ISO 27001 vs NIS2: cosa copre ISO, punto per punto

La mappatura di ENISA collega ogni misura tecnica del Regolamento di esecuzione NIS2 a ISO 27001. Perché allora un certificato ISO non basta? La risposta sta in ciò che la mappatura non copre.

Se possiedi una certificazione ISO 27001 e NIS2 si applica a te, la prima domanda è quanto lavoro sia già stato fatto. La buona notizia è che ENISA, l'agenzia dell'UE per la cybersicurezza, ha già risposto alla maggior parte di essa: la sua guida all'implementazione mappa ogni punto del Regolamento di esecuzione NIS2 alle clausole di ISO 27001 o ai controlli dell'Allegato A.

Ecco come si presenta quella mappatura, requisito per requisito, e le parti di NIS2 che non tocca.

Il dato principale

Dei 49 punti di requisito di NIS2, 49 (100%) corrispondono a qualcosa in ISO 27001, 0 sono solo debolmente correlati e 0 non hanno mappature nei nostri dati. Apri il report sui gap →

Ognuno dei punti di requisito nell'Allegato del Regolamento di esecuzione (UE) 2024/2690 corrisponde a qualcosa in ISO 27001. Questi collegamenti provengono dalla tabella di mappatura di ENISA stessa, non dal nostro giudizio, ed è per questo che sono etichettati come crosswalk.

Ogni punto NIS2 e il suo equivalente ISO

NIS2	Requisito	Corrispondenza	ISO 27001
1.1	Policy on the security of network and information systems	Crosswalk	A.5.1 A.5.37 Clause 5.2 A.5.4
1.2	Roles, responsibilities and authorities	Crosswalk	A.5.2 A.5.4 A.5.3 Clause 5.3
2.1	Risk management framework	Crosswalk	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3 A.5.7
2.2	Compliance monitoring	Crosswalk	A.5.31 Clause 9.1 A.5.36 A.5.35
2.3	Independent review of information and network security	Crosswalk	A.5.31 A.5.36 Clause 9.1 A.5.35
3.1	Incident handling policy	Crosswalk	A.5.24 A.5.25 A.5.26
3.2	Monitoring and logging	Crosswalk	A.5.25 A.8.15 A.8.16 A.8.17
3.3	Event reporting	Crosswalk	A.5.5 A.6.8
3.4	Event assessment and classification	Crosswalk	A.5.25 A.8.16
3.5	Incident response	Crosswalk	A.5.24 A.5.25 A.5.26 A.5.28
3.6	Post-incident reviews	Crosswalk	A.5.27 Clause 10.1
4.1	Business continuity and disaster recovery plan	Crosswalk	A.5.29 A.5.30 A.8.14
4.2	Backup management	Crosswalk	A.5.30 A.8.13 A.8.14
4.3	Crisis management	Crosswalk	A.5.26 A.5.29 A.5.30 A.8.14
5.1	Supply chain security policy	Crosswalk	A.5.19 A.5.20 A.5.21 A.5.22
5.2	Directory of suppliers and service providers	Crosswalk	A.5.19 A.5.20 A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Crosswalk	A.5.19 A.5.20 A.5.21 A.5.22
6.2	Secure development life cycle	Crosswalk	A.8.25 A.8.26 A.8.28 A.8.29
6.3	Configuration management	Crosswalk	A.8.9
6.4	Change management, repairs and maintenance	Crosswalk	A.7.13 A.8.32 Clause 6.3 Clause 8.1
6.5	Security testing	Crosswalk	A.8.8 A.8.29 A.8.33 A.8.34
6.6	Security patch management	Crosswalk	A.8.8 A.8.31 A.8.32
6.7	Network security	Crosswalk	A.8.20 A.8.21 A.8.22 A.8.16
6.8	Network segmentation	Crosswalk	A.5.15 A.8.5 A.8.20 A.8.21
6.9	Protection against malicious and unauthorised software	Crosswalk	A.5.14 A.8.19 A.8.1 A.8.7
6.10	Vulnerability handling and disclosure	Crosswalk	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Crosswalk	Clause 6.1.1 Clause 6.1.3 Clause 6.2 Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	Crosswalk	A.6.3 Clause 7.3 A.8.7
8.2	Security training	Crosswalk	A.6.3 Clause 7.3 Clause 7.2
9.1	Cryptography	Crosswalk	A.8.24 A.5.31
10.1	Human resources security	Crosswalk	A.6.2 A.6.3 Clause 7.1 Clause 7.2
10.2	Verification of Background	Crosswalk	A.6.1 A.6.4 A.8.16
10.3	Termination or change of employment procedures	Crosswalk	A.6.5
10.4	Disciplinary process	Crosswalk	A.6.1 A.6.4 A.8.16 A.5.28
11.1	Access control policy	Crosswalk	A.5.15 A.5.16 A.5.18 A.8.3
11.2	Management of access rights	Crosswalk	A.5.15 A.5.16 A.5.18 A.8.3
11.3	Privileged accounts and system administration accounts	Crosswalk	A.8.2 A.8.18
11.4	Administration systems	Crosswalk	A.8.2 A.8.18
11.5	Identification	Crosswalk	A.5.15 A.5.16 A.5.18 A.8.3
11.6	Authentication	Crosswalk	A.5.15 A.8.5 A.8.22 A.5.17
11.7	Multi-factor authentication	Crosswalk	A.8.5
12.1	Asset classification	Crosswalk	A.5.12 A.5.13 A.5.9
12.2	Handling of assets	Crosswalk	A.5.14 A.8.10 A.8.11 A.5.9
12.3	Removable media policy	Crosswalk	A.5.14 A.8.10 A.8.11 A.8.12
12.4	Asset inventory	Crosswalk	A.5.9 A.5.11 A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	Crosswalk	A.5.11 A.5.18 A.8.24
13.1	Supporting utilities	Crosswalk	A.7.1 A.7.2 A.7.3 A.7.4
13.2	Protection against physical and environmental threats	Crosswalk	A.7.1 A.7.2 A.7.3 A.7.4
13.3	Perimeter and physical access control	Crosswalk	A.7.1 A.7.2 A.7.3 A.7.4

Leggi la tabella come "dove cercare nel tuo ISMS", non come "già fatto". Una mappatura indica che il controllo ISO affronta lo stesso argomento. Se la tua implementazione soddisfi il punto NIS2 dipende da come hai implementato il controllo e dal dettaglio del testo NIS2, che spesso è più specifico dell'Allegato A.

Cosa non ti offre ISO 27001

Il Regolamento di esecuzione copre le misure di gestione del rischio dell'articolo 21. La NIS2 stessa chiede di più, e nulla di questo è in ISO 27001:

Scadenze di notifica degli incidenti (articolo 23): un preavviso di allerta al CSIRT o all'autorità competente entro 24 ore dal momento in cui si viene a conoscenza di un incidente significativo, una notifica entro 72 ore e una relazione finale entro un mese. ISO 27001 richiede la gestione degli incidenti, non la notifica normativa con scadenze precise.
Responsabilità del management (articolo 20): l'organo di gestione deve approvare le misure, supervisionarle e partecipare alla formazione, e può essere ritenuto responsabile. La clausola 5 di ISO chiede l'impegno della leadership, che è più debole.
Registrazione presso l'autorità nazionale competente e vigilanza da parte della stessa.
Ambito: un certificato ISO può coprire una parte di un'organizzazione. NIS2 si applica al soggetto.

Alcuni punti dell'Allegato vanno anche oltre il controllo ISO corrispondente. La sicurezza della catena di fornitura, la gestione e la divulgazione delle vulnerabilità e la crittografia sono esempi comuni: il controllo ISO esiste, ma NIS2 specifica di più.

L'altra direzione: cosa NIS2 lascia fuori da ISO

Dei 123 Controlli dell'Allegato A e clausole dell'ISMS di ISO 27001, 104 (85%) corrispondono a qualcosa in NIS2, 13 sono solo debolmente correlati e 6 non hanno mappature nei nostri dati. Apri il report sui gap →

I requisiti ISO senza una mappatura NIS2 riguardano la meccanica del sistema di gestione:

ISO 27001	Requisito	Corrispondenza	NIS2
Clause 4.3	Determining the scope of the ISMS	Nessuna mappatura nei nostri dati	—
Clause 5.1	Leadership and commitment	Nessuna mappatura nei nostri dati	—
Clause 7.5.1	General	Nessuna mappatura nei nostri dati	—
Clause 7.5.2	Creating and updating	Nessuna mappatura nei nostri dati	—
Clause 7.5.3	Control of documented information	Nessuna mappatura nei nostri dati	—
Clause 10.2	Nonconformity and corrective action	Nessuna mappatura nei nostri dati	—

NIS2 non chiede di gestire un sistema di gestione certificabile, quindi lo scoping dell'ISMS, il controllo documentale e le azioni correttive formali non hanno un equivalente diretto. Questo vale in entrambe le direzioni. Un'organizzazione che costruisce la conformità NIS2 da zero non ne ha bisogno, ma un ISMS fornisce la prova più solida che le misure sono efficaci, cosa che l'articolo 21(2)(f) richiede.

Fotografia di una cartella con una checklist parzialmente spuntata appoggiata su una pila di documenti rilegati su un tavolo da riunione — Una mappatura è una checklist su dove guardare, non una prova di conformità.

Cosa fare se possiedi ISO 27001

Verifica di rientrare nel campo di applicazione ai sensi della legge nazionale di ciascun Paese in cui operi, e registrati dove richiesto.
Controlla che l'ambito del tuo certificato copra l'intero soggetto, non solo un servizio o un sito.
Esegui il confronto dalla tua Dichiarazione di Applicabilità ai punti dell'Allegato sopra indicati; il nostro report di gap ISO 27001 → NIS2 lo esporta come tracker.
Aggiungi ciò che ISO non copre all'ISMS: la procedura di segnalazione con le sue scadenze di 24 e 72 ore, la formazione del management e la registrazione. Inserirli nell'ISMS significa che anche i tuoi audit interni e gli audit di sorveglianza li verificheranno.
Approfondisci i controlli dove NIS2 è più specifica, a partire dalla sicurezza della catena di fornitura e dalla gestione delle vulnerabilità.

Per il quadro generale, consulta la nostra guida NIS2 e il confronto completo ISO 27001 vs NIS2.

Domande

La certificazione ISO 27001 ti rende conforme a NIS2?

No. Copre la maggior parte delle misure tecniche e organizzative, ma NIS2 aggiunge le scadenze di notifica degli incidenti, la formazione e la responsabilità del management, la registrazione presso l'autorità nazionale e alcuni requisiti più specifici rispetto all'Allegato A. A decidere la conformità sono le autorità nazionali, non gli organismi di certificazione.

Cos'è il Regolamento di esecuzione NIS2?

Il Regolamento di esecuzione (UE) 2024/2690 della Commissione definisce in dettaglio le misure dell'articolo 21 della NIS2 per fornitori di servizi DNS, registri TLD, fornitori di cloud e data center, fornitori di servizi gestiti (di sicurezza), mercati online, motori di ricerca, social network e prestatori di servizi fiduciari.

Dati aggiornati al 2026-10-27: i numeri di questo articolo sono calcolati dal crosswalk attuale e si aggiornano quando questo cambia. Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Non è una consulenza di conformità.

Cosa ISO 27001 copre in NIS2, punto per punto