NIS2 vs ISO 27001: apakah ISMS Anda sudah cukup?
ISO/IEC 27001:2022 · NIS2 Implementing Regulation (EU) 2024/2690 · data 2026-10-27
Menurut Paul Gillet · Diperbarui 2026-10-17
NIS2 (Directive (EU) 2022/2555) mewajibkan entitas esensial dan penting di seluruh UE untuk menerapkan langkah manajemen risiko keamanan siber dan melaporkan insiden signifikan. Commission Implementing Regulation (EU) 2024/2690 menjabarkan langkah-langkah tersebut secara rinci untuk penyedia infrastruktur digital dan layanan ICT (DNS, cloud, pusat data, penyedia layanan terkelola dan layanan keamanan terkelola, platform daring, dan lainnya). Panduan implementasi teknis ENISA memetakan setiap persyaratannya ke ISO/IEC 27001:2022.
Pemetaan itulah yang menyebabkan setiap poin NIS2 di bawah ini ditampilkan sebagai tercakup ketika Anda sudah memiliki ISO 27001: ENISA menghubungkan setiap poin dengan klausul ISO tertentu atau kontrol Lampiran A. ISMS ISO 27001 merupakan jalur paling langsung menuju kesiapan teknis NIS2, dan banyak negara anggota memperlakukannya sebagai bukti yang kuat.
Namun, ENISA secara tegas menyatakan bahwa penerapan standar yang dipetakan "tidak otomatis berarti kepatuhan". NIS2 juga membawa kewajiban yang tidak ada dalam ISO, yaitu akuntabilitas dan pelatihan badan manajemen (Article 20), pelaporan insiden kepada CSIRT atau otoritas Anda dalam tenggat waktu tetap (Article 23: peringatan dini 24 jam, notifikasi 72 jam, laporan akhir dalam satu bulan), registrasi pada otoritas nasional Anda, serta rincian transposisi nasional yang berbeda-beda di setiap negara.
Dari NIS2 menuju ISO, pekerjaan yang tersisa adalah sistem manajemen yang dapat disertifikasi: lingkup, kepemimpinan, informasi terdokumentasi, audit internal, dan tinjauan manajemen.
Sekilas
| ISO 27001 | NIS2 | |
|---|---|---|
| Apa itu | Standar sukarela yang dapat disertifikasi | Hukum UE, diterapkan melalui perundang-undangan nasional |
| Siapa yang diatur | Siapa pun yang memilihnya | Entitas esensial dan penting di 18 sektor |
| Pelaporan insiden | Tidak diwajibkan oleh standar | Peringatan dini 24 jam, notifikasi 72 jam, laporan akhir satu bulan |
| Akuntabilitas manajemen | Komitmen kepemimpinan (klausul 5) | Manajemen harus menyetujui, mengawasi, dan dilatih, serta dapat dimintai pertanggungjawaban |
| Penilaian | Audit oleh lembaga sertifikasi | Pengawasan, audit, dan sanksi oleh otoritas nasional |
| Pemetaan resmi | — | ENISA memetakan setiap poin Implementing Regulation ke ISO 27001 |
Yang tidak diberikan ISO 27001
- Tenggat pelaporan: prosedur yang telah diuji untuk menentukan apakah suatu insiden signifikan dan memberi notifikasi dalam 24 dan 72 jam, termasuk di luar jam kerja.
- Pelatihan dan tanggung jawab manajemen: Article 20 mewajibkan badan manajemen untuk dilatih dan menyetujui langkah-langkah tersebut.
- Registrasi pada otoritas nasional Anda.
- Persyaratan teknis spesifik: beberapa poin Implementing Regulation (misalnya tentang kriptografi, penanganan kerentanan, dan keamanan rantai pasok) lebih preskriptif dibandingkan kontrol Lampiran A yang sepadan.
- Lingkup: sertifikat ISO mungkin hanya mencakup sebagian organisasi; NIS2 berlaku untuk entitas.
Menggunakan ISO 27001 sebagai tulang punggung
Jika Anda sudah bersertifikat, lakukan penilaian kesenjangan dari Statement of Applicability terhadap Lampiran Implementing Regulation (atau Article 21 berdasarkan hukum nasional Anda), perluas lingkup ISMS ke seluruh entitas jika diperlukan, dan tambahkan prosedur pelaporan serta pelatihan manajemen ke dalam ISMS agar ikut diaudit bersama hal lainnya. Yang menentukan kepatuhan adalah otoritas, bukan lembaga sertifikasi, tetapi ISMS yang berjalan merupakan bukti kuat bahwa langkah-langkahnya efektif.
Siapa membutuhkan apa
NIS2 wajib bagi entitas esensial dan penting di sektor yang tercantum, umumnya organisasi menengah dan besar yang beroperasi di UE, serta beberapa penyedia kecil seperti penyedia DNS dan penyedia layanan kepercayaan. ISO 27001 bersifat sukarela, tetapi sering disyaratkan oleh pelanggan. Organisasi yang termasuk dalam cakupan NIS2 dan juga menjual ke perusahaan atau mengikuti tender publik biasanya akhirnya memiliki keduanya: NIS2 karena hukum mewajibkannya, dan ISO 27001 karena pelanggan meminta sertifikat.
Biaya dan usaha
Bagi organisasi yang sudah memiliki ISO 27001, sebagian besar biaya NIS2 terletak pada tata kelola dan proses, bukan teknologi: pelatihan dan persetujuan manajemen, prosedur pelaporan insiden signifikan yang telah diuji, persyaratan keamanan pemasok yang dituangkan dalam kontrak, registrasi, dan bukti bahwa langkah-langkah berjalan. Kesenjangan teknis tetap ada tetapi biasanya lebih sempit: pengungkapan kerentanan, aturan kriptografi, dan langkah rantai pasok tertentu. Bagi organisasi yang memulai dari nol, membangun ISMS bergaya ISO sering kali merupakan cara paling efisien untuk memenuhi langkah-langkah Article 21 NIS2, terlepas dari apakah kemudian organisasi tersebut disertifikasi atau tidak.
Jadwal
Organisasi yang sudah bersertifikat ISO umumnya dapat menutup kesenjangan khusus NIS2 dalam tiga hingga enam bulan: registrasi dan pelatihan manajemen terlebih dahulu, prosedur pelaporan dalam kuartal pertama, kemudian keamanan pemasok dan langkah teknis yang lebih spesifik. Rencana ISO 27001 ke NIS2 kami menguraikan urutannya secara rinci. Jika memulai tanpa ISO, rencanakan enam hingga dua belas bulan yang biasanya dibutuhkan untuk ISMS pertama, dengan pelaporan dan tata kelola diprioritaskan karena pengawas memeriksanya terlebih dahulu.
Contoh kasus: penyedia layanan terkelola
Sebuah penyedia layanan terkelola dengan 200 karyawan di UE memegang ISO 27001 untuk layanan hosting dan dukungannya. Sebagai penyedia layanan terkelola, perusahaan ini termasuk dalam cakupan NIS2, dan langkah-langkah rinci dari Implementing Regulation berlaku langsung baginya.
Pemetaan ENISA menunjukkan bahwa setiap poin Implementing Regulation terhubung dengan kontrol ISO yang sudah dijalankan perusahaan. Oleh karena itu, pekerjaan kesenjangannya berfokus pada: memperluas lingkup ISMS dari dua lini layanan ke seluruh entitas; melatih dewan manajemen dan mencatat persetujuannya terhadap langkah-langkah tersebut; membangun prosedur pelaporan insiden signifikan dalam 24 jam dengan cakupan di luar jam kerja; menambahkan persyaratan keamanan dan klausul notifikasi insiden ke dalam kontrak pemasoknya sendiri; serta mempublikasikan kebijakan pengungkapan kerentanan terkoordinasi. Dalam enam bulan, perusahaan dapat menunjukkan kepada otoritas nasionalnya seperangkat langkah yang berjalan dan telah diaudit, dengan ISMS sebagai bukti efektivitas yang diminta oleh Article 21(2)(f).
Kesalahan umum
- Mengira sertifikat sudah menyelesaikan semuanya. Pengawas menilai kepatuhan NIS2; lembaga sertifikasi tidak.
- Membiarkan lingkup terlalu sempit. Lingkup ISO yang hanya mencakup satu lini layanan tidak mencakup kewajiban hukum yang berlaku untuk seluruh entitas.
- Menulis prosedur pelaporan yang belum pernah diuji, terutama di luar jam kerja, ketika tenggat 24 jam paling sulit dipenuhi.
- Mengabaikan hukum nasional. Registrasi, pengawasan, dan beberapa rincian berbeda antarnegara anggota.
- Melatih manajemen sekali lalu melupakannya. Article 20 mengharapkan pelatihan dipelihara, bukan hanya satu sesi.
Poin utama
- ISO 27001 → NIS2: langkah teknis sebagian besar sudah tercakup; tambahkan prosedur pelaporan Article 23, pelatihan manajemen, dan registrasi nasional.
- Periksa transposisi di negara Anda: persyaratan dan praktik pengawasan berbeda di setiap negara anggota.
- Pastikan keamanan rantai pasok (bagian 5 CIR) dibuktikan, bukan hanya tertulis dalam kebijakan.
Miliki ISO 27001 → butuhkan NIS2
49 persyaratan 49 terpetakan · · 0 tanpa pemetaan Buka di tampilan kesenjangan →Dari 49 persyaratan NIS2 Implementing Regulation (EU) 2024/2690, 49 dipetakan ke sesuatu dalam ISO 27001, 0 hanya terkait secara longgar, dan 0 tidak memiliki pemetaan dalam data kami.
NIS2 di sini mengacu pada ketentuan teknis Implementing Regulation (EU) 2024/2690, yang berlaku langsung bagi penyedia infrastruktur digital dan layanan ICT; entitas NIS2 lainnya mengikuti transposisi Pasal 21 di negara masing-masing. Batas waktu pelaporan insiden (Pasal 23) tidak termasuk dalam cakupan. Pemetaan ENISA bersifat tidak mengikat.
Dipetakan (49)
| NIS2 | Persyaratan | Kecocokan | ISO 27001 | Bukti |
|---|---|---|---|---|
| 1. Policy on the security of network and information systems · 2 | ||||
| 1.1 | Policy on the security of network and information systems | Crosswalk | A.5.1A.5.37Clause 5.2+3 | Topik sama: Kebijakan Tata Kelola |
| 1.2 | Roles, responsibilities and authorities | Crosswalk | A.5.2A.5.4A.5.3+1 | Topik sama: Peran & Tanggung Jawab |
| 2. Risk management policy · 3 | ||||
| 2.1 | Risk management framework | Crosswalk | Clause 6.1.1Clause 6.1.2Clause 6.1.3+8 | Topik sama: Manajemen Risiko, Penilaian Risiko |
| 2.2 | Compliance monitoring | Crosswalk | A.5.31Clause 9.1A.5.36+2 | Topik sama: Kepatuhan |
| 2.3 | Independent review of information and network security | Crosswalk | A.5.31A.5.36Clause 9.1+4 | Topik sama: Kepatuhan (pilihan editor) |
| 3. Incident handling · 6 | ||||
| 3.1 | Incident handling policy | Crosswalk | A.5.24A.5.25A.5.26 | Topik sama: Respons Insiden |
| 3.2 | Monitoring and logging | Crosswalk | A.5.25A.8.15A.8.16+2 | Topik sama: SIEM / SOC, Pencatatan & Audit, Pemantauan Berkelanjutan, Deteksi Intrusi |
| 3.3 | Event reporting | Crosswalk | A.5.5A.6.8 | Topik sama: Pelaporan |
| 3.4 | Event assessment and classification | Crosswalk | A.5.25A.8.16 | Topik sama: SIEM / SOC, Deteksi Anomali |
| 3.5 | Incident response | Crosswalk | A.5.24A.5.25A.5.26+1 | Topik sama: Respons Insiden, Mitigasi |
| 3.6 | Post-incident reviews | Crosswalk | A.5.27Clause 10.1 | Topik sama: Pelajaran yang Dipetik |
| 4. Business continuity and crisis management · 3 | ||||
| 4.1 | Business continuity and disaster recovery plan | Crosswalk | A.5.29A.5.30A.8.14 | Topik sama: Perencanaan Pemulihan, Kelangsungan Usaha, Pemulihan Bencana |
| 4.2 | Backup management | Crosswalk | A.5.30A.8.13A.8.14 | Topik sama: Pemulihan Bencana, Cadangan & Pemulihan |
| 4.3 | Crisis management | Crosswalk | A.5.26A.5.29A.5.30+3 | Topik sama: Komunikasi & Pemulihan, Kelangsungan Usaha |
| 5. Supply chain security · 2 | ||||
| 5.1 | Supply chain security policy | Crosswalk | A.5.19A.5.20A.5.21+2 | Topik sama: Risiko Rantai Pasok, Manajemen Risiko Vendor |
| 5.2 | Directory of suppliers and service providers | Crosswalk | A.5.19A.5.20A.5.22 | Topik sama: Manajemen Risiko Vendor |
| 6. Security in acquisition, development and maintenance · 10 | ||||
| 6.1 | Security in acquisition of ICT services, ICT systems or ICT products | Crosswalk | A.5.19A.5.20A.5.21+2 | Topik sama: Risiko Rantai Pasok, Manajemen Risiko Vendor |
| 6.2 | Secure development life cycle | Crosswalk | A.8.25A.8.26A.8.28+2 | Topik sama: Pengembangan Aman |
| 6.3 | Configuration management | Crosswalk | A.8.9 | Topik sama: Konfigurasi Aman |
| 6.4 | Change management, repairs and maintenance | Crosswalk | A.7.13A.8.32Clause 6.3+1 | ENISA NIS2 → ISO 27001 mapping |
| 6.5 | Security testing | Crosswalk | A.8.8A.8.29A.8.33+1 | Topik sama: Manajemen Kerentanan |
| 6.6 | Security patch management | Crosswalk | A.8.8A.8.31A.8.32 | Topik sama: Manajemen Patch |
| 6.7 | Network security | Crosswalk | A.8.20A.8.21A.8.22+1 | Topik sama: Firewall / Segmentasi Jaringan |
| 6.8 | Network segmentation | Crosswalk | A.5.15A.8.5A.8.20+2 | Topik sama: Zero Trust, Firewall / Segmentasi Jaringan |
| 6.9 | Protection against malicious and unauthorised software | Crosswalk | A.5.14A.8.19A.8.1+2 | Topik sama: Keamanan Email, Perlindungan Endpoint |
| 6.10 | Vulnerability handling and disclosure | Crosswalk | A.8.8 | Topik sama: Manajemen Kerentanan |
| 7. Assessing the effectiveness of cybersecurity risk-management measures · 1 | ||||
| 7.1 | Policies and procedures to assess the effectiveness of cybersecurity risk-management measures | Crosswalk | Clause 6.1.1Clause 6.1.3Clause 6.2+2 | Topik sama: Manajemen Risiko |
| 8. Basic cyber hygiene practices and security training · 2 | ||||
| 8.1 | Awareness raising and basic cyber hygiene practices | Crosswalk | A.6.3Clause 7.3A.8.7 | Topik sama: Kesadaran & Pelatihan |
| 8.2 | Security training | Crosswalk | A.6.3Clause 7.3Clause 7.2 | Topik sama: Kesadaran & Pelatihan |
| 9. Cryptography · 1 | ||||
| 9.1 | Cryptography | Crosswalk | A.8.24A.5.31 | Topik sama: Enkripsi |
| 10. Human resources security · 4 | ||||
| 10.1 | Human resources security | Crosswalk | A.6.2A.6.3Clause 7.1+1 | ENISA NIS2 → ISO 27001 mapping |
| 10.2 | Verification of Background | Crosswalk | A.6.1A.6.4A.8.16 | Topik sama: Ancaman Orang Dalam |
| 10.3 | Termination or change of employment procedures | Crosswalk | A.6.5 | ENISA NIS2 → ISO 27001 mapping |
| 10.4 | Disciplinary process | Crosswalk | A.6.1A.6.4A.8.16+1 | Topik sama: Ancaman Orang Dalam |
| 11. Access control · 7 | ||||
| 11.1 | Access control policy | Crosswalk | A.5.15A.5.16A.5.18+5 | Topik sama: Kontrol Akses, Zero Trust |
| 11.2 | Management of access rights | Crosswalk | A.5.15A.5.16A.5.18+2 | Topik sama: Kontrol Akses |
| 11.3 | Privileged accounts and system administration accounts | Crosswalk | A.8.2A.8.18 | Topik sama: Akses Istimewa |
| 11.4 | Administration systems | Crosswalk | A.8.2A.8.18 | Topik sama: Akses Istimewa |
| 11.5 | Identification | Crosswalk | A.5.15A.5.16A.5.18+1 | Topik sama: Kontrol Akses |
| 11.6 | Authentication | Crosswalk | A.5.15A.8.5A.8.22+1 | Topik sama: Zero Trust, Autentikasi Multi-Faktor |
| 11.7 | Multi-factor authentication | Crosswalk | A.8.5 | Topik sama: Autentikasi Multi-Faktor |
| 12. Asset management · 5 | ||||
| 12.1 | Asset classification | Crosswalk | A.5.12A.5.13A.5.9 | Topik sama: Klasifikasi Data |
| 12.2 | Handling of assets | Crosswalk | A.5.14A.8.10A.8.11+3 | Topik sama: Perlindungan Data |
| 12.3 | Removable media policy | Crosswalk | A.5.14A.8.10A.8.11+3 | Topik sama: Perlindungan Data |
| 12.4 | Asset inventory | Crosswalk | A.5.9A.5.11A.7.14 | Topik sama: Manajemen Aset |
| 12.5 | Deposit, return or deletion of assets upon termination of employment | Crosswalk | A.5.11A.5.18A.8.24 | ENISA NIS2 → ISO 27001 mapping |
| 13. Environmental and physical security · 3 | ||||
| 13.1 | Supporting utilities | Crosswalk | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik |
| 13.2 | Protection against physical and environmental threats | Crosswalk | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik |
| 13.3 | Perimeter and physical access control | Crosswalk | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik |
Miliki NIS2 → butuhkan ISO 27001
123 persyaratan 104 terpetakan · · 6 tanpa pemetaan Buka di tampilan kesenjangan →Dari 123 persyaratan ISO/IEC 27001:2022, 104 dipetakan ke sesuatu dalam NIS2, 13 hanya terkait secara longgar, dan 6 tidak memiliki pemetaan dalam data kami.
Kemungkinan pekerjaan baru: persyaratan ISO 27001 tanpa pemetaan ke NIS2 (6)
| ISO 27001 | Persyaratan | Kecocokan | NIS2 | Bukti |
|---|---|---|---|---|
| ISMS clauses 4–10 · 6 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIS2 dalam data kami. |
| Clause 5.1 | Leadership and commitment | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIS2 dalam data kami. |
| Clause 7.5.1 | General | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIS2 dalam data kami. |
| Clause 7.5.2 | Creating and updating | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIS2 dalam data kami. |
| Clause 7.5.3 | Control of documented information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIS2 dalam data kami. |
| Clause 10.2 | Nonconformity and corrective action | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIS2 dalam data kami. |
Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (13)
| ISO 27001 | Persyaratan | Kecocokan | NIS2 | Bukti |
|---|---|---|---|---|
| A.5 Organizational controls · 3 | ||||
| A.5.8 | Information security in project management | 5.15.26.2+2 | Hanya berbagi CSF GV.OC-05, ID.AM-08: terkait, bukan pemetaan | |
| A.5.33 | Protection of records | 9.112.3 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.5.34 | Privacy and protection of PII | 1.16.1 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| A.6 People controls · 2 | ||||
| A.6.6 | Confidentiality or non-disclosure agreements | 2.110.110.2+1 | Hanya berbagi CSF GV.RR-03, GV.RR-04: terkait, bukan pemetaan | |
| A.6.7 | Remote working | 1.110.110.2+5 | Hanya berbagi CSF GV.PO-01, GV.RR-04: terkait, bukan pemetaan | |
| A.7 Physical controls · 1 | ||||
| A.7.9 | Security of assets off-premises | 9.112.3 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.8 Technological controls · 4 | ||||
| A.8.4 | Access to source code | 9.111.111.2+4 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.AA-05: terkait, bukan pemetaan | |
| A.8.6 | Capacity management | 6.66.9 | Hanya berbagi CSF DE.CM-09: terkait, bukan pemetaan | |
| A.8.23 | Web filtering | 6.76.8 | Hanya berbagi CSF PR.IR-01: terkait, bukan pemetaan | |
| A.8.27 | Secure system architecture and engineering principles | 4.3 | Hanya berbagi CSF PR.IR-03: terkait, bukan pemetaan | |
| ISMS clauses 4–10 · 3 | ||||
| Clause 4.1 | Understanding the organization and its context | 1.1 | Hanya berbagi CSF GV.OC-02: terkait, bukan pemetaan | |
| Clause 4.2 | Understanding the needs and expectations of interested parties | 5.11.19.1+5 | Hanya berbagi CSF GV.OC-03, GV.SC-05, GV.SC-06, GV.OC-02…: terkait, bukan pemetaan | |
| Clause 4.4 | Information security management system | 1.1 | Hanya berbagi CSF GV.OC-02: terkait, bukan pemetaan | |
Dipetakan (104)
| ISO 27001 | Persyaratan | Kecocokan | NIS2 | Bukti |
|---|---|---|---|---|
| A.5 Organizational controls · 34 | ||||
| A.5.1 | Policies for information security | Crosswalk | 1.1 | Topik sama: Kebijakan Tata Kelola |
| A.5.2 | Information security roles and responsibilities | Crosswalk | 1.2 | Topik sama: Peran & Tanggung Jawab |
| A.5.3 | Segregation of duties | Crosswalk | 1.211.2 | ENISA NIS2 → ISO 27001 mapping |
| A.5.4 | Management responsibilities | Crosswalk | 1.21.1 | Topik sama: Peran & Tanggung Jawab |
| A.5.5 | Contact with authorities | Crosswalk | 3.3 | Topik sama: Pelaporan |
| A.5.6 | Contact with special interest groups | Editorial | 4.3 | Topik sama: Komunikasi (pilihan editor) |
| A.5.7 | Threat intelligence | Crosswalk | 2.1 | ENISA NIS2 → ISO 27001 mapping |
| A.5.9 | Inventory of information and other associated assets | Crosswalk | 12.412.112.2 | Topik sama: Manajemen Aset |
| A.5.10 | Acceptable use of information and other associated assets | Crosswalk | 12.2 | ENISA NIS2 → ISO 27001 mapping |
| A.5.11 | Return of assets | Crosswalk | 12.412.5 | Topik sama: Manajemen Aset |
| A.5.12 | Classification of information | Crosswalk | 12.1 | Topik sama: Klasifikasi Data |
| A.5.13 | Labelling of information | Crosswalk | 12.1 | Topik sama: Klasifikasi Data |
| A.5.14 | Information transfer | Crosswalk | 6.912.212.3 | Topik sama: Keamanan Email, Perlindungan Data |
| A.5.15 | Access control | Crosswalk | 6.811.111.2+2 | Topik sama: Zero Trust, Kontrol Akses |
| A.5.16 | Identity management | Crosswalk | 11.111.211.5 | Topik sama: Kontrol Akses |
| A.5.17 | Authentication information | Crosswalk | 11.6 | ENISA NIS2 → ISO 27001 mapping |
| A.5.18 | Access rights | Crosswalk | 11.111.211.5+1 | Topik sama: Kontrol Akses |
| A.5.19 | Information security in supplier relationships | Crosswalk | 5.15.26.1+1 | Topik sama: Risiko Rantai Pasok, Manajemen Risiko Vendor |
| A.5.20 | Addressing information security within supplier agreements | Crosswalk | 5.15.26.1+1 | Topik sama: Manajemen Risiko Vendor |
| A.5.21 | Managing information security in the ICT supply chain | Crosswalk | 5.16.12.1 | Topik sama: Risiko Rantai Pasok |
| A.5.22 | Monitoring, review and change management of supplier services | Crosswalk | 5.15.26.1 | Topik sama: Manajemen Risiko Vendor |
| A.5.23 | Information security for use of cloud services | Crosswalk | 6.1 | Topik sama: Keamanan Cloud |
| A.5.24 | Information security incident management planning and preparation | Crosswalk | 3.13.5 | Topik sama: Respons Insiden |
| A.5.25 | Assessment and decision on information security events | Crosswalk | 3.13.23.4+1 | Topik sama: Respons Insiden, SIEM / SOC |
| A.5.26 | Response to information security incidents | Crosswalk | 3.13.54.3 | Topik sama: Respons Insiden, Mitigasi, Komunikasi & Pemulihan |
| A.5.27 | Learning from information security incidents | Crosswalk | 3.6 | Topik sama: Pelajaran yang Dipetik |
| A.5.28 | Collection of evidence | Crosswalk | 3.53.210.4 | Topik sama: Forensik |
| A.5.29 | Information security during disruption | Crosswalk | 4.14.3 | Topik sama: Perencanaan Pemulihan, Kelangsungan Usaha |
| A.5.30 | ICT readiness for business continuity | Crosswalk | 4.14.24.3 | Topik sama: Perencanaan Pemulihan, Kelangsungan Usaha, Pemulihan Bencana |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Crosswalk | 2.22.39.1 | Topik sama: Kepatuhan |
| A.5.32 | Intellectual property rights | Crosswalk | 6.9 | ENISA NIS2 → ISO 27001 mapping |
| A.5.35 | Independent review of information security | Crosswalk | 2.22.3 | ENISA NIS2 → ISO 27001 mapping |
| A.5.36 | Compliance with policies, rules and standards for information security | Crosswalk | 2.22.31.1 | Topik sama: Kepatuhan (pilihan editor) |
| A.5.37 | Documented operating procedures | Crosswalk | 1.1 | Topik sama: Kebijakan Tata Kelola |
| A.6 People controls · 6 | ||||
| A.6.1 | Screening | Crosswalk | 10.210.4 | Topik sama: Ancaman Orang Dalam |
| A.6.2 | Terms and conditions of employment | Crosswalk | 10.1 | ENISA NIS2 → ISO 27001 mapping |
| A.6.3 | Information security awareness, education and training | Crosswalk | 8.18.210.1 | Topik sama: Kesadaran & Pelatihan |
| A.6.4 | Disciplinary process | Crosswalk | 10.210.4 | Topik sama: Ancaman Orang Dalam |
| A.6.5 | Responsibilities after termination or change of employment | Crosswalk | 10.3 | ENISA NIS2 → ISO 27001 mapping |
| A.6.8 | Information security event reporting | Crosswalk | 3.3 | Topik sama: Pelaporan |
| A.7 Physical controls · 13 | ||||
| A.7.1 | Physical security perimeters | Crosswalk | 13.113.213.3 | Topik sama: Keamanan Fisik |
| A.7.2 | Physical entry | Crosswalk | 13.113.213.3+1 | Topik sama: Keamanan Fisik |
| A.7.3 | Securing offices, rooms and facilities | Crosswalk | 13.113.213.3 | Topik sama: Keamanan Fisik |
| A.7.4 | Physical security monitoring | Crosswalk | 13.113.213.3 | Topik sama: Keamanan Fisik |
| A.7.5 | Protecting against physical and environmental threats | Crosswalk | 13.113.213.3 | Topik sama: Keamanan Fisik |
| A.7.6 | Working in secure areas | Crosswalk | 13.113.213.3 | Topik sama: Keamanan Fisik |
| A.7.7 | Clear desk and clear screen | Crosswalk | 12.3 | ENISA NIS2 → ISO 27001 mapping |
| A.7.8 | Equipment siting and protection | Crosswalk | 13.113.213.3 | Topik sama: Keamanan Fisik |
| A.7.10 | Storage media | Crosswalk | 12.212.3 | ENISA NIS2 → ISO 27001 mapping |
| A.7.11 | Supporting utilities | Crosswalk | 13.113.213.3 | Topik sama: Keamanan Fisik |
| A.7.12 | Cabling security | Crosswalk | 13.113.213.3 | Topik sama: Keamanan Fisik |
| A.7.13 | Equipment maintenance | Crosswalk | 6.4 | ENISA NIS2 → ISO 27001 mapping |
| A.7.14 | Secure disposal or re-use of equipment | Crosswalk | 12.4 | Topik sama: Manajemen Aset |
| A.8 Technological controls · 30 | ||||
| A.8.1 | User endpoint devices | Editorial | 6.9 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| A.8.2 | Privileged access rights | Crosswalk | 11.311.4 | Topik sama: Akses Istimewa |
| A.8.3 | Information access restriction | Crosswalk | 11.111.211.5 | Topik sama: Kontrol Akses |
| A.8.5 | Secure authentication | Crosswalk | 6.811.111.6+1 | Topik sama: Zero Trust, Autentikasi Multi-Faktor |
| A.8.7 | Protection against malware | Crosswalk | 6.98.1 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| A.8.8 | Management of technical vulnerabilities | Crosswalk | 6.56.66.10 | Topik sama: Manajemen Kerentanan, Manajemen Patch |
| A.8.9 | Configuration management | Crosswalk | 6.3 | Topik sama: Konfigurasi Aman |
| A.8.10 | Information deletion | Crosswalk | 12.212.3 | Topik sama: Perlindungan Data |
| A.8.11 | Data masking | Crosswalk | 12.212.3 | Topik sama: Perlindungan Data |
| A.8.12 | Data leakage prevention | Crosswalk | 12.3 | Topik sama: DLP |
| A.8.13 | Information backup | Crosswalk | 4.2 | Topik sama: Cadangan & Pemulihan |
| A.8.14 | Redundancy of information processing facilities | Crosswalk | 4.14.24.3 | Topik sama: Kelangsungan Usaha, Pemulihan Bencana |
| A.8.15 | Logging | Crosswalk | 3.2 | Topik sama: Pencatatan & Audit |
| A.8.16 | Monitoring activities | Crosswalk | 3.23.410.2+2 | Topik sama: Pemantauan Berkelanjutan, Deteksi Intrusi, SIEM / SOC, Deteksi Anomali, Ancaman Orang Dalam |
| A.8.17 | Clock synchronization | Crosswalk | 3.2 | Topik sama: Pencatatan & Audit |
| A.8.18 | Use of privileged utility programs | Crosswalk | 11.311.4 | Topik sama: Akses Istimewa |
| A.8.19 | Installation of software on operational systems | Crosswalk | 6.9 | Topik sama: Perlindungan Endpoint |
| A.8.20 | Networks security | Crosswalk | 6.76.8 | Topik sama: Firewall / Segmentasi Jaringan |
| A.8.21 | Security of network services | Crosswalk | 6.76.811.1 | Topik sama: Firewall / Segmentasi Jaringan |
| A.8.22 | Segregation of networks | Crosswalk | 6.76.811.1+1 | Topik sama: Firewall / Segmentasi Jaringan, Zero Trust |
| A.8.24 | Use of cryptography | Crosswalk | 9.112.5 | Topik sama: Enkripsi |
| A.8.25 | Secure development life cycle | Crosswalk | 6.2 | Topik sama: Pengembangan Aman |
| A.8.26 | Application security requirements | Crosswalk | 6.2 | Topik sama: Pengembangan Aman |
| A.8.28 | Secure coding | Crosswalk | 6.2 | Topik sama: Pengembangan Aman |
| A.8.29 | Security testing in development and acceptance | Crosswalk | 6.26.5 | Topik sama: Pengembangan Aman |
| A.8.30 | Outsourced development | Crosswalk | 5.1 | ENISA NIS2 → ISO 27001 mapping |
| A.8.31 | Separation of development, test and production environments | Crosswalk | 6.26.6 | ENISA NIS2 → ISO 27001 mapping |
| A.8.32 | Change management | Crosswalk | 6.46.6 | ENISA NIS2 → ISO 27001 mapping |
| A.8.33 | Test information | Crosswalk | 6.5 | ENISA NIS2 → ISO 27001 mapping |
| A.8.34 | Protection of information systems during audit testing | Crosswalk | 2.36.5 | ENISA NIS2 → ISO 27001 mapping |
| ISMS clauses 4–10 · 21 | ||||
| Clause 5.2 | Policy | Crosswalk | 1.1 | Topik sama: Kebijakan Tata Kelola |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Crosswalk | 1.2 | ENISA NIS2 → ISO 27001 mapping |
| Clause 6.1.1 | General | Crosswalk | 2.17.1 | Topik sama: Manajemen Risiko |
| Clause 6.1.2 | Information security risk assessment | Crosswalk | 2.1 | Topik sama: Penilaian Risiko |
| Clause 6.1.3 | Information security risk treatment | Crosswalk | 2.17.1 | Topik sama: Manajemen Risiko, Penilaian Risiko |
| Clause 6.2 | Information security objectives and planning to achieve them | Crosswalk | 2.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 6.3 | Planning of changes | Crosswalk | 6.4 | ENISA NIS2 → ISO 27001 mapping |
| Clause 7.1 | Resources | Crosswalk | 10.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 7.2 | Competence | Crosswalk | 8.210.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 7.3 | Awareness | Crosswalk | 8.18.2 | Topik sama: Kesadaran & Pelatihan |
| Clause 7.4 | Communication | Crosswalk | 4.3 | Topik sama: Komunikasi, Komunikasi & Pemulihan |
| Clause 8.1 | Operational planning and control | Crosswalk | 6.4 | ENISA NIS2 → ISO 27001 mapping |
| Clause 8.2 | Information security risk assessment | Crosswalk | 2.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 8.3 | Information security risk treatment | Crosswalk | 2.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Crosswalk | 2.22.37.1 | Topik sama: Kepatuhan |
| Clause 9.2.1 | General | Crosswalk | 2.22.3 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.2.2 | Internal audit programme | Crosswalk | 2.22.3 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.3.1 | General | Crosswalk | 1.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.3.2 | Management review inputs | Crosswalk | 1.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.3.3 | Management review results | Crosswalk | 1.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 10.1 | Continual improvement | Crosswalk | 3.62.3 | Topik sama: Pelajaran yang Dipetik (pilihan editor) |
Menurut topik
Keduanya mencakup (43):
Hanya ISO 27001 (7):
Pertanyaan
Apakah sertifikasi ISO 27001 memenuhi NIS2?
Tidak dengan sendirinya. Sertifikasi mencakup sebagian besar langkah teknis dan organisasi, tetapi tidak mencakup tenggat pelaporan, pelatihan manajemen, registrasi, atau setiap persyaratan teknis spesifik.
Apakah NIS2 akan mewajibkan sertifikasi ISO 27001?
NIS2 memungkinkan negara anggota mewajibkan skema sertifikasi untuk layanan tertentu, tetapi secara umum tidak mewajibkan ISO 27001. Periksa hukum nasional Anda.
Apakah regulator NIS2 menerima sertifikat ISO 27001?
Otoritas dapat mempertimbangkan sertifikasi sebagai bukti, dan beberapa hukum nasional merujuknya, tetapi mereka menilai kepatuhan terhadap NIS2 itu sendiri. Sertifikat tidak mencakup kewajiban pelaporan, tata kelola, dan registrasi.
Apakah NIS2 lebih ketat daripada ISO 27001?
Pada beberapa aspek, ya. NIS2 menambahkan kewajiban hukum yang tidak ada dalam ISO (tenggat pelaporan, tanggung jawab manajemen, pengawasan dengan denda), dan Implementing Regulation lebih preskriptif pada beberapa poin teknis. ISO 27001 mewajibkan sistem manajemen yang lengkap, yang tidak diwajibkan oleh NIS2.
Apakah NIS2 berlaku untuk perusahaan di luar UE?
Bisa. Sejumlah penyedia digital yang menawarkan layanan di UE tanpa berkedudukan di sana wajib menunjuk perwakilan di salah satu negara anggota dan mematuhi ketentuan.
Berapa sanksi di bawah NIS2?
Negara anggota harus memungkinkan denda minimal €10 juta atau 2% dari omzet tahunan global untuk entitas esensial, dan €7 juta atau 1,4% untuk entitas penting, mana yang lebih tinggi.
Apakah perusahaan tanpa ISO 27001 sebaiknya disertifikasi untuk NIS2?
Sertifikasi tidak diwajibkan, tetapi ISMS merupakan cara yang efisien untuk menerapkan dan membuktikan langkah-langkah NIS2. Banyak organisasi membangun ISMS untuk NIS2 dan memutuskan sertifikasi secara terpisah.
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Dipetakan = dikurasi bersama dalam topik ControlMapping, atau ditautkan langsung. Crosswalk tidak membuktikan kepatuhan. Metodologi · Unduh data · Laporkan kesalahan.