От ISO 27001 к NIS2: практический план закрытия разрывов

Для организации, которая уже имеет сертификат ISO 27001, NIS2 — в основном расширение. Карта соответствий ENISA связывает каждую техническую меру из Имплементирующего регламента NIS2 с ISO 27001, а наш поточечный анализ показывает, как это сделать. Но «соответствие по карте» — это ещё не «выполнено», а именно те части, которые ISO не охватывает, регуляторы проверяют в первую очередь. Ниже — порядок работ, которому мы бы следовали.

Из 49 пункты требований NIS2 49 (100%) сопоставлены с чем-либо в ISO 27001, 0 связаны лишь косвенно, а для 0 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Этап 1: подтверждение и регистрация (недели с 1 по 4)

1. Подтвердите область применения и классификацию по национальному законодательству каждой страны ЕС, в которой вы оказываете услуги: сектор, размер, статус «существенная» или «важная» организация.
2. Зарегистрируйтесь в компетентном органе там, где это требуется. Сроки и форматы отличаются по странам.
3. Сравните области применения: сертификат ISO может охватывать только часть организации, тогда как NIS2 распространяется на юридическое лицо. Запланируйте расширение области применения СУИБ.

Этап 2: управление (месяцы с 1 по 2)

1. Проинформируйте орган управления о его обязанностях по статье 20: утверждение мер, контроль над их выполнением и прохождение обучения. Зафиксируйте утверждение и обучение документально.
2. Добавьте NIS2 в СУИБ: включите его в перечень законодательных требований (A.5.31), учтите в оценке рисков и добавьте ссылки на NIS2 в Декларацию о применимости.

Этап 3: отчётность (месяцы с 1 по 3)

1. Разработайте процедуру отчётности о значительных инцидентах: кто определяет значительность, кто уведомляет CSIRT или орган и как вы укладываетесь в предварительное уведомление за 24 часа, уведомление за 72 часа и итоговый отчёт через месяц. Наша статья о построении этой процедуры подробно описывает её шаги.
2. Проверьте её, в том числе в нерабочее время.

Этап 4: углубление технических мер (месяцы с 2 по 6)

1. Проведите сравнение по каждому требованию с отчётом о разрывах ISO 27001 → NIS2 и отметьте каждый пункт как выполненный, частично выполненный или невыполненный.
2. Приоритизируйте типичные разрывы: безопасность цепочки поставок (критерии поставщиков и условия договоров), обработка уязвимостей и координированное раскрытие информации, политика криптографии и оценка эффективности (статья 21(2)(f)).
3. Встраивайте детали NIS2 в существующие меры ISO, а не создавайте параллельные.

Этап 5: подтверждение работоспособности (постоянно)

1. Включите NIS2 во внутренний аудит и анализ со стороны руководства.
2. Храните доказательства эффективности: метрики, результаты тестов и выводы аудита, поскольку надзорные органы требуют подтверждения того, что меры работают, а не только того, что они существуют.
3. Следите за национальными рекомендациями: органы по-прежнему публикуют ожидания и шаблоны.

Кто за что отвечает

Такой план требует большего, чем участие руководителя СУИБ:

• Орган управления: утверждает меры, проходит обучение и получает регулярные отчёты.
• Юридическая служба или комплаенс: подтверждает область применения по национальному законодательству, занимается регистрацией и отслеживает национальные рекомендации.
• Операции безопасности: отвечают за процедуру отчётности, решение о значительности инцидента и учения.
• Закупки: вносят критерии выбора поставщиков и требования безопасности в договоры.
• Инженерия и ИТ: закрывают технические разрывы, например в части раскрытия уязвимостей, криптографии и метрик эффективности.
• Руководитель СУИБ: координирует работу, поддерживает актуальность карты соответствий и доказательств, а также проводит внутренний аудит.

Если назвать эти роли в самом начале, можно избежать самой распространённой ошибки: программы NIS2, которую полностью ведёт служба безопасности и которая не может сама утвердить свои меры или переписать договоры закупок.

Ключевые выводы

• Для организаций с сертификатом ISO NIS2 — это расширение, а не новая программа.
• Начните с области применения, регистрации, обязанностей руководства и отчётности.
• Затем углубите работу с цепочкой поставок, обработкой уязвимостей и криптографией.

Ловушка, которой стоит избегать

Рассмотрение NIS2 как упражнения с документами. У организаций с ISO зачастую политики уже есть; надзорные органы спросят, работает ли процедура отчётности в 2 часа ночи, действительно ли руководство прошло обучение и есть ли требования к поставщикам в реальных договорах. Сначала приложите усилия именно там.

Полную картину см. в руководстве по NIS2 и сравнении ISO 27001 и NIS2.

Вопросы

Сколько времени занимает переход от ISO 27001 к NIS2?

Это зависит от области применения и выявленных разрывов, но поскольку большая часть технических мер сопоставляется, работа в основном сводится к управлению, отчётности, безопасности поставщиков и углублению отдельных мер. Обычно это вопрос месяцев, а не новой многолетней программы.

Нужно ли повторно проходить сертификацию ISO 27001 для NIS2?

Нет. Соответствие NIS2 оценивает национальный орган, а не органа по сертификации. Если включить требования NIS2 в СУИБ, существующие аудиты будут проверять и их.

Является ли карта соответствий ENISA обязательной?

Нет. Карта соответствий ENISA между Имплементирующим регламентом и ISO 27001, а также NIST CSF 2.0 носит рекомендательный характер. Соответствие определяют национальные органы в соответствии с национальным законодательством.