비교

NIS2 vs ISO 27001: 귀사의 ISMS로 충분합니까?

ISO/IEC 27001:2022 · NIS2 Implementing Regulation (EU) 2024/2690 · 데이터 2026-10-27

Paul Gillet 기준 · 2026-10-17 업데이트

NIS2(지침 (EU) 2022/2555)는 EU 전역의 필수 기관 및 중요 기관에 사이버보안 위험 관리 조치를 취하고 중대 사고를 보고할 것을 요구합니다. 집행규정 (EU) 2024/2690은 디지털 인프라 및 ICT 서비스 제공자(DNS, 클라우드, 데이터센터, 관리형 서비스 제공자 및 관리형 보안 서비스 제공자, 온라인 플랫폼 등)를 대상으로 이러한 조치를 상세히 규정합니다. ENISA의 기술 이행 지침은 해당 요구사항 전부를 ISO/IEC 27001:2022에 매핑합니다.

이 매핑 덕분에 ISO 27001을 이미 보유하고 있다면 아래 NIS2 항목이 모두 충족된 것으로 표시됩니다. ENISA는 각 항목을 특정 ISO 조항 또는 부속서 A 통제와 연결합니다. ISO 27001 ISMS는 NIS2 기술 준비에 이르는 가장 직접적인 경로이며, 다수의 회원국은 이를 강력한 증거로 인정합니다.

그러나 ENISA는 매핑된 표준을 이행한다고 해서 "준수가 전제되는 것은 아니다"라고 명확히 밝히고 있습니다. NIS2에는 ISO에 없는 의무도 있습니다. 경영진의 책임과 교육(제20조), 고정된 기한 내 CSIRT 또는 당국에 대한 사고 보고(제23조: 24시간 내 조기 경보, 72시간 내 통지, 1개월 내 최종 보고서), 국가 당국 등록, 그리고 국가별로 다른 국내 이행 세부사항이 그것입니다.

NIS2에서 ISO로 전환할 경우 남은 작업은 인증 가능한 경영시스템 구축입니다. 적용 범위, 리더십, 문서화된 정보, 내부 감사 및 경영 검토가 여기에 해당합니다.

한눈에 보기

	ISO 27001	NIS2
개요	자발적이며 인증 가능한 표준	EU 법률이며 국내 법령을 통해 적용
적용 대상	도입을 선택한 모든 조직	18개 부문의 필수 기관 및 중요 기관
사고 보고	표준에서 요구하지 않음	24시간 내 조기 경보, 72시간 내 통지, 1개월 내 최종 보고서
경영진 책임	리더십 의지(5항)	경영진은 승인하고 감독하며 교육을 받아야 하며, 책임을 질 수 있음
평가	인증기관 심사	국가 당국의 감독, 감사 및 제재
공식 매핑	—	ENISA는 집행규정의 모든 항목을 ISO 27001에 매핑

ISO 27001이 제공하지 않는 사항

보고 기한: 사고의 중대성을 판단하고 업무 시간 외를 포함하여 24시간 및 72시간 내에 통지하기 위한 검증된 절차.
경영진 교육 및 책임: 제20조는 경영진이 교육을 받고 조치를 승인할 것을 요구합니다.
등록: 국가 당국에 대한 등록.
구체적인 기술 요구사항: 일부 집행규정 항목(예: 암호화, 취약점 처리, 공급망 보안)은 대응하는 부속서 A 통제보다 더 규범적입니다.
적용 범위: ISO 인증서는 조직의 일부만 포괄할 수 있으나, NIS2는 기관 전체에 적용됩니다.

ISO 27001을 핵심 기반으로 활용하기

이미 인증을 보유하고 있다면, 적용성 선언서(SoA)를 기준으로 집행규정의 부속서(또는 국내법에 따른 제21조)에 대한 격차 평가를 실시하고, 필요한 경우 ISMS 적용 범위를 기관 전체로 확장하며, 보고 절차와 경영진 교육을 ISMS에 추가하여 다른 모든 항목과 함께 감사받도록 하십시오. 준수 여부는 인증기관이 아니라 당국이 판단하지만, 효과적인 조치가 작동하고 있다는 것을 보여주는 데는 가동 중인 ISMS가 강력한 증거가 됩니다.

대상별 필요 사항

NIS2는 법에서 열거한 부문의 필수 기관 및 중요 기관, 일반적으로 EU에서 영업하는 중견 및 대기업, 그리고 DNS 및 신뢰 서비스 제공자 등 일부 소규모 제공자에게 의무입니다. ISO 27001은 자발적이지만 고객이 요구하는 경우가 많습니다. NIS2 적용 대상이면서 기업 고객에게 판매하거나 공공 계약에 입찰하는 조직은 보통 두 가지 모두를 갖추게 됩니다. NIS2는 법이 요구하기 때문이고, ISO 27001은 고객이 인증서를 요청하기 때문입니다.

비용 및 노력

이미 ISO 27001을 보유한 조직의 경우 NIS2 비용의 대부분은 기술보다는 거버넌스와 프로세스에 있습니다. 경영진 교육 및 승인, 검증된 중대 사고 보고 절차, 계약에 명시하는 공급업체 보안 요구사항, 등록, 그리고 조치가 작동한다는 증거가 이에 해당합니다. 기술적 격차는 존재하더라도 대체로 더 좁습니다. 취약점 공개, 암호화 규칙, 특정 공급망 조치가 그 예입니다. 아무것도 없는 상태에서 시작하는 조직의 경우 이후 인증 여부와 관계없이 ISO 방식의 ISMS를 구축하는 것이 NIS2 제21조 조치를 충족하는 가장 효율적인 방법인 경우가 많습니다.

일정

ISO 인증 조직은 일반적으로 3~6개월 내에 NIS2 관련 격차를 해소할 수 있습니다. 등록 및 경영진 교육을 먼저 진행하고, 1분기 내에 보고 절차를 마련한 뒤, 공급업체 보안 및 보다 구체적인 기술 조치를 진행합니다. 저희 ISO 27001에서 NIS2까지의 계획에서 순서를 자세히 설명합니다. ISO 없이 시작하는 경우 첫 ISMS 구축에 보통 걸리는 6~12개월을 고려하고, 감독기관이 가장 먼저 확인하는 보고 및 거버넌스를 우선순위에 두십시오.

사례: 관리형 서비스 제공자

EU 소재 직원 200명 규모의 관리형 서비스 제공자로, 호스팅 및 지원 서비스에 대해 ISO 27001을 보유하고 있습니다. 관리형 서비스 제공자이므로 NIS2 적용 대상이며, 집행규정의 세부 조치가 직접 적용됩니다.

ENISA 매핑에 따르면 집행규정의 모든 항목이 이미 운영 중인 ISO 통제와 연결됩니다. 따라서 이 조직의 격차 작업은 다음에 집중됩니다. ISMS 적용 범위를 두 개의 서비스 라인에서 기관 전체로 확대하고, 경영이사회를 교육하며 조치에 대한 승인을 기록하고, 업무 시간 외 대응을 포함한 24시간 중대 사고 보고 절차를 구축하고, 자체 공급업체 계약에 보안 요구사항 및 사고 통지 조항을 추가하며, 조정된 취약점 공개 정책을 게시하는 것입니다. 6개월 이내에 이 조직은 제21조(2)(f)가 요구하는 유효성 증거를 ISMS를 통해 제공하면서, 감사를 거친 작동 중인 조치 체계를 국가 당국에 입증할 수 있습니다.

흔한 실수

인증서가 모든 문제를 해결한다고 가정하기. 감독기관은 NIS2 준수를 평가하며, 인증기관은 그렇지 않습니다.
적용 범위를 좁게 유지하기. 한 개의 서비스 라인만 포함하는 ISO 적용 범위는 기관 전체에 적용되는 법적 의무를 충족하지 못합니다.
아무도 테스트하지 않은 보고 절차 작성하기, 특히 24시간 기한을 맞추기 가장 어려운 업무 시간 외 상황을 대비하지 않은 경우.
국내법 무시하기. 등록, 감독 및 일부 세부사항은 회원국마다 다릅니다.
경영진을 한 번만 교육하고 잊기. 제20조는 단회성 교육이 아니라 교육의 지속적인 유지를 기대합니다.

핵심 요점

ISO 27001 → NIS2: 기술 조치는 대부분 충족됨. 제23조 보고 절차, 경영진 교육 및 국가 등록을 추가하십시오.
국가별 이행 여부를 확인하십시오. 요구사항과 감독 관행은 회원국마다 다릅니다.
공급망 보안(CIR 5항)이 정책만이 아니라 증거로 입증되는지 확인하십시오.

이 비교 결과 다운로드(CSV) 갭 분석에서 열기 →

ISO 27001 보유 → NIS2 필요

요구사항 49건

매핑 49건 · · 매핑 없음 0건 갭 뷰에서 열기 →

NIS2 Implementing Regulation (EU) 2024/2690 요구사항 49개 중 49개는 ISO 27001의 항목에 매핑되고, 0개는 느슨하게만 관련되며, 0개는 보유 데이터에 매핑이 없습니다.

여기서 NIS2는 디지털 인프라 및 ICT 서비스 제공자에게 직접 적용되는 시행규정 (EU) 2024/2690의 기술적 조치를 뜻합니다. 그 밖의 NIS2 대상 기관은 제21조의 자국 국내법 전환을 따릅니다. 사고 보고 기한(제23조)은 범위에 포함되지 않습니다. ENISA의 매핑은 구속력이 없습니다.

매핑됨 (49)

NIS2	요구사항	일치	ISO 27001	증거
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	대응표	A.5.1 A.5.37 Clause 5.2+3	같은 주제: 거버넌스 정책
1.2	Roles, responsibilities and authorities	대응표	A.5.2 A.5.4 A.5.3+1	같은 주제: 역할 및 책임
2. Risk management policy · 3
2.1	Risk management framework	대응표	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3+8	같은 주제: 위험 관리, 위험 평가
2.2	Compliance monitoring	대응표	A.5.31 Clause 9.1 A.5.36+2	같은 주제: 컴플라이언스
2.3	Independent review of information and network security	대응표	A.5.31 A.5.36 Clause 9.1+4	같은 주제: 컴플라이언스 (편집부 추천)
3. Incident handling · 6
3.1	Incident handling policy	대응표	A.5.24 A.5.25 A.5.26	같은 주제: 사고 대응
3.2	Monitoring and logging	대응표	A.5.25 A.8.15 A.8.16+2	같은 주제: SIEM / SOC, 로깅 및 감사, 지속적 모니터링, 침입 탐지
3.3	Event reporting	대응표	A.5.5 A.6.8	같은 주제: 보고
3.4	Event assessment and classification	대응표	A.5.25 A.8.16	같은 주제: SIEM / SOC, 이상 징후 탐지
3.5	Incident response	대응표	A.5.24 A.5.25 A.5.26+1	같은 주제: 사고 대응, 완화
3.6	Post-incident reviews	대응표	A.5.27 Clause 10.1	같은 주제: 교훈 도출
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	대응표	A.5.29 A.5.30 A.8.14	같은 주제: 복구 계획 수립, 비즈니스 연속성, 재해 복구
4.2	Backup management	대응표	A.5.30 A.8.13 A.8.14	같은 주제: 재해 복구, 백업 및 복구
4.3	Crisis management	대응표	A.5.26 A.5.29 A.5.30+3	같은 주제: 커뮤니케이션 및 복구, 비즈니스 연속성
5. Supply chain security · 2
5.1	Supply chain security policy	대응표	A.5.19 A.5.20 A.5.21+2	같은 주제: 공급망 위험, 벤더 리스크 관리
5.2	Directory of suppliers and service providers	대응표	A.5.19 A.5.20 A.5.22	같은 주제: 벤더 리스크 관리
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	대응표	A.5.19 A.5.20 A.5.21+2	같은 주제: 공급망 위험, 벤더 리스크 관리
6.2	Secure development life cycle	대응표	A.8.25 A.8.26 A.8.28+2	같은 주제: 보안 개발
6.3	Configuration management	대응표	A.8.9	같은 주제: 보안 구성
6.4	Change management, repairs and maintenance	대응표	A.7.13 A.8.32 Clause 6.3+1	ENISA NIS2 → ISO 27001 mapping
6.5	Security testing	대응표	A.8.8 A.8.29 A.8.33+1	같은 주제: 취약점 관리
6.6	Security patch management	대응표	A.8.8 A.8.31 A.8.32	같은 주제: 패치 관리
6.7	Network security	대응표	A.8.20 A.8.21 A.8.22+1	같은 주제: 방화벽 / 네트워크 분리
6.8	Network segmentation	대응표	A.5.15 A.8.5 A.8.20+2	같은 주제: 제로 트러스트, 방화벽 / 네트워크 분리
6.9	Protection against malicious and unauthorised software	대응표	A.5.14 A.8.19 A.8.1+2	같은 주제: 이메일 보안, 엔드포인트 보호
6.10	Vulnerability handling and disclosure	대응표	A.8.8	같은 주제: 취약점 관리
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	대응표	Clause 6.1.1 Clause 6.1.3 Clause 6.2+2	같은 주제: 위험 관리
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	대응표	A.6.3 Clause 7.3 A.8.7	같은 주제: 인식 제고 및 교육
8.2	Security training	대응표	A.6.3 Clause 7.3 Clause 7.2	같은 주제: 인식 제고 및 교육
9. Cryptography · 1
9.1	Cryptography	대응표	A.8.24 A.5.31	같은 주제: 암호화
10. Human resources security · 4
10.1	Human resources security	대응표	A.6.2 A.6.3 Clause 7.1+1	ENISA NIS2 → ISO 27001 mapping
10.2	Verification of Background	대응표	A.6.1 A.6.4 A.8.16	같은 주제: 내부자 위협
10.3	Termination or change of employment procedures	대응표	A.6.5	ENISA NIS2 → ISO 27001 mapping
10.4	Disciplinary process	대응표	A.6.1 A.6.4 A.8.16+1	같은 주제: 내부자 위협
11. Access control · 7
11.1	Access control policy	대응표	A.5.15 A.5.16 A.5.18+5	같은 주제: 접근 통제, 제로 트러스트
11.2	Management of access rights	대응표	A.5.15 A.5.16 A.5.18+2	같은 주제: 접근 통제
11.3	Privileged accounts and system administration accounts	대응표	A.8.2 A.8.18	같은 주제: 특권 접근
11.4	Administration systems	대응표	A.8.2 A.8.18	같은 주제: 특권 접근
11.5	Identification	대응표	A.5.15 A.5.16 A.5.18+1	같은 주제: 접근 통제
11.6	Authentication	대응표	A.5.15 A.8.5 A.8.22+1	같은 주제: 제로 트러스트, 다단계 인증
11.7	Multi-factor authentication	대응표	A.8.5	같은 주제: 다단계 인증
12. Asset management · 5
12.1	Asset classification	대응표	A.5.12 A.5.13 A.5.9	같은 주제: 데이터 분류
12.2	Handling of assets	대응표	A.5.14 A.8.10 A.8.11+3	같은 주제: 데이터 보호
12.3	Removable media policy	대응표	A.5.14 A.8.10 A.8.11+3	같은 주제: 데이터 보호
12.4	Asset inventory	대응표	A.5.9 A.5.11 A.7.14	같은 주제: 자산 관리
12.5	Deposit, return or deletion of assets upon termination of employment	대응표	A.5.11 A.5.18 A.8.24	ENISA NIS2 → ISO 27001 mapping
13. Environmental and physical security · 3
13.1	Supporting utilities	대응표	A.7.1 A.7.2 A.7.3+6	같은 주제: 물리적 보안
13.2	Protection against physical and environmental threats	대응표	A.7.1 A.7.2 A.7.3+6	같은 주제: 물리적 보안
13.3	Perimeter and physical access control	대응표	A.7.1 A.7.2 A.7.3+6	같은 주제: 물리적 보안

NIS2 보유 → ISO 27001 필요

요구사항 123건

매핑 104건 · · 매핑 없음 6건 갭 뷰에서 열기 →

ISO/IEC 27001:2022 요구사항 123개 중 104개는 NIS2의 항목에 매핑되고, 13개는 느슨하게만 관련되며, 6개는 보유 데이터에 매핑이 없습니다.

신규 작업이 필요할 가능성: NIS2에 매핑되지 않은 ISO 27001 요구사항 (6)

ISO 27001	요구사항	일치	NIS2	증거
ISMS clauses 4–10 · 6
Clause 4.3	Determining the scope of the ISMS	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
Clause 5.1	Leadership and commitment	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
Clause 7.5.1	General	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
Clause 7.5.2	Creating and updating	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
Clause 7.5.3	Control of documented information	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.
Clause 10.2	Nonconformity and corrective action	보유 데이터에 매핑 없음	—	보유 데이터에 NIS2에 대한 매핑이 없습니다.

확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (13)

ISO 27001	요구사항	일치	NIS2	증거
A.5 Organizational controls · 3
A.5.8	Information security in project management	느슨하게 관련됨	5.1 5.2 6.2+2	CSF GV.OC-05, ID.AM-08만 공유: 관련은 있으나 매핑은 아님
A.5.33	Protection of records	느슨하게 관련됨	9.1 12.3	CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님
A.5.34	Privacy and protection of PII	느슨하게 관련됨	1.1 6.1	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
A.6 People controls · 2
A.6.6	Confidentiality or non-disclosure agreements	느슨하게 관련됨	2.1 10.1 10.2+1	CSF GV.RR-03, GV.RR-04만 공유: 관련은 있으나 매핑은 아님
A.6.7	Remote working	느슨하게 관련됨	1.1 10.1 10.2+5	CSF GV.PO-01, GV.RR-04만 공유: 관련은 있으나 매핑은 아님
A.7 Physical controls · 1
A.7.9	Security of assets off-premises	느슨하게 관련됨	9.1 12.3	CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님
A.8 Technological controls · 4
A.8.4	Access to source code	느슨하게 관련됨	9.1 11.1 11.2+4	CSF PR.DS-01, PR.DS-02, PR.AA-05만 공유: 관련은 있으나 매핑은 아님
A.8.6	Capacity management	느슨하게 관련됨	6.6 6.9	CSF DE.CM-09만 공유: 관련은 있으나 매핑은 아님
A.8.23	Web filtering	느슨하게 관련됨	6.7 6.8	CSF PR.IR-01만 공유: 관련은 있으나 매핑은 아님
A.8.27	Secure system architecture and engineering principles	느슨하게 관련됨	4.3	CSF PR.IR-03만 공유: 관련은 있으나 매핑은 아님
ISMS clauses 4–10 · 3
Clause 4.1	Understanding the organization and its context	느슨하게 관련됨	1.1	CSF GV.OC-02만 공유: 관련은 있으나 매핑은 아님
Clause 4.2	Understanding the needs and expectations of interested parties	느슨하게 관련됨	5.1 1.1 9.1+5	CSF GV.OC-03, GV.SC-05, GV.SC-06, GV.OC-02…만 공유: 관련은 있으나 매핑은 아님
Clause 4.4	Information security management system	느슨하게 관련됨	1.1	CSF GV.OC-02만 공유: 관련은 있으나 매핑은 아님

매핑됨 (104)

ISO 27001	요구사항	일치	NIS2	증거
A.5 Organizational controls · 34
A.5.1	Policies for information security	대응표	1.1	같은 주제: 거버넌스 정책
A.5.2	Information security roles and responsibilities	대응표	1.2	같은 주제: 역할 및 책임
A.5.3	Segregation of duties	대응표	1.2 11.2	ENISA NIS2 → ISO 27001 mapping
A.5.4	Management responsibilities	대응표	1.2 1.1	같은 주제: 역할 및 책임
A.5.5	Contact with authorities	대응표	3.3	같은 주제: 보고
A.5.6	Contact with special interest groups	편집 콘텐츠	4.3	같은 주제: 커뮤니케이션 (편집부 추천)
A.5.7	Threat intelligence	대응표	2.1	ENISA NIS2 → ISO 27001 mapping
A.5.9	Inventory of information and other associated assets	대응표	12.4 12.1 12.2	같은 주제: 자산 관리
A.5.10	Acceptable use of information and other associated assets	대응표	12.2	ENISA NIS2 → ISO 27001 mapping
A.5.11	Return of assets	대응표	12.4 12.5	같은 주제: 자산 관리
A.5.12	Classification of information	대응표	12.1	같은 주제: 데이터 분류
A.5.13	Labelling of information	대응표	12.1	같은 주제: 데이터 분류
A.5.14	Information transfer	대응표	6.9 12.2 12.3	같은 주제: 이메일 보안, 데이터 보호
A.5.15	Access control	대응표	6.8 11.1 11.2+2	같은 주제: 제로 트러스트, 접근 통제
A.5.16	Identity management	대응표	11.1 11.2 11.5	같은 주제: 접근 통제
A.5.17	Authentication information	대응표	11.6	ENISA NIS2 → ISO 27001 mapping
A.5.18	Access rights	대응표	11.1 11.2 11.5+1	같은 주제: 접근 통제
A.5.19	Information security in supplier relationships	대응표	5.1 5.2 6.1+1	같은 주제: 공급망 위험, 벤더 리스크 관리
A.5.20	Addressing information security within supplier agreements	대응표	5.1 5.2 6.1+1	같은 주제: 벤더 리스크 관리
A.5.21	Managing information security in the ICT supply chain	대응표	5.1 6.1 2.1	같은 주제: 공급망 위험
A.5.22	Monitoring, review and change management of supplier services	대응표	5.1 5.2 6.1	같은 주제: 벤더 리스크 관리
A.5.23	Information security for use of cloud services	대응표	6.1	같은 주제: 클라우드 보안
A.5.24	Information security incident management planning and preparation	대응표	3.1 3.5	같은 주제: 사고 대응
A.5.25	Assessment and decision on information security events	대응표	3.1 3.2 3.4+1	같은 주제: 사고 대응, SIEM / SOC
A.5.26	Response to information security incidents	대응표	3.1 3.5 4.3	같은 주제: 사고 대응, 완화, 커뮤니케이션 및 복구
A.5.27	Learning from information security incidents	대응표	3.6	같은 주제: 교훈 도출
A.5.28	Collection of evidence	대응표	3.5 3.2 10.4	같은 주제: 포렌식
A.5.29	Information security during disruption	대응표	4.1 4.3	같은 주제: 복구 계획 수립, 비즈니스 연속성
A.5.30	ICT readiness for business continuity	대응표	4.1 4.2 4.3	같은 주제: 복구 계획 수립, 비즈니스 연속성, 재해 복구
A.5.31	Legal, statutory, regulatory and contractual requirements	대응표	2.2 2.3 9.1	같은 주제: 컴플라이언스
A.5.32	Intellectual property rights	대응표	6.9	ENISA NIS2 → ISO 27001 mapping
A.5.35	Independent review of information security	대응표	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
A.5.36	Compliance with policies, rules and standards for information security	대응표	2.2 2.3 1.1	같은 주제: 컴플라이언스 (편집부 추천)
A.5.37	Documented operating procedures	대응표	1.1	같은 주제: 거버넌스 정책
A.6 People controls · 6
A.6.1	Screening	대응표	10.2 10.4	같은 주제: 내부자 위협
A.6.2	Terms and conditions of employment	대응표	10.1	ENISA NIS2 → ISO 27001 mapping
A.6.3	Information security awareness, education and training	대응표	8.1 8.2 10.1	같은 주제: 인식 제고 및 교육
A.6.4	Disciplinary process	대응표	10.2 10.4	같은 주제: 내부자 위협
A.6.5	Responsibilities after termination or change of employment	대응표	10.3	ENISA NIS2 → ISO 27001 mapping
A.6.8	Information security event reporting	대응표	3.3	같은 주제: 보고
A.7 Physical controls · 13
A.7.1	Physical security perimeters	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
A.7.2	Physical entry	대응표	13.1 13.2 13.3+1	같은 주제: 물리적 보안
A.7.3	Securing offices, rooms and facilities	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
A.7.4	Physical security monitoring	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
A.7.5	Protecting against physical and environmental threats	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
A.7.6	Working in secure areas	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
A.7.7	Clear desk and clear screen	대응표	12.3	ENISA NIS2 → ISO 27001 mapping
A.7.8	Equipment siting and protection	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
A.7.10	Storage media	대응표	12.2 12.3	ENISA NIS2 → ISO 27001 mapping
A.7.11	Supporting utilities	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
A.7.12	Cabling security	대응표	13.1 13.2 13.3	같은 주제: 물리적 보안
A.7.13	Equipment maintenance	대응표	6.4	ENISA NIS2 → ISO 27001 mapping
A.7.14	Secure disposal or re-use of equipment	대응표	12.4	같은 주제: 자산 관리
A.8 Technological controls · 30
A.8.1	User endpoint devices	편집 콘텐츠	6.9	같은 주제: 엔드포인트 보호 (편집부 추천)
A.8.2	Privileged access rights	대응표	11.3 11.4	같은 주제: 특권 접근
A.8.3	Information access restriction	대응표	11.1 11.2 11.5	같은 주제: 접근 통제
A.8.5	Secure authentication	대응표	6.8 11.1 11.6+1	같은 주제: 제로 트러스트, 다단계 인증
A.8.7	Protection against malware	대응표	6.9 8.1	같은 주제: 엔드포인트 보호 (편집부 추천)
A.8.8	Management of technical vulnerabilities	대응표	6.5 6.6 6.10	같은 주제: 취약점 관리, 패치 관리
A.8.9	Configuration management	대응표	6.3	같은 주제: 보안 구성
A.8.10	Information deletion	대응표	12.2 12.3	같은 주제: 데이터 보호
A.8.11	Data masking	대응표	12.2 12.3	같은 주제: 데이터 보호
A.8.12	Data leakage prevention	대응표	12.3	같은 주제: DLP
A.8.13	Information backup	대응표	4.2	같은 주제: 백업 및 복구
A.8.14	Redundancy of information processing facilities	대응표	4.1 4.2 4.3	같은 주제: 비즈니스 연속성, 재해 복구
A.8.15	Logging	대응표	3.2	같은 주제: 로깅 및 감사
A.8.16	Monitoring activities	대응표	3.2 3.4 10.2+2	같은 주제: 지속적 모니터링, 침입 탐지, SIEM / SOC, 이상 징후 탐지, 내부자 위협
A.8.17	Clock synchronization	대응표	3.2	같은 주제: 로깅 및 감사
A.8.18	Use of privileged utility programs	대응표	11.3 11.4	같은 주제: 특권 접근
A.8.19	Installation of software on operational systems	대응표	6.9	같은 주제: 엔드포인트 보호
A.8.20	Networks security	대응표	6.7 6.8	같은 주제: 방화벽 / 네트워크 분리
A.8.21	Security of network services	대응표	6.7 6.8 11.1	같은 주제: 방화벽 / 네트워크 분리
A.8.22	Segregation of networks	대응표	6.7 6.8 11.1+1	같은 주제: 방화벽 / 네트워크 분리, 제로 트러스트
A.8.24	Use of cryptography	대응표	9.1 12.5	같은 주제: 암호화
A.8.25	Secure development life cycle	대응표	6.2	같은 주제: 보안 개발
A.8.26	Application security requirements	대응표	6.2	같은 주제: 보안 개발
A.8.28	Secure coding	대응표	6.2	같은 주제: 보안 개발
A.8.29	Security testing in development and acceptance	대응표	6.2 6.5	같은 주제: 보안 개발
A.8.30	Outsourced development	대응표	5.1	ENISA NIS2 → ISO 27001 mapping
A.8.31	Separation of development, test and production environments	대응표	6.2 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.32	Change management	대응표	6.4 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.33	Test information	대응표	6.5	ENISA NIS2 → ISO 27001 mapping
A.8.34	Protection of information systems during audit testing	대응표	2.3 6.5	ENISA NIS2 → ISO 27001 mapping
ISMS clauses 4–10 · 21
Clause 5.2	Policy	대응표	1.1	같은 주제: 거버넌스 정책
Clause 5.3	Organizational roles, responsibilities and authorities	대응표	1.2	ENISA NIS2 → ISO 27001 mapping
Clause 6.1.1	General	대응표	2.1 7.1	같은 주제: 위험 관리
Clause 6.1.2	Information security risk assessment	대응표	2.1	같은 주제: 위험 평가
Clause 6.1.3	Information security risk treatment	대응표	2.1 7.1	같은 주제: 위험 관리, 위험 평가
Clause 6.2	Information security objectives and planning to achieve them	대응표	2.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 6.3	Planning of changes	대응표	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 7.1	Resources	대응표	10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.2	Competence	대응표	8.2 10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.3	Awareness	대응표	8.1 8.2	같은 주제: 인식 제고 및 교육
Clause 7.4	Communication	대응표	4.3	같은 주제: 커뮤니케이션, 커뮤니케이션 및 복구
Clause 8.1	Operational planning and control	대응표	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 8.2	Information security risk assessment	대응표	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 8.3	Information security risk treatment	대응표	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.1	Monitoring, measurement, analysis and evaluation	대응표	2.2 2.3 7.1	같은 주제: 컴플라이언스
Clause 9.2.1	General	대응표	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.2.2	Internal audit programme	대응표	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.1	General	대응표	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.2	Management review inputs	대응표	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.3	Management review results	대응표	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 10.1	Continual improvement	대응표	3.6 2.3	같은 주제: 교훈 도출 (편집부 추천)

주제별

양쪽 모두 포함 (43):

ISO 27001만 해당 (7):

사업 환경 위협 인텔리전스 웹 보안 모바일 보안 DNS 보안 WAF API 보안

질문

ISO 27001 인증으로 NIS2를 충족할 수 있습니까?

그것만으로는 충분하지 않습니다. ISO 27001은 대부분의 기술적·조직적 조치를 포괄하지만, 보고 기한, 경영진 교육, 등록 또는 모든 구체적인 기술 요구사항은 포괄하지 않습니다.

NIS2는 ISO 27001 인증을 요구합니까?

NIS2는 회원국이 일부 서비스에 대해 인증 제도를 요구할 수 있도록 허용하지만, 일반적으로 ISO 27001을 요구하지는 않습니다. 국내법을 확인하십시오.

NIS2 규제기관은 ISO 27001 인증서를 인정합니까?

당국은 인증을 증거로 고려할 수 있으며, 일부 국내법은 이를 언급하기도 합니다. 그러나 당국은 NIS2 자체를 기준으로 준수 여부를 평가합니다. 인증서는 보고, 거버넌스 및 등록 의무를 포괄하지 않습니다.

NIS2가 ISO 27001보다 엄격합니까?

일부 측면에서는 그렇습니다. NIS2는 ISO에 없는 법적 의무(보고 기한, 경영진 책임, 과태료를 수반하는 감독)를 추가하며, 집행규정은 일부 기술 사항에서 더 규범적입니다. ISO 27001은 완전한 경영시스템을 요구하는 반면, NIS2는 그렇지 않습니다.

NIS2는 EU 외부 기업에도 적용됩니까?

적용될 수 있습니다. EU에 사업장을 두지 않고 EU 내에서 서비스를 제공하는 일부 디지털 제공자는 회원국 내 대리인을 지정하고 준수해야 합니다.

NIS2에 따른 벌칙은 무엇입니까?

회원국은 필수 기관에 대해 최소 1,000만 유로 또는 전 세계 연간 매출액의 2%, 중요 기관에 대해서는 700만 유로 또는 1.4% 중 더 높은 금액까지 과태료를 부과할 수 있도록 해야 합니다.

ISO 27001이 없는 기업은 NIS2를 위해 인증을 받아야 합니까?

인증이 요구되는 것은 아니지만, ISMS는 NIS2 조치를 이행하고 증명하는 효율적인 방법입니다. 많은 조직이 NIS2를 위해 ISMS를 구축하고, 인증 여부는 별도로 결정합니다.

요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.

대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · 느슨하게 관련됨 CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 매핑됨 = ControlMapping 주제에 함께 큐레이션되었거나 직접 연결됨. 크로스워크가 준수를 증명하지는 않습니다. 방법론 · 데이터 다운로드 · 오류 신고.