ISO 27001 vs NIS2: ISO가 다루는 범위를 항목별로 정리

ENISA의 자체 매핑은 NIS2 시행규정의 모든 기술적 조치를 ISO 27001에 연결합니다. 그렇다면 왜 ISO 인증만으로는 충분하지 않을까요? 그 답은 이 매핑이 다루지 않는 영역에 있습니다.

ISO 27001 인증을 보유하고 있고 NIS2가 적용된다면, 첫 번째 질문은 이미 얼마나 많은 작업이 완료되어 있는가입니다. 다행히 EU의 사이버보안 기관인 ENISA가 대부분의 답을 제시했습니다. ENISA의 이행 가이드는 NIS2 시행규정의 모든 항목을 ISO 27001 조항 또는 부속서 A 통제항목에 매핑합니다.

이 매핑이 요구사항별로 어떤 모습인지, 그리고 매핑이 다루지 않는 NIS2 영역이 무엇인지 살펴보겠습니다.

핵심 수치

NIS2의 요구사항 항목 49개 중 49개(100%)는 ISO 27001의 항목에 대응되고, 0개는 느슨하게만 관련되며, 0개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

시행규정(EU) 2024/2690 부속서의 요구사항 항목은 모두 ISO 27001의 무언가에 매핑됩니다. 이 연결은 우리의 판단이 아니라 ENISA 자체 매핑표에서 가져온 것이며, 그래서 '대응표'로 표시했습니다.

모든 NIS2 항목과 이에 대응하는 ISO 항목

NIS2	요구사항	일치	ISO 27001
1.1	Policy on the security of network and information systems	대응표	A.5.1 A.5.37 Clause 5.2 A.5.4
1.2	Roles, responsibilities and authorities	대응표	A.5.2 A.5.4 A.5.3 Clause 5.3
2.1	Risk management framework	대응표	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3 A.5.7
2.2	Compliance monitoring	대응표	A.5.31 Clause 9.1 A.5.36 A.5.35
2.3	Independent review of information and network security	대응표	A.5.31 A.5.36 Clause 9.1 A.5.35
3.1	Incident handling policy	대응표	A.5.24 A.5.25 A.5.26
3.2	Monitoring and logging	대응표	A.5.25 A.8.15 A.8.16 A.8.17
3.3	Event reporting	대응표	A.5.5 A.6.8
3.4	Event assessment and classification	대응표	A.5.25 A.8.16
3.5	Incident response	대응표	A.5.24 A.5.25 A.5.26 A.5.28
3.6	Post-incident reviews	대응표	A.5.27 Clause 10.1
4.1	Business continuity and disaster recovery plan	대응표	A.5.29 A.5.30 A.8.14
4.2	Backup management	대응표	A.5.30 A.8.13 A.8.14
4.3	Crisis management	대응표	A.5.26 A.5.29 A.5.30 A.8.14
5.1	Supply chain security policy	대응표	A.5.19 A.5.20 A.5.21 A.5.22
5.2	Directory of suppliers and service providers	대응표	A.5.19 A.5.20 A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	대응표	A.5.19 A.5.20 A.5.21 A.5.22
6.2	Secure development life cycle	대응표	A.8.25 A.8.26 A.8.28 A.8.29
6.3	Configuration management	대응표	A.8.9
6.4	Change management, repairs and maintenance	대응표	A.7.13 A.8.32 Clause 6.3 Clause 8.1
6.5	Security testing	대응표	A.8.8 A.8.29 A.8.33 A.8.34
6.6	Security patch management	대응표	A.8.8 A.8.31 A.8.32
6.7	Network security	대응표	A.8.20 A.8.21 A.8.22 A.8.16
6.8	Network segmentation	대응표	A.5.15 A.8.5 A.8.20 A.8.21
6.9	Protection against malicious and unauthorised software	대응표	A.5.14 A.8.19 A.8.1 A.8.7
6.10	Vulnerability handling and disclosure	대응표	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	대응표	Clause 6.1.1 Clause 6.1.3 Clause 6.2 Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	대응표	A.6.3 Clause 7.3 A.8.7
8.2	Security training	대응표	A.6.3 Clause 7.3 Clause 7.2
9.1	Cryptography	대응표	A.8.24 A.5.31
10.1	Human resources security	대응표	A.6.2 A.6.3 Clause 7.1 Clause 7.2
10.2	Verification of Background	대응표	A.6.1 A.6.4 A.8.16
10.3	Termination or change of employment procedures	대응표	A.6.5
10.4	Disciplinary process	대응표	A.6.1 A.6.4 A.8.16 A.5.28
11.1	Access control policy	대응표	A.5.15 A.5.16 A.5.18 A.8.3
11.2	Management of access rights	대응표	A.5.15 A.5.16 A.5.18 A.8.3
11.3	Privileged accounts and system administration accounts	대응표	A.8.2 A.8.18
11.4	Administration systems	대응표	A.8.2 A.8.18
11.5	Identification	대응표	A.5.15 A.5.16 A.5.18 A.8.3
11.6	Authentication	대응표	A.5.15 A.8.5 A.8.22 A.5.17
11.7	Multi-factor authentication	대응표	A.8.5
12.1	Asset classification	대응표	A.5.12 A.5.13 A.5.9
12.2	Handling of assets	대응표	A.5.14 A.8.10 A.8.11 A.5.9
12.3	Removable media policy	대응표	A.5.14 A.8.10 A.8.11 A.8.12
12.4	Asset inventory	대응표	A.5.9 A.5.11 A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	대응표	A.5.11 A.5.18 A.8.24
13.1	Supporting utilities	대응표	A.7.1 A.7.2 A.7.3 A.7.4
13.2	Protection against physical and environmental threats	대응표	A.7.1 A.7.2 A.7.3 A.7.4
13.3	Perimeter and physical access control	대응표	A.7.1 A.7.2 A.7.3 A.7.4

이 표는 '이미 완료된 항목'이 아니라 'ISMS에서 찾아볼 위치'로 읽어야 합니다. 매핑은 ISO 통제가 같은 주제를 다룬다는 뜻일 뿐입니다. NIS2 항목을 충족하는지는 통제를 어떻게 구현했는지, 그리고 부속서 A보다 종종 더 구체적인 NIS2 본문의 세부 내용에 따라 달라집니다.

ISO 27001이 제공하지 않는 것

시행규정은 NIS2 제21조의 위험관리 조치를 다룹니다. NIS2 본문은 이보다 더 많은 것을 요구하며, 그중 어느 것도 ISO 27001에는 없습니다:

사고 보고 기한(제23조): 중요 사고를 인지한 후 24시간 이내에 CSIRT 또는 관할 당국에 조기 경보를 제출하고, 72시간 이내에 통지하며, 1개월 이내에 최종 보고서를 제출해야 합니다. ISO 27001은 사고 관리를 요구하지만, 시간 기준에 따른 규제 당국 통지를 요구하지는 않습니다.
경영진의 책임(제20조): 경영진 기구는 조치를 승인하고, 이를 감독하며, 교육에 참여해야 하고, 책임을 질 수도 있습니다. ISO의 조항 5는 리더십의 약속을 요구하는데, 이는 그보다 약한 요구입니다.
등록: 국가 당국에 등록하고 해당 당국의 감독을 받아야 합니다.
적용 범위: ISO 인증은 조직의 일부만 포함할 수 있습니다. NIS2는 기관(entity) 단위로 적용됩니다.

일부 부속서 항목은 대응되는 ISO 통제보다 더 나아갑니다. 공급망 보안, 취약점 처리 및 공개, 암호화가 대표적인 예입니다. ISO에도 해당 통제가 있지만, NIS2는 더 구체적으로 명시합니다.

반대 방향: NIS2에서 빠진 ISO 항목

ISO 27001의 부속서 A 통제 및 ISMS 조항 123개 중 104개(85%)는 NIS2의 항목에 대응되고, 13개는 느슨하게만 관련되며, 6개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

NIS2 매핑이 없는 ISO 요구사항은 경영 시스템 운영 방식에 관한 것입니다:

ISO 27001	요구사항	일치	NIS2
Clause 4.3	Determining the scope of the ISMS	보유 데이터에 매핑 없음	—
Clause 5.1	Leadership and commitment	보유 데이터에 매핑 없음	—
Clause 7.5.1	General	보유 데이터에 매핑 없음	—
Clause 7.5.2	Creating and updating	보유 데이터에 매핑 없음	—
Clause 7.5.3	Control of documented information	보유 데이터에 매핑 없음	—
Clause 10.2	Nonconformity and corrective action	보유 데이터에 매핑 없음	—

NIS2는 인증 가능한 경영 시스템 운영을 요구하지 않으므로, ISMS 적용 범위 설정, 문서 관리, 공식 시정조치에는 직접 대응되는 항목이 없습니다. 이는 양방향으로 작용합니다. NIS2 대응을 처음부터 구축하는 조직에는 이것들이 필요하지 않지만, ISMS는 조치가 효과적이라는 가장 강력한 증거를 제공하며, 제21조 제2항(f)호가 바로 이를 요구합니다.

회의 테이블 위에 제본된 문서 더미가 놓여 있고, 그 위로 일부만 체크된 체크리스트가 끼워진 클립보드를 찍은 사진 — 매핑은 어디를 봐야 할지 알려주는 체크리스트이지, 준수를 증명하는 것이 아닙니다.

ISO 27001을 보유한 경우 할 일

각 운영 국가의 국내법에 따라 적용 대상인지 확인하고, 등록이 필요한 경우 등록하십시오.
인증서의 적용 범위가 하나의 서비스나 사이트만이 아니라 기관 전체를 포함하는지 확인하십시오.
적용성 선언서(Statement of Applicability)에서 위의 부속서 항목까지 비교를 수행하십시오. ISO 27001 → NIS2 격차 보고서에서 이를 추적 도구로 내보낼 수 있습니다.
ISO가 다루지 않는 항목을 ISMS에 추가하십시오: 24시간 및 72시간 기한이 포함된 보고 절차, 경영진 교육, 등록. ISMS 안에 넣으면 내부 심사와 사후 심사에서도 이를 점검하게 됩니다.
NIS2가 더 구체적인 통제를 강화하십시오. 공급망 보안과 취약점 처리부터 시작하는 것이 좋습니다.

더 넓은 맥락은 NIS2 가이드와 ISO 27001 vs NIS2 전체 비교를 참고하십시오.

질문

ISO 27001 인증을 받으면 NIS2를 준수하게 되나요?

아니요. 대부분의 기술적·조직적 조치를 다루지만, NIS2는 사고 보고 기한, 경영진 교육 및 책임, 국가 당국 등록, 그리고 부속서 A보다 더 구체적인 일부 요구사항을 추가로 규정합니다. 준수 여부는 인증 기관이 아니라 국가 당국이 결정합니다.

NIS2 시행규정이란 무엇인가요?

위원회 시행규정(EU) 2024/2690은 DNS 제공자, TLD 레지스트리, 클라우드 및 데이터센터 제공자, 관리형(보안) 서비스 제공자, 온라인 마켓플레이스, 검색엔진, 소셜 네트워크, 신뢰 서비스 제공자를 대상으로 NIS2 제21조 조치를 상세히 규정합니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

ISO 27001이 NIS2를 어디까지 다루는지 항목별로 정리