ISO 27001がNIS2のどこをカバーするか、項目別に解説

ISO 27001認証をお持ちで、NIS2が自社に適用される場合、最初の問いは、どれだけの作業がすでに完了しているかです。朗報として、EUのサイバーセキュリティ機関であるENISAが、その大部分への答えを出しています。ENISAの実装ガイダンスは、NIS2実施規則のすべての項目を、ISO 27001の条項または附属書Aの管理策に対応付けています。

このマッピングを要件ごとに示し、NIS2のうち触れていない部分も併せて説明します。

最も重要な数字

NIS2 の 49 件の要件ポイントのうち、49 件（100%）は ISO 27001 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、0 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

実施規則（EU）2024/2690の附属書にあるすべての要件項目は、ISO 27001の何らかの項目に対応しています。これらの関連付けは当サイトの判断ではなく、ENISA自身のマッピング表に基づくものです。そのため「対応表」と表示しています。

NIS2の各項目と対応するISO項目

NIS2	要件	一致	ISO 27001
1.1	Policy on the security of network and information systems	対応表	A.5.1A.5.37Clause 5.2A.5.4
1.2	Roles, responsibilities and authorities	対応表	A.5.2A.5.4A.5.3Clause 5.3
2.1	Risk management framework	対応表	Clause 6.1.1Clause 6.1.2Clause 6.1.3A.5.7
2.2	Compliance monitoring	対応表	A.5.31Clause 9.1A.5.36A.5.35
2.3	Independent review of information and network security	対応表	A.5.31A.5.36Clause 9.1A.5.35
3.1	Incident handling policy	対応表	A.5.24A.5.25A.5.26
3.2	Monitoring and logging	対応表	A.5.25A.8.15A.8.16A.8.17
3.3	Event reporting	対応表	A.5.5A.6.8
3.4	Event assessment and classification	対応表	A.5.25A.8.16
3.5	Incident response	対応表	A.5.24A.5.25A.5.26A.5.28
3.6	Post-incident reviews	対応表	A.5.27Clause 10.1
4.1	Business continuity and disaster recovery plan	対応表	A.5.29A.5.30A.8.14
4.2	Backup management	対応表	A.5.30A.8.13A.8.14
4.3	Crisis management	対応表	A.5.26A.5.29A.5.30A.8.14
5.1	Supply chain security policy	対応表	A.5.19A.5.20A.5.21A.5.22
5.2	Directory of suppliers and service providers	対応表	A.5.19A.5.20A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	対応表	A.5.19A.5.20A.5.21A.5.22
6.2	Secure development life cycle	対応表	A.8.25A.8.26A.8.28A.8.29
6.3	Configuration management	対応表	A.8.9
6.4	Change management, repairs and maintenance	対応表	A.7.13A.8.32Clause 6.3Clause 8.1
6.5	Security testing	対応表	A.8.8A.8.29A.8.33A.8.34
6.6	Security patch management	対応表	A.8.8A.8.31A.8.32
6.7	Network security	対応表	A.8.20A.8.21A.8.22A.8.16
6.8	Network segmentation	対応表	A.5.15A.8.5A.8.20A.8.21
6.9	Protection against malicious and unauthorised software	対応表	A.5.14A.8.19A.8.1A.8.7
6.10	Vulnerability handling and disclosure	対応表	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	対応表	Clause 6.1.1Clause 6.1.3Clause 6.2Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	対応表	A.6.3Clause 7.3A.8.7
8.2	Security training	対応表	A.6.3Clause 7.3Clause 7.2
9.1	Cryptography	対応表	A.8.24A.5.31
10.1	Human resources security	対応表	A.6.2A.6.3Clause 7.1Clause 7.2
10.2	Verification of Background	対応表	A.6.1A.6.4A.8.16
10.3	Termination or change of employment procedures	対応表	A.6.5
10.4	Disciplinary process	対応表	A.6.1A.6.4A.8.16A.5.28
11.1	Access control policy	対応表	A.5.15A.5.16A.5.18A.8.3
11.2	Management of access rights	対応表	A.5.15A.5.16A.5.18A.8.3
11.3	Privileged accounts and system administration accounts	対応表	A.8.2A.8.18
11.4	Administration systems	対応表	A.8.2A.8.18
11.5	Identification	対応表	A.5.15A.5.16A.5.18A.8.3
11.6	Authentication	対応表	A.5.15A.8.5A.8.22A.5.17
11.7	Multi-factor authentication	対応表	A.8.5
12.1	Asset classification	対応表	A.5.12A.5.13A.5.9
12.2	Handling of assets	対応表	A.5.14A.8.10A.8.11A.5.9
12.3	Removable media policy	対応表	A.5.14A.8.10A.8.11A.8.12
12.4	Asset inventory	対応表	A.5.9A.5.11A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	対応表	A.5.11A.5.18A.8.24
13.1	Supporting utilities	対応表	A.7.1A.7.2A.7.3A.7.4
13.2	Protection against physical and environmental threats	対応表	A.7.1A.7.2A.7.3A.7.4
13.3	Perimeter and physical access control	対応表	A.7.1A.7.2A.7.3A.7.4

この表は「準備済みであることの確認」ではなく、「ISMSのどこを見ればよいか」を示すものとして読んでください。マッピングは、ISO管理策が同じテーマを扱っていることを示すだけです。NIS2の項目を満たしているかどうかは、管理策をどのように実装したか、そしてNIS2の条文の詳細によって決まります。NIS2の条文は、附属書Aよりも具体的であることが少なくありません。

ISO 27001では得られないもの

実施規則は、第21条のリスクマネジメント対策を扱っています。NIS2本体はそれ以上を求めており、その内容はISO 27001には含まれていません。

• インシデント報告期限（第23条）：重大インシデントを認識してから24時間以内にCSIRTまたは所管当局へ早期警告を行い、72時間以内に通知し、1か月以内に最終報告を提出すること。ISO 27001が求めるのはインシデント管理であり、期限を定めた規制当局への通知ではありません。
• 経営陣の責任（第20条）：経営機関はリスク管理対策を承認し、その実施を監督し、研修に参加しなければならず、責任を問われる可能性があります。ISOの箇条5が求めるのはリーダーシップのコミットメントであり、これより要求の度合いは弱いものです。
• 国内当局への登録、およびその当局による監督。
• 適用範囲：ISO認証は組織の一部だけを対象とすることができます。NIS2は事業体全体に適用されます。

附属書の一部の項目は、対応するISO管理策より踏み込んだ内容を求めています。サプライチェーンセキュリティ、脆弱性の取り扱いと開示、暗号技術はその典型例です。ISOに対応する管理策は存在しますが、NIS2はより多くのことを明示しています。

逆方向：NIS2がISOからカバーしないもの

ISO 27001 の 123 件の附属書A の管理策およびISMSの箇条のうち、104 件（85%）は NIS2 の何らかの項目にマッピングされ、13 件は緩やかに関連するのみで、6 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

NIS2に対応するマッピングがないISO要件は、マネジメントシステムの運用に関するものです。

ISO 27001	要件	一致	NIS2
Clause 4.3	Determining the scope of the ISMS	当サイトのデータにはマッピングがありません	—
Clause 5.1	Leadership and commitment	当サイトのデータにはマッピングがありません	—
Clause 7.5.1	General	当サイトのデータにはマッピングがありません	—
Clause 7.5.2	Creating and updating	当サイトのデータにはマッピングがありません	—
Clause 7.5.3	Control of documented information	当サイトのデータにはマッピングがありません	—
Clause 10.2	Nonconformity and corrective action	当サイトのデータにはマッピングがありません	—

NIS2は認証可能なマネジメントシステムの運用を求めていないため、ISMSの適用範囲の定義、文書管理、正式な是正処置には直接の対応項目がありません。これは両方向に作用します。NIS2対応をゼロから構築する組織にはこれらは不要ですが、ISMSは対策が有効であることを示す最も強力な証拠となり、第21条第2項(f)もそれを求めています。

ISO 27001を取得している場合の対応

1. 適用対象であることを確認する：事業を行う各国の国内法に基づき確認し、必要な場合は登録してください。
2. 認証の適用範囲が事業体全体を対象としているか確認する：単一のサービスや拠点だけを対象としていないか確かめてください。
3. 適用宣言書（Statement of Applicability）から上記の附属書項目へ比較を実施する：当サイトのISO 27001 → NIS2 ギャップ分析レポートでは、その結果をトラッカーとして出力できます。
4. ISOがカバーしない項目をISMSに追加する：24時間・72時間の期限を含む報告手順、経営陣の研修、登録を追加してください。ISMS内に組み込むことで、内部監査とサーベイランス審査でもこれらを確認できます。
5. NIS2の方が具体的な管理策を強化する：サプライチェーンセキュリティと脆弱性の取り扱いから着手することをお勧めします。

全体像については、当サイトのNIS2ガイドとISO 27001とNIS2の比較の全文をご覧ください。

よくある質問

ISO 27001の認証を取得すれば、NIS2に準拠したことになりますか？

いいえ。大部分の技術的・組織的対策はカバーしていますが、NIS2では、インシデント報告の期限、経営陣の研修と責任、国内当局への登録、そして附属書Aより具体的な要件が追加されています。準拠の判断を行うのは認証機関ではなく、各国の所管当局です。

NIS2実施規則とは何ですか？

欧州委員会実施規則（EU）2024/2690は、DNSプロバイダー、TLDレジストリ、クラウドおよびデータセンター事業者、マネージド（セキュリティ）サービスプロバイダー、オンラインマーケットプレイス、検索エンジン、ソーシャルネットワーク、信頼サービスプロバイダー向けに、NIS2第21条の対策を詳細に定めています。