Comparação

NIS2 vs ISO 27001: o seu SGSI é suficiente?

ISO/IEC 27001:2022 · NIS2 Implementing Regulation (EU) 2024/2690 · dados de 2026-10-27

Por Paul Gillet · Atualizado em 2026-10-17

A NIS2 (Diretiva (UE) 2022/2555) exige que entidades essenciais e importantes em toda a UE adotem medidas de gestão de riscos de cibersegurança e notifiquem incidentes significativos. O Regulamento de Execução da Comissão (UE) 2024/2690 detalha essas medidas para prestadores de infraestrutura digital e de serviços de TIC (DNS, nuvem, centros de dados, prestadores de serviços gerenciados e de serviços de segurança gerenciados, plataformas online e outros). A orientação técnica de implementação da ENISA mapeia cada um dos seus requisitos para a ISO/IEC 27001:2022.

É por causa desse mapeamento que cada ponto da NIS2 abaixo aparece como coberto quando você já possui a ISO 27001: a ENISA associa cada ponto a cláusulas específicas da ISO ou a controles do Anexo A. Um SGSI baseado na ISO 27001 é o caminho mais direto para a prontidão técnica para a NIS2, e muitos Estados-membros o tratam como forte evidência.

Mas a ENISA é explícita ao afirmar que implementar as normas mapeadas “não pressupõe conformidade”. A NIS2 também impõe obrigações que a ISO não contempla: responsabilidade e treinamento do órgão de gestão (Artigo 20), notificação de incidentes ao seu CSIRT ou à autoridade em prazos fixos (Artigo 23: alerta precoce em 24 horas, notificação em 72 horas, relatório final em até um mês), registro junto da autoridade nacional e detalhes de transposição nacional que variam de país para país.

Ao ir da NIS2 para a ISO, o trabalho restante é o sistema de gestão certificável: escopo, liderança, informação documentada, auditoria interna e análise crítica pela direção.

Em resumo

	ISO 27001	NIS2
O que é	Uma norma voluntária e certificável	Lei da UE, aplicada por meio de legislação nacional
A quem se aplica	A quem optar por ela	Entidades essenciais e importantes em 18 setores
Notificação de incidentes	Não exigida pela norma	Alerta precoce em 24 horas, notificação em 72 horas, relatório final em um mês
Responsabilização da gestão	Comprometimento da liderança (cláusula 5)	A direção deve aprovar, supervisionar e receber treinamento, podendo ser responsabilizada
Avaliação	Auditorias do organismo de certificação	Supervisão, auditorias e penalidades pela autoridade nacional
Mapeamento oficial	—	A ENISA mapeia cada ponto do Regulamento de Execução para a ISO 27001

O que a ISO 27001 não oferece

Prazos de notificação: um procedimento testado para decidir se um incidente é significativo e notificar em 24 e 72 horas, inclusive fora do horário comercial.
Treinamento e responsabilidade da gestão: o Artigo 20 exige que o órgão de gestão seja treinado e aprove as medidas.
Registro junto da sua autoridade nacional.
Requisitos técnicos específicos: alguns pontos do Regulamento de Execução (por exemplo, sobre criptografia, tratamento de vulnerabilidades e segurança da cadeia de suprimentos) são mais prescritivos que o controle correspondente do Anexo A.
Escopo: um certificado ISO pode cobrir apenas parte da organização; a NIS2 se aplica à entidade.

Usar a ISO 27001 como base

Se você for certificado, faça uma análise de lacunas a partir da sua Declaração de Aplicabilidade em relação ao Anexo do Regulamento de Execução (ou ao Artigo 21, conforme a sua legislação nacional), amplie o escopo do SGSI para toda a entidade, se necessário, e acrescente o procedimento de notificação e o treinamento da gestão ao SGSI para que sejam auditados junto com o restante. Quem decide a conformidade são as autoridades, não os organismos de certificação, mas um SGSI em funcionamento é forte evidência de medidas eficazes.

Quem precisa de cada um

A NIS2 é obrigatória para entidades essenciais e importantes nos setores que lista, em geral organizações de médio porte e maiores que atuam na UE, além de alguns prestadores menores, como os de DNS e de serviços de confiança. A ISO 27001 é voluntária, mas frequentemente exigida pelos clientes. Organizações sujeitas à NIS2 que também vendem para empresas ou participam de licitações públicas geralmente acabam com as duas: a NIS2 porque a lei exige, a ISO 27001 porque os clientes pedem um certificado.

Custo e esforço

Para uma organização que já possui a ISO 27001, a maior parte do custo da NIS2 está em governança e processos, e não em tecnologia: treinamento e aprovação pela gestão, um procedimento testado de notificação de incidentes significativos, requisitos de segurança incluídos nos contratos com fornecedores, registro e evidências de que as medidas funcionam. As lacunas técnicas existem, mas costumam ser mais restritas: divulgação de vulnerabilidades, regras de criptografia e medidas específicas para a cadeia de suprimentos. Para uma organização que parte do zero, construir um SGSI no estilo ISO costuma ser a forma mais eficiente de atender às medidas do Artigo 21 da NIS2, certificando-se ou não depois.

Cronograma

Uma organização certificada pela ISO normalmente consegue fechar as lacunas específicas da NIS2 em três a seis meses: primeiro o registro e o treinamento da gestão, o procedimento de notificação no primeiro trimestre e, depois, a segurança dos fornecedores e as medidas técnicas mais específicas. Nosso plano de ISO 27001 para NIS2 detalha essa ordem. Quem começa sem a ISO deve prever de seis a doze meses, que é o tempo que um primeiro SGSI costuma levar, com prioridade para notificação e governança, pois os supervisores as verificam primeiro.

Exemplo prático: um prestador de serviços gerenciados

Um prestador de serviços gerenciados com 200 funcionários na UE possui a ISO 27001 para seus serviços de hospedagem e suporte. Como prestador de serviços gerenciados, ele está sujeito à NIS2, e as medidas detalhadas do Regulamento de Execução se aplicam diretamente a ele.

O mapeamento da ENISA associa cada ponto do Regulamento de Execução a um controle ISO que a organização já opera. Assim, seu trabalho de lacunas concentra-se em: ampliar o escopo do SGSI de duas linhas de serviço para toda a entidade; treinar o conselho de administração e registrar sua aprovação das medidas; criar um procedimento de notificação de incidentes significativos em 24 horas, com cobertura fora do horário comercial; incluir requisitos de segurança e cláusulas de notificação de incidentes nos próprios contratos com fornecedores; e publicar uma política coordenada de divulgação de vulnerabilidades. Em seis meses, pode apresentar à autoridade nacional um conjunto de medidas em funcionamento e auditado, com o SGSI fornecendo a evidência de eficácia exigida pelo Artigo 21(2)(f).

Erros comuns

Presumir que o certificado resolve tudo. Os supervisores avaliam a conformidade com a NIS2; os organismos de certificação não.
Manter o escopo restrito. Um escopo ISO que cobre apenas uma linha de serviço não atende a uma obrigação legal que vale para toda a entidade.
Escrever um procedimento de notificação que ninguém testou, especialmente fora do horário comercial, quando o prazo de 24 horas é mais difícil de cumprir.
Ignorar a legislação nacional. Registro, supervisão e alguns detalhes diferem entre os Estados-membros.
Treinar a gestão uma vez e esquecer. O Artigo 20 espera que o treinamento seja mantido, não uma sessão única.

Principais conclusões

ISO 27001 → NIS2: as medidas técnicas estão em grande parte cobertas; acrescente procedimentos de notificação do Artigo 23, treinamento da gestão e registro nacional.
Verifique a transposição do seu país: os requisitos e a prática de supervisão variam entre os Estados-membros.
Garanta que a segurança da cadeia de suprimentos (seção 5 do Regulamento de Execução) seja comprovada, e não apenas descrita em política.

Descarregar esta comparação (CSV) Abrir em análise de lacunas →

Tem ISO 27001 → precisa de NIS2

49 req.

49 mapeados · · 0 sem mapeamento Abrir na visão de lacunas →

Dos 49 requisitos de NIS2 Implementing Regulation (EU) 2024/2690, 49 mapeiam para algo em ISO 27001, 0 são apenas vagamente relacionados e 0 não têm mapeamento em nossos dados.

O NIS2 aqui corresponde às medidas técnicas do Regulamento de Execução (UE) 2024/2690, que se aplica diretamente a provedores de infraestrutura digital e de serviços de TIC; as demais entidades sob o NIS2 seguem a transposição de seu país para o Artigo 21. Prazos de notificação de incidentes (Artigo 23) não estão no escopo. O mapeamento da ENISA não é vinculante.

Mapeado (49)

NIS2	Requisito	Correspondência	ISO 27001	Evidências
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Correspondência	A.5.1 A.5.37 Clause 5.2+3	Mesmo tópico: Política de governança
1.2	Roles, responsibilities and authorities	Correspondência	A.5.2 A.5.4 A.5.3+1	Mesmo tópico: Funções e responsabilidades
2. Risk management policy · 3
2.1	Risk management framework	Correspondência	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3+8	Mesmo tópico: Gestão de Riscos, Avaliação de riscos
2.2	Compliance monitoring	Correspondência	A.5.31 Clause 9.1 A.5.36+2	Mesmo tópico: Conformidade
2.3	Independent review of information and network security	Correspondência	A.5.31 A.5.36 Clause 9.1+4	Mesmo tópico: Conformidade (escolha do editor)
3. Incident handling · 6
3.1	Incident handling policy	Correspondência	A.5.24 A.5.25 A.5.26	Mesmo tópico: Resposta a Incidentes
3.2	Monitoring and logging	Correspondência	A.5.25 A.8.15 A.8.16+2	Mesmo tópico: SIEM / SOC, Registro e Auditoria, Monit. contínuo, Detecção de intrusão
3.3	Event reporting	Correspondência	A.5.5 A.6.8	Mesmo tópico: Notificação
3.4	Event assessment and classification	Correspondência	A.5.25 A.8.16	Mesmo tópico: SIEM / SOC, Detecção de Anomalias
3.5	Incident response	Correspondência	A.5.24 A.5.25 A.5.26+1	Mesmo tópico: Resposta a Incidentes, Mitigação
3.6	Post-incident reviews	Correspondência	A.5.27 Clause 10.1	Mesmo tópico: Lições Aprendidas
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Correspondência	A.5.29 A.5.30 A.8.14	Mesmo tópico: Planejamento de Recuperação, Continuidade de Negócios, Recuperação de desastres
4.2	Backup management	Correspondência	A.5.30 A.8.13 A.8.14	Mesmo tópico: Recuperação de desastres, Backup e recuperação
4.3	Crisis management	Correspondência	A.5.26 A.5.29 A.5.30+3	Mesmo tópico: Comunicação e restauração, Continuidade de Negócios
5. Supply chain security · 2
5.1	Supply chain security policy	Correspondência	A.5.19 A.5.20 A.5.21+2	Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores
5.2	Directory of suppliers and service providers	Correspondência	A.5.19 A.5.20 A.5.22	Mesmo tópico: Gestão de Risco de Fornecedores
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Correspondência	A.5.19 A.5.20 A.5.21+2	Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores
6.2	Secure development life cycle	Correspondência	A.8.25 A.8.26 A.8.28+2	Mesmo tópico: Desenvolvimento Seguro
6.3	Configuration management	Correspondência	A.8.9	Mesmo tópico: Configuração Segura
6.4	Change management, repairs and maintenance	Correspondência	A.7.13 A.8.32 Clause 6.3+1	ENISA NIS2 → ISO 27001 mapping
6.5	Security testing	Correspondência	A.8.8 A.8.29 A.8.33+1	Mesmo tópico: Gestão de Vulnerabilidades
6.6	Security patch management	Correspondência	A.8.8 A.8.31 A.8.32	Mesmo tópico: Gestão de Patches
6.7	Network security	Correspondência	A.8.20 A.8.21 A.8.22+1	Mesmo tópico: Firewall / Segmentação de rede
6.8	Network segmentation	Correspondência	A.5.15 A.8.5 A.8.20+2	Mesmo tópico: Confiança Zero, Firewall / Segmentação de rede
6.9	Protection against malicious and unauthorised software	Correspondência	A.5.14 A.8.19 A.8.1+2	Mesmo tópico: Segurança de e-mail, Proteção de endpoints
6.10	Vulnerability handling and disclosure	Correspondência	A.8.8	Mesmo tópico: Gestão de Vulnerabilidades
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Correspondência	Clause 6.1.1 Clause 6.1.3 Clause 6.2+2	Mesmo tópico: Gestão de Riscos
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Correspondência	A.6.3 Clause 7.3 A.8.7	Mesmo tópico: Conscientização e treinamento
8.2	Security training	Correspondência	A.6.3 Clause 7.3 Clause 7.2	Mesmo tópico: Conscientização e treinamento
9. Cryptography · 1
9.1	Cryptography	Correspondência	A.8.24 A.5.31	Mesmo tópico: Criptografia
10. Human resources security · 4
10.1	Human resources security	Correspondência	A.6.2 A.6.3 Clause 7.1+1	ENISA NIS2 → ISO 27001 mapping
10.2	Verification of Background	Correspondência	A.6.1 A.6.4 A.8.16	Mesmo tópico: Ameaça interna
10.3	Termination or change of employment procedures	Correspondência	A.6.5	ENISA NIS2 → ISO 27001 mapping
10.4	Disciplinary process	Correspondência	A.6.1 A.6.4 A.8.16+1	Mesmo tópico: Ameaça interna
11. Access control · 7
11.1	Access control policy	Correspondência	A.5.15 A.5.16 A.5.18+5	Mesmo tópico: Controle de acesso, Confiança Zero
11.2	Management of access rights	Correspondência	A.5.15 A.5.16 A.5.18+2	Mesmo tópico: Controle de acesso
11.3	Privileged accounts and system administration accounts	Correspondência	A.8.2 A.8.18	Mesmo tópico: Acesso privilegiado
11.4	Administration systems	Correspondência	A.8.2 A.8.18	Mesmo tópico: Acesso privilegiado
11.5	Identification	Correspondência	A.5.15 A.5.16 A.5.18+1	Mesmo tópico: Controle de acesso
11.6	Authentication	Correspondência	A.5.15 A.8.5 A.8.22+1	Mesmo tópico: Confiança Zero, Autenticação multifator
11.7	Multi-factor authentication	Correspondência	A.8.5	Mesmo tópico: Autenticação multifator
12. Asset management · 5
12.1	Asset classification	Correspondência	A.5.12 A.5.13 A.5.9	Mesmo tópico: Classificação de Dados
12.2	Handling of assets	Correspondência	A.5.14 A.8.10 A.8.11+3	Mesmo tópico: Proteção de Dados
12.3	Removable media policy	Correspondência	A.5.14 A.8.10 A.8.11+3	Mesmo tópico: Proteção de Dados
12.4	Asset inventory	Correspondência	A.5.9 A.5.11 A.7.14	Mesmo tópico: Gestão de Ativos
12.5	Deposit, return or deletion of assets upon termination of employment	Correspondência	A.5.11 A.5.18 A.8.24	ENISA NIS2 → ISO 27001 mapping
13. Environmental and physical security · 3
13.1	Supporting utilities	Correspondência	A.7.1 A.7.2 A.7.3+6	Mesmo tópico: Segurança Física
13.2	Protection against physical and environmental threats	Correspondência	A.7.1 A.7.2 A.7.3+6	Mesmo tópico: Segurança Física
13.3	Perimeter and physical access control	Correspondência	A.7.1 A.7.2 A.7.3+6	Mesmo tópico: Segurança Física

Tem NIS2 → precisa de ISO 27001

123 req.

104 mapeados · · 6 sem mapeamento Abrir na visão de lacunas →

Dos 123 requisitos de ISO/IEC 27001:2022, 104 mapeiam para algo em NIS2, 13 são apenas vagamente relacionados e 6 não têm mapeamento em nossos dados.

Provável trabalho novo: requisitos de ISO 27001 sem mapeamento para NIS2 (6)

ISO 27001	Requisito	Correspondência	NIS2	Evidências
ISMS clauses 4–10 · 6
Clause 4.3	Determining the scope of the ISMS	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
Clause 5.1	Leadership and commitment	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
Clause 7.5.1	General	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
Clause 7.5.2	Creating and updating	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
Clause 7.5.3	Control of documented information	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.
Clause 10.2	Nonconformity and corrective action	Sem mapeamento em nossos dados	—	Sem mapeamento para NIS2 em nossos dados.

Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (13)

ISO 27001	Requisito	Correspondência	NIS2	Evidências
A.5 Organizational controls · 3
A.5.8	Information security in project management	Vagamente relacionado	5.1 5.2 6.2+2	Compartilha apenas CSF GV.OC-05, ID.AM-08: relacionado, não um mapeamento
A.5.33	Protection of records	Vagamente relacionado	9.1 12.3	Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento
A.5.34	Privacy and protection of PII	Vagamente relacionado	1.1 6.1	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
A.6 People controls · 2
A.6.6	Confidentiality or non-disclosure agreements	Vagamente relacionado	2.1 10.1 10.2+1	Compartilha apenas CSF GV.RR-03, GV.RR-04: relacionado, não um mapeamento
A.6.7	Remote working	Vagamente relacionado	1.1 10.1 10.2+5	Compartilha apenas CSF GV.PO-01, GV.RR-04: relacionado, não um mapeamento
A.7 Physical controls · 1
A.7.9	Security of assets off-premises	Vagamente relacionado	9.1 12.3	Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento
A.8 Technological controls · 4
A.8.4	Access to source code	Vagamente relacionado	9.1 11.1 11.2+4	Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.AA-05: relacionado, não um mapeamento
A.8.6	Capacity management	Vagamente relacionado	6.6 6.9	Compartilha apenas CSF DE.CM-09: relacionado, não um mapeamento
A.8.23	Web filtering	Vagamente relacionado	6.7 6.8	Compartilha apenas CSF PR.IR-01: relacionado, não um mapeamento
A.8.27	Secure system architecture and engineering principles	Vagamente relacionado	4.3	Compartilha apenas CSF PR.IR-03: relacionado, não um mapeamento
ISMS clauses 4–10 · 3
Clause 4.1	Understanding the organization and its context	Vagamente relacionado	1.1	Compartilha apenas CSF GV.OC-02: relacionado, não um mapeamento
Clause 4.2	Understanding the needs and expectations of interested parties	Vagamente relacionado	5.1 1.1 9.1+5	Compartilha apenas CSF GV.OC-03, GV.SC-05, GV.SC-06, GV.OC-02…: relacionado, não um mapeamento
Clause 4.4	Information security management system	Vagamente relacionado	1.1	Compartilha apenas CSF GV.OC-02: relacionado, não um mapeamento

Mapeado (104)

ISO 27001	Requisito	Correspondência	NIS2	Evidências
A.5 Organizational controls · 34
A.5.1	Policies for information security	Correspondência	1.1	Mesmo tópico: Política de governança
A.5.2	Information security roles and responsibilities	Correspondência	1.2	Mesmo tópico: Funções e responsabilidades
A.5.3	Segregation of duties	Correspondência	1.2 11.2	ENISA NIS2 → ISO 27001 mapping
A.5.4	Management responsibilities	Correspondência	1.2 1.1	Mesmo tópico: Funções e responsabilidades
A.5.5	Contact with authorities	Correspondência	3.3	Mesmo tópico: Notificação
A.5.6	Contact with special interest groups	Editorial	4.3	Mesmo tópico: Comunicação (escolha do editor)
A.5.7	Threat intelligence	Correspondência	2.1	ENISA NIS2 → ISO 27001 mapping
A.5.9	Inventory of information and other associated assets	Correspondência	12.4 12.1 12.2	Mesmo tópico: Gestão de Ativos
A.5.10	Acceptable use of information and other associated assets	Correspondência	12.2	ENISA NIS2 → ISO 27001 mapping
A.5.11	Return of assets	Correspondência	12.4 12.5	Mesmo tópico: Gestão de Ativos
A.5.12	Classification of information	Correspondência	12.1	Mesmo tópico: Classificação de Dados
A.5.13	Labelling of information	Correspondência	12.1	Mesmo tópico: Classificação de Dados
A.5.14	Information transfer	Correspondência	6.9 12.2 12.3	Mesmo tópico: Segurança de e-mail, Proteção de Dados
A.5.15	Access control	Correspondência	6.8 11.1 11.2+2	Mesmo tópico: Confiança Zero, Controle de acesso
A.5.16	Identity management	Correspondência	11.1 11.2 11.5	Mesmo tópico: Controle de acesso
A.5.17	Authentication information	Correspondência	11.6	ENISA NIS2 → ISO 27001 mapping
A.5.18	Access rights	Correspondência	11.1 11.2 11.5+1	Mesmo tópico: Controle de acesso
A.5.19	Information security in supplier relationships	Correspondência	5.1 5.2 6.1+1	Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores
A.5.20	Addressing information security within supplier agreements	Correspondência	5.1 5.2 6.1+1	Mesmo tópico: Gestão de Risco de Fornecedores
A.5.21	Managing information security in the ICT supply chain	Correspondência	5.1 6.1 2.1	Mesmo tópico: Risco na cadeia de suprimentos
A.5.22	Monitoring, review and change management of supplier services	Correspondência	5.1 5.2 6.1	Mesmo tópico: Gestão de Risco de Fornecedores
A.5.23	Information security for use of cloud services	Correspondência	6.1	Mesmo tópico: Segurança em Nuvem
A.5.24	Information security incident management planning and preparation	Correspondência	3.1 3.5	Mesmo tópico: Resposta a Incidentes
A.5.25	Assessment and decision on information security events	Correspondência	3.1 3.2 3.4+1	Mesmo tópico: Resposta a Incidentes, SIEM / SOC
A.5.26	Response to information security incidents	Correspondência	3.1 3.5 4.3	Mesmo tópico: Resposta a Incidentes, Mitigação, Comunicação e restauração
A.5.27	Learning from information security incidents	Correspondência	3.6	Mesmo tópico: Lições Aprendidas
A.5.28	Collection of evidence	Correspondência	3.5 3.2 10.4	Mesmo tópico: Perícia forense
A.5.29	Information security during disruption	Correspondência	4.1 4.3	Mesmo tópico: Planejamento de Recuperação, Continuidade de Negócios
A.5.30	ICT readiness for business continuity	Correspondência	4.1 4.2 4.3	Mesmo tópico: Planejamento de Recuperação, Continuidade de Negócios, Recuperação de desastres
A.5.31	Legal, statutory, regulatory and contractual requirements	Correspondência	2.2 2.3 9.1	Mesmo tópico: Conformidade
A.5.32	Intellectual property rights	Correspondência	6.9	ENISA NIS2 → ISO 27001 mapping
A.5.35	Independent review of information security	Correspondência	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
A.5.36	Compliance with policies, rules and standards for information security	Correspondência	2.2 2.3 1.1	Mesmo tópico: Conformidade (escolha do editor)
A.5.37	Documented operating procedures	Correspondência	1.1	Mesmo tópico: Política de governança
A.6 People controls · 6
A.6.1	Screening	Correspondência	10.2 10.4	Mesmo tópico: Ameaça interna
A.6.2	Terms and conditions of employment	Correspondência	10.1	ENISA NIS2 → ISO 27001 mapping
A.6.3	Information security awareness, education and training	Correspondência	8.1 8.2 10.1	Mesmo tópico: Conscientização e treinamento
A.6.4	Disciplinary process	Correspondência	10.2 10.4	Mesmo tópico: Ameaça interna
A.6.5	Responsibilities after termination or change of employment	Correspondência	10.3	ENISA NIS2 → ISO 27001 mapping
A.6.8	Information security event reporting	Correspondência	3.3	Mesmo tópico: Notificação
A.7 Physical controls · 13
A.7.1	Physical security perimeters	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
A.7.2	Physical entry	Correspondência	13.1 13.2 13.3+1	Mesmo tópico: Segurança Física
A.7.3	Securing offices, rooms and facilities	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
A.7.4	Physical security monitoring	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
A.7.5	Protecting against physical and environmental threats	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
A.7.6	Working in secure areas	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
A.7.7	Clear desk and clear screen	Correspondência	12.3	ENISA NIS2 → ISO 27001 mapping
A.7.8	Equipment siting and protection	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
A.7.10	Storage media	Correspondência	12.2 12.3	ENISA NIS2 → ISO 27001 mapping
A.7.11	Supporting utilities	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
A.7.12	Cabling security	Correspondência	13.1 13.2 13.3	Mesmo tópico: Segurança Física
A.7.13	Equipment maintenance	Correspondência	6.4	ENISA NIS2 → ISO 27001 mapping
A.7.14	Secure disposal or re-use of equipment	Correspondência	12.4	Mesmo tópico: Gestão de Ativos
A.8 Technological controls · 30
A.8.1	User endpoint devices	Editorial	6.9	Mesmo tópico: Proteção de endpoints (escolha do editor)
A.8.2	Privileged access rights	Correspondência	11.3 11.4	Mesmo tópico: Acesso privilegiado
A.8.3	Information access restriction	Correspondência	11.1 11.2 11.5	Mesmo tópico: Controle de acesso
A.8.5	Secure authentication	Correspondência	6.8 11.1 11.6+1	Mesmo tópico: Confiança Zero, Autenticação multifator
A.8.7	Protection against malware	Correspondência	6.9 8.1	Mesmo tópico: Proteção de endpoints (escolha do editor)
A.8.8	Management of technical vulnerabilities	Correspondência	6.5 6.6 6.10	Mesmo tópico: Gestão de Vulnerabilidades, Gestão de Patches
A.8.9	Configuration management	Correspondência	6.3	Mesmo tópico: Configuração Segura
A.8.10	Information deletion	Correspondência	12.2 12.3	Mesmo tópico: Proteção de Dados
A.8.11	Data masking	Correspondência	12.2 12.3	Mesmo tópico: Proteção de Dados
A.8.12	Data leakage prevention	Correspondência	12.3	Mesmo tópico: DLP
A.8.13	Information backup	Correspondência	4.2	Mesmo tópico: Backup e recuperação
A.8.14	Redundancy of information processing facilities	Correspondência	4.1 4.2 4.3	Mesmo tópico: Continuidade de Negócios, Recuperação de desastres
A.8.15	Logging	Correspondência	3.2	Mesmo tópico: Registro e Auditoria
A.8.16	Monitoring activities	Correspondência	3.2 3.4 10.2+2	Mesmo tópico: Monit. contínuo, Detecção de intrusão, SIEM / SOC, Detecção de Anomalias, Ameaça interna
A.8.17	Clock synchronization	Correspondência	3.2	Mesmo tópico: Registro e Auditoria
A.8.18	Use of privileged utility programs	Correspondência	11.3 11.4	Mesmo tópico: Acesso privilegiado
A.8.19	Installation of software on operational systems	Correspondência	6.9	Mesmo tópico: Proteção de endpoints
A.8.20	Networks security	Correspondência	6.7 6.8	Mesmo tópico: Firewall / Segmentação de rede
A.8.21	Security of network services	Correspondência	6.7 6.8 11.1	Mesmo tópico: Firewall / Segmentação de rede
A.8.22	Segregation of networks	Correspondência	6.7 6.8 11.1+1	Mesmo tópico: Firewall / Segmentação de rede, Confiança Zero
A.8.24	Use of cryptography	Correspondência	9.1 12.5	Mesmo tópico: Criptografia
A.8.25	Secure development life cycle	Correspondência	6.2	Mesmo tópico: Desenvolvimento Seguro
A.8.26	Application security requirements	Correspondência	6.2	Mesmo tópico: Desenvolvimento Seguro
A.8.28	Secure coding	Correspondência	6.2	Mesmo tópico: Desenvolvimento Seguro
A.8.29	Security testing in development and acceptance	Correspondência	6.2 6.5	Mesmo tópico: Desenvolvimento Seguro
A.8.30	Outsourced development	Correspondência	5.1	ENISA NIS2 → ISO 27001 mapping
A.8.31	Separation of development, test and production environments	Correspondência	6.2 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.32	Change management	Correspondência	6.4 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.33	Test information	Correspondência	6.5	ENISA NIS2 → ISO 27001 mapping
A.8.34	Protection of information systems during audit testing	Correspondência	2.3 6.5	ENISA NIS2 → ISO 27001 mapping
ISMS clauses 4–10 · 21
Clause 5.2	Policy	Correspondência	1.1	Mesmo tópico: Política de governança
Clause 5.3	Organizational roles, responsibilities and authorities	Correspondência	1.2	ENISA NIS2 → ISO 27001 mapping
Clause 6.1.1	General	Correspondência	2.1 7.1	Mesmo tópico: Gestão de Riscos
Clause 6.1.2	Information security risk assessment	Correspondência	2.1	Mesmo tópico: Avaliação de riscos
Clause 6.1.3	Information security risk treatment	Correspondência	2.1 7.1	Mesmo tópico: Gestão de Riscos, Avaliação de riscos
Clause 6.2	Information security objectives and planning to achieve them	Correspondência	2.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 6.3	Planning of changes	Correspondência	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 7.1	Resources	Correspondência	10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.2	Competence	Correspondência	8.2 10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.3	Awareness	Correspondência	8.1 8.2	Mesmo tópico: Conscientização e treinamento
Clause 7.4	Communication	Correspondência	4.3	Mesmo tópico: Comunicação, Comunicação e restauração
Clause 8.1	Operational planning and control	Correspondência	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 8.2	Information security risk assessment	Correspondência	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 8.3	Information security risk treatment	Correspondência	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.1	Monitoring, measurement, analysis and evaluation	Correspondência	2.2 2.3 7.1	Mesmo tópico: Conformidade
Clause 9.2.1	General	Correspondência	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.2.2	Internal audit programme	Correspondência	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.1	General	Correspondência	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.2	Management review inputs	Correspondência	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.3	Management review results	Correspondência	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 10.1	Continual improvement	Correspondência	3.6 2.3	Mesmo tópico: Lições Aprendidas (escolha do editor)

Por tópico

Ambos cobrem (43):

Política de governança Conscientização e treinamento Gestão de Riscos Risco na cadeia de suprimentos Funções e responsabilidades Conformidade Gestão de Ativos Avaliação de riscos Classificação de Dados Gestão de Vulnerabilidades Controle de acesso Autenticação multifator Criptografia Proteção de Dados Backup e recuperação Acesso privilegiado Firewall / Segmentação de rede Proteção de endpoints Gestão de Patches Configuração Segura Desenvolvimento Seguro Segurança de e-mail Confiança Zero Segurança em Nuvem DLP Monit. contínuo Registro e Auditoria Detecção de intrusão Detecção de Anomalias SIEM / SOC Resposta a Incidentes Perícia forense Comunicação Mitigação Notificação Planejamento de Recuperação Continuidade de Negócios Lições Aprendidas Comunicação e restauração Recuperação de desastres Ameaça interna Gestão de Risco de Fornecedores Segurança Física

Apenas ISO 27001 (7):

Ambiente de Negócios Inteligência de Ameaças Segurança Web Segurança Móvel Segurança de DNS WAF Segurança de APIs

Perguntas

A certificação ISO 27001 atende à NIS2?

Não por si só. Ela cobre a maioria das medidas técnicas e organizacionais, mas não os prazos de notificação, o treinamento da gestão, o registro ou todos os requisitos técnicos específicos.

A NIS2 exigirá a certificação ISO 27001?

A NIS2 permite que os Estados-membros exijam esquemas de certificação para alguns serviços, mas não exige a ISO 27001 de forma geral. Verifique a sua legislação nacional.

Os reguladores da NIS2 aceitam certificados ISO 27001?

As autoridades podem considerar a certificação como evidência, e algumas leis nacionais a mencionam, mas avaliam a conformidade com a própria NIS2. Um certificado não cobre os deveres de notificação, governança e registro.

A NIS2 é mais rigorosa que a ISO 27001?

Em alguns pontos. A NIS2 acrescenta obrigações legais que a ISO não tem (prazos de notificação, responsabilização da gestão, supervisão com multas), e o Regulamento de Execução é mais prescritivo em alguns pontos técnicos. A ISO 27001 exige um sistema de gestão completo, o que a NIS2 não exige.

A NIS2 se aplica a empresas fora da UE?

Pode se aplicar. Alguns prestadores digitais que oferecem serviços na UE sem estar estabelecidos ali devem designar um representante em um Estado-membro e cumprir a norma.

Quais são as penalidades previstas na NIS2?

Os Estados-membros devem prever multas de pelo menos €10 milhões ou 2% do faturamento anual mundial para entidades essenciais, e de €7 milhões ou 1.4% para entidades importantes, prevalecendo o valor mais alto.

Uma empresa sem ISO 27001 deve se certificar para a NIS2?

A certificação não é obrigatória, mas um SGSI é uma forma eficiente de implementar e comprovar as medidas da NIS2. Muitas organizações constroem o SGSI para a NIS2 e decidem sobre a certificação separadamente.

Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.

Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · Vagamente relacionado compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.