5.8	Information security in project management	ढीले तौर पर संबंधित	5.1 5.2 6.2+2	केवल CSF GV.OC-05, ID.AM-08 साझा करता है: संबंधित, मैपिंग नहीं
A.5.33	Protection of records	ढीले तौर पर संबंधित	9.1 12.3	केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं
A.5.34	Privacy and protection of PII	ढीले तौर पर संबंधित	1.1 6.1	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
A.6 People controls · 2
A.6.6	Confidentiality or non-disclosure agreements	ढीले तौर पर संबंधित	2.1 10.1 10.2+1	केवल CSF GV.RR-03, GV.RR-04 साझा करता है: संबंधित, मैपिंग नहीं
A.6.7	Remote working	ढीले तौर पर संबंधित	1.1 10.1 10.2+5	केवल CSF GV.PO-01, GV.RR-04 साझा करता है: संबंधित, मैपिंग नहीं
A.7 Physical controls · 1
A.7.9	Security of assets off-premises	ढीले तौर पर संबंधित	9.1 12.3	केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं
A.8 Technological controls · 4
A.8.4	Access to source code	ढीले तौर पर संबंधित	9.1 11.1 11.2+4	केवल CSF PR.DS-01, PR.DS-02, PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं
A.8.6	Capacity management	ढीले तौर पर संबंधित	6.6 6.9	केवल CSF DE.CM-09 साझा करता है: संबंधित, मैपिंग नहीं
A.8.23	Web filtering	ढीले तौर पर संबंधित	6.7 6.8	केवल CSF PR.IR-01 साझा करता है: संबंधित, मैपिंग नहीं
A.8.27	Secure system architecture and engineering principles	ढीले तौर पर संबंधित	4.3	केवल CSF PR.IR-03 साझा करता है: संबंधित, मैपिंग नहीं
ISMS clauses 4–10 · 3
Clause 4.1	Understanding the organization and its context	ढीले तौर पर संबंधित	1.1	केवल CSF GV.OC-02 साझा करता है: संबंधित, मैपिंग नहीं
Clause 4.2	Understanding the needs and expectations of interested parties	ढीले तौर पर संबंधित	5.1 1.1 9.1+5	केवल CSF GV.OC-03, GV.SC-05, GV.SC-06, GV.OC-02… साझा करता है: संबंधित, मैपिंग नहीं
Clause 4.4	Information security management system	ढीले तौर पर संबंधित	1.1	केवल CSF GV.OC-02 साझा करता है: संबंधित, मैपिंग नहीं

मैप किया गया (104)

ISO 27001	आवश्यकता	मिलान	NIS2	साक्ष्य
A.5 Organizational controls · 34
A.5.1	Policies for information security	क्रॉसवॉक	1.1	वही विषय: शासन नीति
A.5.2	Information security roles and responsibilities	क्रॉसवॉक	1.2	वही विषय: भूमिकाएँ और उत्तरदायित्व
A.5.3	Segregation of duties	क्रॉसवॉक	1.2 11.2	ENISA NIS2 → ISO 27001 mapping
A.5.4	Management responsibilities	क्रॉसवॉक	1.2 1.1	वही विषय: भूमिकाएँ और उत्तरदायित्व
A.5.5	Contact with authorities	क्रॉसवॉक	3.3	वही विषय: रिपोर्टिंग
A.5.6	Contact with special interest groups	संपादकीय	4.3	वही विषय: संचार (संपादकीय पसंद)
A.5.7	Threat intelligence	क्रॉसवॉक	2.1	ENISA NIS2 → ISO 27001 mapping
A.5.9	Inventory of information and other associated assets	क्रॉसवॉक	12.4 12.1 12.2	वही विषय: एसेट प्रबंधन
A.5.10	Acceptable use of information and other associated assets	क्रॉसवॉक	12.2	ENISA NIS2 → ISO 27001 mapping
A.5.11	Return of assets	क्रॉसवॉक	12.4 12.5	वही विषय: एसेट प्रबंधन
A.5.12	Classification of information	क्रॉसवॉक	12.1	वही विषय: डेटा वर्गीकरण
A.5.13	Labelling of information	क्रॉसवॉक	12.1	वही विषय: डेटा वर्गीकरण
A.5.14	Information transfer	क्रॉसवॉक	6.9 12.2 12.3	वही विषय: ईमेल सुरक्षा, डेटा संरक्षण
A.5.15	Access control	क्रॉसवॉक	6.8 11.1 11.2+2	वही विषय: ज़ीरो ट्रस्ट, एक्सेस कंट्रोल
A.5.16	Identity management	क्रॉसवॉक	11.1 11.2 11.5	वही विषय: एक्सेस कंट्रोल
A.5.17	Authentication information	क्रॉसवॉक	11.6	ENISA NIS2 → ISO 27001 mapping
A.5.18	Access rights	क्रॉसवॉक	11.1 11.2 11.5+1	वही विषय: एक्सेस कंट्रोल
A.5.19	Information security in supplier relationships	क्रॉसवॉक	5.1 5.2 6.1+1	वही विषय: आपूर्ति श्रृंखला जोखिम, वेंडर जोखिम प्रबंधन
A.5.20	Addressing information security within supplier agreements	क्रॉसवॉक	5.1 5.2 6.1+1	वही विषय: वेंडर जोखिम प्रबंधन
A.5.21	Managing information security in the ICT supply chain	क्रॉसवॉक	5.1 6.1 2.1	वही विषय: आपूर्ति श्रृंखला जोखिम
A.5.22	Monitoring, review and change management of supplier services	क्रॉसवॉक	5.1 5.2 6.1	वही विषय: वेंडर जोखिम प्रबंधन
A.5.23	Information security for use of cloud services	क्रॉसवॉक	6.1	वही विषय: क्लाउड सुरक्षा
A.5.24	Information security incident management planning and preparation	क्रॉसवॉक	3.1 3.5	वही विषय: घटना प्रतिक्रिया
A.5.25	Assessment and decision on information security events	क्रॉसवॉक	3.1 3.2 3.4+1	वही विषय: घटना प्रतिक्रिया, SIEM / SOC
A.5.26	Response to information security incidents	क्रॉसवॉक	3.1 3.5 4.3	वही विषय: घटना प्रतिक्रिया, शमन, संचार और बहाली
A.5.27	Learning from information security incidents	क्रॉसवॉक	3.6	वही विषय: सीखे गए सबक
A.5.28	Collection of evidence	क्रॉसवॉक	3.5 3.2 10.4	वही विषय: फ़ॉरेंसिक
A.5.29	Information security during disruption	क्रॉसवॉक	4.1 4.3	वही विषय: रिकवरी योजना, व्यवसाय निरंतरता
A.5.30	ICT readiness for business continuity	क्रॉसवॉक	4.1 4.2 4.3	वही विषय: रिकवरी योजना, व्यवसाय निरंतरता, आपदा पुनर्प्राप्ति
A.5.31	Legal, statutory, regulatory and contractual requirements	क्रॉसवॉक	2.2 2.3 9.1	वही विषय: अनुपालन
A.5.32	Intellectual property rights	क्रॉसवॉक	6.9	ENISA NIS2 → ISO 27001 mapping
A.5.35	Independent review of information security	क्रॉसवॉक	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
A.5.36	Compliance with policies, rules and standards for information security	क्रॉसवॉक	2.2 2.3 1.1	वही विषय: अनुपालन (संपादकीय पसंद)
A.5.37	Documented operating procedures	क्रॉसवॉक	1.1	वही विषय: शासन नीति
A.6 People controls · 6
A.6.1	Screening	क्रॉसवॉक	10.2 10.4	वही विषय: इनसाइडर थ्रेट
A.6.2	Terms and conditions of employment	क्रॉसवॉक	10.1	ENISA NIS2 → ISO 27001 mapping
A.6.3	Information security awareness, education and training	क्रॉसवॉक	8.1 8.2 10.1	वही विषय: जागरूकता और प्रशिक्षण
A.6.4	Disciplinary process	क्रॉसवॉक	10.2 10.4	वही विषय: इनसाइडर थ्रेट
A.6.5	Responsibilities after termination or change of employment	क्रॉसवॉक	10.3	ENISA NIS2 → ISO 27001 mapping
A.6.8	Information security event reporting	क्रॉसवॉक	3.3	वही विषय: रिपोर्टिंग
A.7 Physical controls · 13
A.7.1	Physical security perimeters	क्रॉसवॉक	13.1 13.2 13.3	वही विषय: भौतिक सुरक्षा
A.7.2	Physical entry	क्रॉसवॉक	13.1 13.2 13.3+1	वही विषय: भौतिक सुरक्षा
A.7.3	Securing offices, rooms and facilities	क्रॉसवॉक	13.1 13.2 13.3	वही विषय: भौतिक सुरक्षा
A.7.4	Physical security monitoring	क्रॉसवॉक	13.1 13.2 13.3	वही विषय: भौतिक सुरक्षा
A.7.5	Protecting against physical and environmental threats	क्रॉसवॉक	13.1 13.2 13.3	वही विषय: भौतिक सुरक्षा
A.7.6	Working in secure areas	क्रॉसवॉक	13.1 13.2 13.3	वही विषय: भौतिक सुरक्षा
A.7.7	Clear desk and clear screen	क्रॉसवॉक	12.3	ENISA NIS2 → ISO 27001 mapping
A.7.8	Equipment siting and protection	क्रॉसवॉक	13.1 13.2 13.3	वही विषय: भौतिक सुरक्षा
A.7.10	Storage media	क्रॉसवॉक	12.2 12.3	ENISA NIS2 → ISO 27001 mapping
A.7.11	Supporting utilities	क्रॉसवॉक	13.1 13.2 13.3	वही विषय: भौतिक सुरक्षा
A.7.12	Cabling security	क्रॉसवॉक	13.1 13.2 13.3	वही विषय: भौतिक सुरक्षा
A.7.13	Equipment maintenance	क्रॉसवॉक	6.4	ENISA NIS2 → ISO 27001 mapping
A.7.14	Secure disposal or re-use of equipment	क्रॉसवॉक	12.4	वही विषय: एसेट प्रबंधन
A.8 Technological controls · 30
A.8.1	User endpoint devices	संपादकीय	6.9	वही विषय: एंडपॉइंट सुरक्षा (संपादकीय पसंद)
A.8.2	Privileged access rights	क्रॉसवॉक	11.3 11.4	वही विषय: विशेषाधिकार प्राप्त पहुँच
A.8.3	Information access restriction	क्रॉसवॉक	11.1 11.2 11.5	वही विषय: एक्सेस कंट्रोल
A.8.5	Secure authentication	क्रॉसवॉक	6.8 11.1 11.6+1	वही विषय: ज़ीरो ट्रस्ट, मल्टी-फ़ैक्टर ऑथेंटिकेशन
A.8.7	Protection against malware	क्रॉसवॉक	6.9 8.1	वही विषय: एंडपॉइंट सुरक्षा (संपादकीय पसंद)
A.8.8	Management of technical vulnerabilities	क्रॉसवॉक	6.5 6.6 6.10	वही विषय: भेद्यता प्रबंधन, पैच प्रबंधन
A.8.9	Configuration management	क्रॉसवॉक	6.3	वही विषय: सुरक्षित कॉन्फ़िगरेशन
A.8.10	Information deletion	क्रॉसवॉक	12.2 12.3	वही विषय: डेटा संरक्षण
A.8.11	Data masking	क्रॉसवॉक	12.2 12.3	वही विषय: डेटा संरक्षण
A.8.12	Data leakage prevention	क्रॉसवॉक	12.3	वही विषय: DLP
A.8.13	Information backup	क्रॉसवॉक	4.2	वही विषय: बैकअप और रिकवरी
A.8.14	Redundancy of information processing facilities	क्रॉसवॉक	4.1 4.2 4.3	वही विषय: व्यवसाय निरंतरता, आपदा पुनर्प्राप्ति
A.8.15	Logging	क्रॉसवॉक	3.2	वही विषय: लॉगिंग और ऑडिट
A.8.16	Monitoring activities	क्रॉसवॉक	3.2 3.4 10.2+2	वही विषय: सतत निगरानी, घुसपैठ का पता लगाना, SIEM / SOC, विसंगति पहचान (Anomaly Detection), इनसाइडर थ्रेट
A.8.17	Clock synchronization	क्रॉसवॉक	3.2	वही विषय: लॉगिंग और ऑडिट
A.8.18	Use of privileged utility programs	क्रॉसवॉक	11.3 11.4	वही विषय: विशेषाधिकार प्राप्त पहुँच
A.8.19	Installation of software on operational systems	क्रॉसवॉक	6.9	वही विषय: एंडपॉइंट सुरक्षा
A.8.20	Networks security	क्रॉसवॉक	6.7 6.8	वही विषय: फ़ायरवॉल / नेट सेग
A.8.21	Security of network services	क्रॉसवॉक	6.7 6.8 11.1	वही विषय: फ़ायरवॉल / नेट सेग
A.8.22	Segregation of networks	क्रॉसवॉक	6.7 6.8 11.1+1	वही विषय: फ़ायरवॉल / नेट सेग, ज़ीरो ट्रस्ट
A.8.24	Use of cryptography	क्रॉसवॉक	9.1 12.5	वही विषय: एन्क्रिप्शन
A.8.25	Secure development life cycle	क्रॉसवॉक	6.2	वही विषय: सुरक्षित विकास
A.8.26	Application security requirements	क्रॉसवॉक	6.2	वही विषय: सुरक्षित विकास
A.8.28	Secure coding	क्रॉसवॉक	6.2	वही विषय: सुरक्षित विकास
A.8.29	Security testing in development and acceptance	क्रॉसवॉक	6.2 6.5	वही विषय: सुरक्षित विकास
A.8.30	Outsourced development	क्रॉसवॉक	5.1	ENISA NIS2 → ISO 27001 mapping
A.8.31	Separation of development, test and production environments	क्रॉसवॉक	6.2 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.32	Change management	क्रॉसवॉक	6.4 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.33	Test information	क्रॉसवॉक	6.5	ENISA NIS2 → ISO 27001 mapping
A.8.34	Protection of information systems during audit testing	क्रॉसवॉक	2.3 6.5	ENISA NIS2 → ISO 27001 mapping
ISMS clauses 4–10 · 21
Clause 5.2	Policy	क्रॉसवॉक	1.1	वही विषय: शासन नीति
Clause 5.3	Organizational roles, responsibilities and authorities	क्रॉसवॉक	1.2	ENISA NIS2 → ISO 27001 mapping
Clause 6.1.1	General	क्रॉसवॉक	2.1 7.1	वही विषय: जोखिम प्रबंधन
Clause 6.1.2	Information security risk assessment	क्रॉसवॉक	2.1	वही विषय: जोखिम मूल्यांकन
Clause 6.1.3	Information security risk treatment	क्रॉसवॉक	2.1 7.1	वही विषय: जोखिम प्रबंधन, जोखिम मूल्यांकन
Clause 6.2	Information security objectives and planning to achieve them	क्रॉसवॉक	2.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 6.3	Planning of changes	क्रॉसवॉक	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 7.1	Resources	क्रॉसवॉक	10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.2	Competence	क्रॉसवॉक	8.2 10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.3	Awareness	क्रॉसवॉक	8.1 8.2	वही विषय: जागरूकता और प्रशिक्षण
Clause 7.4	Communication	क्रॉसवॉक	4.3	वही विषय: संचार, संचार और बहाली
Clause 8.1	Operational planning and control	क्रॉसवॉक	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 8.2	Information security risk assessment	क्रॉसवॉक	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 8.3	Information security risk treatment	क्रॉसवॉक	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.1	Monitoring, measurement, analysis and evaluation	क्रॉसवॉक	2.2 2.3 7.1	वही विषय: अनुपालन
Clause 9.2.1	General	क्रॉसवॉक	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.2.2	Internal audit programme	क्रॉसवॉक	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.1	General	क्रॉसवॉक	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.2	Management review inputs	क्रॉसवॉक	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.3	Management review results	क्रॉसवॉक	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 10.1	Continual improvement	क्रॉसवॉक	3.6 2.3	वही विषय: सीखे गए सबक (संपादकीय पसंद)

विषय के अनुसार

दोनों में शामिल (43):

शासन नीति जागरूकता और प्रशिक्षण जोखिम प्रबंधन आपूर्ति श्रृंखला जोखिम भूमिकाएँ और उत्तरदायित्व अनुपालन एसेट प्रबंधन जोखिम मूल्यांकन डेटा वर्गीकरण भेद्यता प्रबंधन एक्सेस कंट्रोल मल्टी-फ़ैक्टर ऑथेंटिकेशन एन्क्रिप्शन डेटा संरक्षण बैकअप और रिकवरी विशेषाधिकार प्राप्त पहुँच फ़ायरवॉल / नेट सेग एंडपॉइंट सुरक्षा पैच प्रबंधन सुरक्षित कॉन्फ़िगरेशन सुरक्षित विकास ईमेल सुरक्षा ज़ीरो ट्रस्ट क्लाउड सुरक्षा DLP सतत निगरानी लॉगिंग और ऑडिट घुसपैठ का पता लगाना विसंगति पहचान (Anomaly Detection)SIEM / SOC घटना प्रतिक्रिया फ़ॉरेंसिक संचार शमन रिपोर्टिंग रिकवरी योजना व्यवसाय निरंतरता सीखे गए सबक संचार और बहाली आपदा पुनर्प्राप्ति इनसाइडर थ्रेट वेंडर जोखिम प्रबंधन भौतिक सुरक्षा

केवल ISO 27001 (7):

व्यावसायिक परिवेश थ्रेट इंटेलिजेंस वेब सुरक्षा मोबाइल सुरक्षा DNS सुरक्षा WAF API सुरक्षा

प्रश्न

क्या ISO 27001 प्रमाणन NIS2 की आवश्यकताएँ पूरी करता है?

अकेले नहीं। यह अधिकांश तकनीकी और संगठनात्मक उपायों को कवर करता है, लेकिन रिपोर्टिंग समय-सीमाओं, प्रबंधन प्रशिक्षण, पंजीकरण या हर विशिष्ट तकनीकी आवश्यकता को नहीं।

क्या NIS2 के लिए ISO 27001 प्रमाणन आवश्यक होगा?

NIS2 सदस्य राज्यों को कुछ सेवाओं के लिए प्रमाणन योजनाएँ लागू करने की अनुमति देता है, पर वह सामान्यतः ISO 27001 की माँग नहीं करता। अपने राष्ट्रीय कानून की जाँच करें।

क्या NIS2 नियामक ISO 27001 प्रमाणपत्र स्वीकार करते हैं?

प्राधिकरण प्रमाणन को साक्ष्य के रूप में ध्यान में ले सकते हैं, और कुछ राष्ट्रीय कानून इसका उल्लेख करते हैं, पर वे अनुपालन का मूल्यांकन NIS2 के विरुद्ध ही करते हैं। प्रमाणपत्र रिपोर्टिंग, शासन और पंजीकरण के दायित्वों को कवर नहीं करता।

क्या NIS2, ISO 27001 से सख्त है?

कुछ जगहों पर। NIS2 ऐसे कानूनी दायित्व जोड़ता है जो ISO में नहीं हैं (रिपोर्टिंग समय-सीमाएँ, प्रबंधन दायित्व, जुर्माने के साथ निगरानी), और कार्यान्वयन विनियमन कुछ तकनीकी बिंदुओं पर अधिक निर्धारित है। ISO 27001 पूर्ण प्रबंधन प्रणाली की माँग करता है, जो NIS2 नहीं करता।

क्या NIS2 EU के बाहर की कंपनियों पर लागू होता है?

हो सकता है। कुछ डिजिटल प्रदाता EU में सेवाएँ देते हैं पर वहाँ स्थापित नहीं हैं; उन्हें किसी सदस्य राज्य में प्रतिनिधि नियुक्त करना और अनुपालन करना होता है।

NIS2 के तहत दंड क्या हैं?

सदस्य राज्यों को आवश्यक संस्थाओं के लिए कम से कम €10 मिलियन या विश्व-व्यापी वार्षिक कारोबार का 2%, और महत्वपूर्ण संस्थाओं के लिए €7 मिलियन या 1.4% तक के जुर्माने की अनुमति देनी होगी, जो भी अधिक हो।

क्या ISO 27001 न रखने वाली कंपनी को NIS2 के लिए प्रमाणित होना चाहिए?

प्रमाणन आवश्यक नहीं है, पर NIS2 के उपायों को लागू करने और उनका साक्ष्य देने का ISMS एक कुशल तरीका है। कई संगठन NIS2 के लिए ISMS बनाते हैं और प्रमाणन का निर्णय अलग से लेते हैं।

आवश्यकता की ID और शीर्षक हर फ़्रेमवर्क द्वारा प्रकाशित रूप में, अंग्रेज़ी में दिखाए जाते हैं।

क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · ढीले तौर पर संबंधित केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. मैप किया गया = ControlMapping के किसी विषय में एक साथ संकलित, या सीधे लिंक किया गया। क्रॉसवॉक अनुपालन को सिद्ध नहीं करते। पद्धति · डेटा डाउनलोड करें · गलती की रिपोर्ट करें.