ISO 27001 vs NIS2: Apa yang Dicakup ISO, Poin demi Poin

Pemetaan ENISA sendiri menghubungkan setiap langkah teknis dalam Peraturan Pelaksana NIS2 dengan ISO 27001. Lalu mengapa sertifikat ISO belum cukup? Jawabannya ada pada hal-hal yang tidak dicakup pemetaan tersebut.

Jika Anda memegang sertifikat ISO 27001 dan NIS2 berlaku bagi Anda, pertanyaan pertama adalah seberapa banyak pekerjaan yang sudah selesai. Kabar baiknya, ENISA, badan keamanan siber Uni Eropa, sudah menjawab sebagian besar pertanyaan itu: panduan implementasinya memetakan setiap poin Peraturan Pelaksana NIS2 ke klausul ISO 27001 atau kontrol Annex A.

Berikut gambaran pemetaan tersebut, persyaratan demi persyaratan, serta bagian NIS2 yang tidak disentuhnya.

Angka utama

Dari 49 poin persyaratan NIS2, 49 (100%) dipetakan ke sesuatu dalam ISO 27001, 0 hanya terkait secara longgar, dan 0 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Setiap poin persyaratan dalam Lampiran Peraturan Pelaksana (EU) 2024/2690 memiliki padanan dalam ISO 27001. Keterkaitan ini berasal dari tabel pemetaan ENISA sendiri, bukan dari penilaian kami, sehingga diberi label Crosswalk.

Setiap poin NIS2 dan padanan ISO-nya

NIS2	Persyaratan	Kecocokan	ISO 27001
1.1	Policy on the security of network and information systems	Crosswalk	A.5.1 A.5.37 Clause 5.2 A.5.4
1.2	Roles, responsibilities and authorities	Crosswalk	A.5.2 A.5.4 A.5.3 Clause 5.3
2.1	Risk management framework	Crosswalk	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3 A.5.7
2.2	Compliance monitoring	Crosswalk	A.5.31 Clause 9.1 A.5.36 A.5.35
2.3	Independent review of information and network security	Crosswalk	A.5.31 A.5.36 Clause 9.1 A.5.35
3.1	Incident handling policy	Crosswalk	A.5.24 A.5.25 A.5.26
3.2	Monitoring and logging	Crosswalk	A.5.25 A.8.15 A.8.16 A.8.17
3.3	Event reporting	Crosswalk	A.5.5 A.6.8
3.4	Event assessment and classification	Crosswalk	A.5.25 A.8.16
3.5	Incident response	Crosswalk	A.5.24 A.5.25 A.5.26 A.5.28
3.6	Post-incident reviews	Crosswalk	A.5.27 Clause 10.1
4.1	Business continuity and disaster recovery plan	Crosswalk	A.5.29 A.5.30 A.8.14
4.2	Backup management	Crosswalk	A.5.30 A.8.13 A.8.14
4.3	Crisis management	Crosswalk	A.5.26 A.5.29 A.5.30 A.8.14
5.1	Supply chain security policy	Crosswalk	A.5.19 A.5.20 A.5.21 A.5.22
5.2	Directory of suppliers and service providers	Crosswalk	A.5.19 A.5.20 A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Crosswalk	A.5.19 A.5.20 A.5.21 A.5.22
6.2	Secure development life cycle	Crosswalk	A.8.25 A.8.26 A.8.28 A.8.29
6.3	Configuration management	Crosswalk	A.8.9
6.4	Change management, repairs and maintenance	Crosswalk	A.7.13 A.8.32 Clause 6.3 Clause 8.1
6.5	Security testing	Crosswalk	A.8.8 A.8.29 A.8.33 A.8.34
6.6	Security patch management	Crosswalk	A.8.8 A.8.31 A.8.32
6.7	Network security	Crosswalk	A.8.20 A.8.21 A.8.22 A.8.16
6.8	Network segmentation	Crosswalk	A.5.15 A.8.5 A.8.20 A.8.21
6.9	Protection against malicious and unauthorised software	Crosswalk	A.5.14 A.8.19 A.8.1 A.8.7
6.10	Vulnerability handling and disclosure	Crosswalk	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Crosswalk	Clause 6.1.1 Clause 6.1.3 Clause 6.2 Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	Crosswalk	A.6.3 Clause 7.3 A.8.7
8.2	Security training	Crosswalk	A.6.3 Clause 7.3 Clause 7.2
9.1	Cryptography	Crosswalk	A.8.24 A.5.31
10.1	Human resources security	Crosswalk	A.6.2 A.6.3 Clause 7.1 Clause 7.2
10.2	Verification of Background	Crosswalk	A.6.1 A.6.4 A.8.16
10.3	Termination or change of employment procedures	Crosswalk	A.6.5
10.4	Disciplinary process	Crosswalk	A.6.1 A.6.4 A.8.16 A.5.28
11.1	Access control policy	Crosswalk	A.5.15 A.5.16 A.5.18 A.8.3
11.2	Management of access rights	Crosswalk	A.5.15 A.5.16 A.5.18 A.8.3
11.3	Privileged accounts and system administration accounts	Crosswalk	A.8.2 A.8.18
11.4	Administration systems	Crosswalk	A.8.2 A.8.18
11.5	Identification	Crosswalk	A.5.15 A.5.16 A.5.18 A.8.3
11.6	Authentication	Crosswalk	A.5.15 A.8.5 A.8.22 A.5.17
11.7	Multi-factor authentication	Crosswalk	A.8.5
12.1	Asset classification	Crosswalk	A.5.12 A.5.13 A.5.9
12.2	Handling of assets	Crosswalk	A.5.14 A.8.10 A.8.11 A.5.9
12.3	Removable media policy	Crosswalk	A.5.14 A.8.10 A.8.11 A.8.12
12.4	Asset inventory	Crosswalk	A.5.9 A.5.11 A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	Crosswalk	A.5.11 A.5.18 A.8.24
13.1	Supporting utilities	Crosswalk	A.7.1 A.7.2 A.7.3 A.7.4
13.2	Protection against physical and environmental threats	Crosswalk	A.7.1 A.7.2 A.7.3 A.7.4
13.3	Perimeter and physical access control	Crosswalk	A.7.1 A.7.2 A.7.3 A.7.4

Baca tabel ini sebagai “ke mana harus mencari di ISMS Anda”, bukan sebagai “sudah selesai”. Pemetaan hanya menyatakan bahwa kontrol ISO membahas subjek yang sama. Apakah implementasi Anda memenuhi poin NIS2 bergantung pada cara Anda menerapkan kontrol tersebut dan pada rincian teks NIS2, yang sering lebih spesifik daripada Annex A.

Yang tidak diberikan ISO 27001

Peraturan Pelaksana mencakup langkah manajemen risiko Pasal 21. NIS2 sendiri meminta lebih dari itu, dan tidak ada yang berikut ini dalam ISO 27001:

Tenggat pelaporan insiden (Pasal 23): peringatan dini kepada CSIRT atau otoritas kompeten dalam 24 jam sejak mengetahui insiden signifikan, pemberitahuan dalam 72 jam, dan laporan akhir dalam satu bulan. ISO 27001 mensyaratkan manajemen insiden, bukan pemberitahuan kepada regulator yang diatur waktunya.
Akuntabilitas manajemen (Pasal 20): badan manajemen harus menyetujui langkah-langkah, mengawasinya, dan ikut serta dalam pelatihan, serta dapat dimintai pertanggungjawaban. Klausul 5 ISO hanya meminta komitmen kepemimpinan, yang lebih lemah.
Registrasi pada otoritas nasional Anda, dan pengawasan oleh otoritas tersebut.
Cakupan: sertifikat ISO dapat mencakup sebagian organisasi. NIS2 berlaku bagi entitas.

Beberapa poin Annex juga melampaui kontrol ISO yang dipetakan. Keamanan rantai pasok, penanganan dan pengungkapan kerentanan, serta kriptografi adalah contoh umum: kontrol ISO-nya ada, tetapi NIS2 menguraikan lebih banyak.

Arah sebaliknya: apa yang tidak dicakup NIS2 dari ISO

Dari 123 Kontrol Lampiran A dan klausul SMKI ISO 27001, 104 (85%) dipetakan ke sesuatu dalam NIS2, 13 hanya terkait secara longgar, dan 6 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Persyaratan ISO yang tidak memiliki pemetaan NIS2 adalah mekanika sistem manajemen:

ISO 27001	Persyaratan	Kecocokan	NIS2
Clause 4.3	Determining the scope of the ISMS	Tidak ada pemetaan dalam data kami	—
Clause 5.1	Leadership and commitment	Tidak ada pemetaan dalam data kami	—
Clause 7.5.1	General	Tidak ada pemetaan dalam data kami	—
Clause 7.5.2	Creating and updating	Tidak ada pemetaan dalam data kami	—
Clause 7.5.3	Control of documented information	Tidak ada pemetaan dalam data kami	—
Clause 10.2	Nonconformity and corrective action	Tidak ada pemetaan dalam data kami	—

NIS2 tidak mewajibkan Anda menjalankan sistem manajemen yang dapat disertifikasi, sehingga penetapan ruang lingkup ISMS, kendali dokumen, dan tindakan korektif formal tidak memiliki padanan langsung. Ini berlaku dua arah. Organisasi yang membangun kepatuhan NIS2 dari nol tidak memerlukannya, tetapi ISMS memberi bukti terkuat bahwa langkah Anda efektif, dan Pasal 21(2)(f) memang mensyaratkannya.

Foto papan klip dengan daftar periksa yang sebagian sudah dicentang, diletakkan di atas tumpukan dokumen berjilid di meja rapat — Pemetaan adalah daftar periksa tentang di mana harus mencari, bukan bukti bahwa Anda patuh.

Yang harus dilakukan jika Anda memegang ISO 27001

Pastikan Anda termasuk dalam cakupan berdasarkan hukum nasional setiap negara tempat Anda beroperasi, dan lakukan registrasi bila diwajibkan.
Periksa cakupan sertifikat Anda mencakup seluruh entitas, bukan hanya satu layanan atau lokasi.
Jalankan perbandingan dari Statement of Applicability Anda ke poin Annex di atas; laporan kesenjangan ISO 27001 → NIS2 kami mengekspornya sebagai tracker.
Tambahkan yang tidak dicakup ISO ke ISMS: prosedur pelaporan beserta tenggat 24 dan 72 jam, pelatihan manajemen, dan registrasi. Dengan memasukkannya ke dalam ISMS, audit internal dan audit pengawasan Anda juga akan memeriksanya.
Perdalam kontrol di bagian yang lebih spesifik dalam NIS2, dimulai dari keamanan rantai pasok dan penanganan kerentanan.

Untuk gambaran yang lebih luas, lihat panduan NIS2 kami dan perbandingan lengkap ISO 27001 vs NIS2.

Pertanyaan

Apakah sertifikasi ISO 27001 membuat Anda patuh terhadap NIS2?

Tidak. Sertifikasi mencakup sebagian besar langkah teknis dan organisasi, tetapi NIS2 menambahkan tenggat pelaporan insiden, pelatihan dan akuntabilitas manajemen, registrasi pada otoritas nasional, serta beberapa persyaratan yang lebih spesifik daripada Annex A. Otoritas nasional, bukan lembaga sertifikasi, yang memutuskan kepatuhan.

Apa itu Peraturan Pelaksana NIS2?

Peraturan Pelaksana Komisi (EU) 2024/2690 merinci langkah Pasal 21 NIS2 untuk penyedia DNS, registri TLD, penyedia cloud dan pusat data, penyedia layanan terkelola (keamanan), pasar daring, mesin pencari, jejaring sosial, dan penyedia layanan kepercayaan.

Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.

Apa yang dicakup ISO 27001 dalam NIS2, poin demi poin