Dari ISO 27001 ke NIS2: rencana praktis untuk menutup kesenjangan

Untuk organisasi yang sudah memegang ISO 27001, NIS2 sebagian besar merupakan perluasan. Pemetaan ENISA menghubungkan setiap langkah teknis dalam Implementing Regulation NIS2 dengan ISO 27001, dan analisis poin per poin kami menunjukkan caranya. Namun "dipetakan" tidak sama dengan "selesai", dan bagian yang tidak dicakup ISO justru yang paling dulu diperiksa regulator. Inilah urutan kerja yang akan kami ikuti.

Dari 49 poin persyaratan NIS2, 49 (100%) dipetakan ke sesuatu dalam ISO 27001, 0 hanya terkait secara longgar, dan 0 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Fase 1: konfirmasi dan registrasi (minggu 1 sampai 4)

1. Konfirmasi ruang lingkup dan klasifikasi berdasarkan undang-undang nasional di setiap negara UE tempat Anda memberikan layanan: sektor, ukuran, serta status esensial atau penting.
2. Daftarkan diri ke otoritas yang berwenang jika diwajibkan. Tenggat waktu dan format berbeda di setiap negara.
3. Bandingkan ruang lingkup: sertifikat ISO Anda mungkin hanya mencakup sebagian organisasi, sedangkan NIS2 mencakup entitas secara keseluruhan. Rencanakan perluasan ruang lingkup ISMS.

Fase 2: tata kelola (bulan 1 sampai 2)

1. Berikan pengarahan kepada badan manajemen mengenai tugasnya berdasarkan Pasal 20: menyetujui langkah-langkah, mengawasinya, dan menyelesaikan pelatihan. Catat persetujuan dan pelatihan tersebut.
2. Tambahkan NIS2 ke ISMS: cantumkan dalam daftar persyaratan hukum (A.5.31), masukkan ke dalam penilaian risiko, dan tambahkan referensi NIS2 ke Statement of Applicability.

Fase 3: pelaporan (bulan 1 sampai 3)

1. Bangun prosedur pelaporan insiden signifikan: siapa yang memutuskan signifikansi, siapa yang memberi tahu CSIRT atau otoritas, dan bagaimana Anda memenuhi peringatan awal 24 jam, notifikasi 72 jam, serta laporan akhir satu bulan. Artikel kami tentang cara membangun prosedur tersebut membahasnya langkah demi langkah.
2. Uji prosedur itu, termasuk di luar jam kerja.

Fase 4: memperdalam langkah teknis (bulan 2 sampai 6)

1. Jalankan perbandingan persyaratan demi persyaratan dengan laporan kesenjangan ISO 27001 → NIS2 dan tandai setiap poin sebagai terpenuhi, terpenuhi sebagian, atau tidak terpenuhi.
2. Prioritaskan kesenjangan yang umum: keamanan rantai pasok (kriteria pemasok dan ketentuan kontrak), penanganan kerentanan dan pengungkapan terkoordinasi, kebijakan kriptografi, serta penilaian efektivitas (Pasal 21(2)(f)).
3. Tuliskan detail NIS2 ke dalam kontrol ISO yang sudah ada alih-alih membuat kontrol paralel.

Fase 5: buktikan bahwa langkah-langkah berjalan efektif (berkelanjutan)

1. Sertakan NIS2 dalam audit internal dan tinjauan manajemen.
2. Simpan bukti efektivitas: metrik, hasil pengujian, dan temuan audit, karena pengawas meminta bukti bahwa langkah-langkah berfungsi, bukan sekadar bahwa langkah-langkah itu ada.
3. Pantau panduan nasional: otoritas masih menerbitkan ekspektasi dan templat.

Siapa melakukan apa

Rencana seperti ini membutuhkan lebih dari sekadar manajer ISMS:

• Badan manajemen: menyetujui langkah-langkah, menyelesaikan pelatihan, dan menerima laporan berkala.
• Hukum atau kepatuhan: memastikan ruang lingkup berdasarkan undang-undang nasional, menangani registrasi, dan memantau panduan nasional.
• Operasi keamanan: memiliki prosedur pelaporan, keputusan signifikansi, dan latihan.
• Pengadaan: membawa kriteria seleksi pemasok dan klausul keamanan ke dalam kontrak.
• Rekayasa dan TI: menutup kesenjangan teknis seperti pengungkapan kerentanan, kriptografi, dan metrik efektivitas.
• Manajer ISMS: mengoordinasikan, menjaga pemetaan dan bukti tetap mutakhir, serta menjalankan audit internal.

Menetapkan peran-peran ini sejak awal menghindari kegagalan yang paling umum: program NIS2 yang seluruhnya dijalankan oleh tim keamanan, yang tidak dapat menyetujui langkah-langkahnya sendiri atau menulis ulang kontrak pengadaan.

Poin utama

• Bagi organisasi bersertifikasi ISO, NIS2 merupakan perluasan, bukan program baru.
• Mulailah dengan ruang lingkup, registrasi, tugas manajemen, dan pelaporan.
• Kemudian perdalam rantai pasok, penanganan kerentanan, dan kriptografi.

Jebakan yang harus dihindari

Memperlakukan NIS2 sebagai latihan dokumen. Organisasi bersertifikasi ISO sering sudah memiliki kebijakannya; pengawas akan menanyakan apakah prosedur pelaporan berfungsi pada pukul 2 pagi, apakah manajemen benar-benar sudah dilatih, dan apakah persyaratan pemasok ada dalam kontrak yang nyata. Fokuskan upaya di sana terlebih dahulu.

Lihat panduan NIS2 dan perbandingan ISO 27001 vs NIS2 untuk gambaran lengkap.

Pertanyaan

Berapa lama waktu yang dibutuhkan untuk beralih dari ISO 27001 ke NIS2?

Bergantung pada ruang lingkup dan kesenjangan yang ditemukan. Namun karena sebagian besar langkah teknis sudah terpetakan, pekerjaannya terutama berupa tata kelola, pelaporan, keamanan pemasok, dan pendalaman kontrol tertentu, yang sering kali memakan waktu beberapa bulan, bukan program baru bertahun-tahun.

Apakah saya perlu mengajukan sertifikasi ulang ISO 27001 untuk NIS2?

Tidak. Kepatuhan NIS2 dinilai oleh otoritas nasional Anda, bukan oleh badan sertifikasi. Memasukkan persyaratan NIS2 ke dalam ISMS berarti audit yang sudah ada juga akan memeriksanya.

Apakah pemetaan ENISA bersifat mengikat?

Tidak. Pemetaan ENISA atas Implementing Regulation ke ISO 27001 dan NIST CSF 2.0 bersifat panduan. Otoritas nasional yang memutuskan kepatuhan berdasarkan undang-undang nasional.