Сравнение

NIS2 и ISO 27001: достаточно ли вашей ISMS?

ISO/IEC 27001:2022 · NIS2 Implementing Regulation (EU) 2024/2690 · данные на 2026-10-27

По параметру «Paul Gillet» · Обновлено 2026-10-17

NIS2 (Директива (ЕС) 2022/2555) требует от существенных и важных субъектов по всему ЕС принимать меры управления рисками кибербезопасности и сообщать о существенных инцидентах. Имплементационный регламент Комиссии (ЕС) 2024/2690 подробно описывает эти меры для поставщиков цифровой инфраструктуры и ИКТ-услуг (DNS, облачные сервисы, дата-центры, управляемые поставщики услуг и управляемые поставщики услуг безопасности, онлайн-платформы и другие). Техническое руководство ENISA по внедрению сопоставляет каждое из его требований со стандартом ISO/IEC 27001:2022.

Именно это сопоставление объясняет, почему каждый пункт NIS2 ниже отображается как покрытый, если у вас уже есть ISO 27001: ENISA связывает каждый пункт с конкретными пунктами ISO или контролями Приложения A. ISMS по ISO 27001 — самый прямой путь к технической готовности к NIS2, и многие государства-члены рассматривают её как весомое доказательство.

Но ENISA прямо указывает, что внедрение сопоставленных стандартов «не предполагает соответствия». NIS2 также вводит обязательства, которых нет в ISO: подотчётность руководящего органа и его обучение (статья 20), сообщение об инцидентах в ваш CSIRT или орган в установленные сроки (статья 23: предварительное уведомление в течение 24 часов, уведомление в течение 72 часов, итоговый отчёт в течение месяца), регистрацию в национальном органе и национальные детали транспонирования, которые различаются по странам.

При переходе от NIS2 к ISO оставшаяся работа — это сертифицируемая система менеджмента: область применения, лидерство, документированная информация, внутренний аудит и анализ со стороны руководства.

Кратко

	ISO 27001	NIS2
Что это такое	Добровольный сертифицируемый стандарт	Законодательство ЕС, применяемое через национальное законодательство
Кому применяется	Всем, кто его выбирает	Существенные и важные субъекты в 18 секторах
Сообщение об инцидентах	Стандартом не требуется	Предварительное уведомление в течение 24 часов, уведомление в течение 72 часов, итоговый отчёт в течение одного месяца
Ответственность руководства	Обязательство руководства (пункт 5)	Руководство должно утверждать меры, контролировать их и проходить обучение, при этом может быть привлечено к ответственности
Оценка	Аудит органа по сертификации	Надзор, проверки и штрафы национального органа
Официальное сопоставление	—	ENISA сопоставляет каждый пункт Имплементационного регламента с ISO 27001

Чего ISO 27001 не даёт

Сроки уведомления: проверенная процедура, позволяющая определить, является ли инцидент существенным, и уведомить в течение 24 и 72 часов, в том числе в нерабочее время.
Обучение руководства и ответственность: статья 20 требует, чтобы руководящий орган проходил обучение и утверждал меры.
Регистрация в национальном органе.
Специфические технические требования: некоторые пункты Имплементационного регламента (например, о криптографии, управлении уязвимостями и безопасности цепочки поставок) более предписывающие, чем соответствующий контроль Приложения A.
Область применения: сертификат ISO может охватывать только часть организации, тогда как NIS2 применяется к субъекту в целом.

Использование ISO 27001 в качестве основы

Если у вас есть сертификат, проведите анализ разрывов по вашему Заявлению о применимости относительно Приложения Имплементационного регламента (или статьи 21 в соответствии с вашим национальным законодательством), при необходимости распространите область ISMS на весь субъект и добавьте процедуру уведомления и обучение руководства в ISMS, чтобы они проверялись наряду со всем остальным. Соответствие определяют надзорные органы, а не органы по сертификации, но работающая ISMS является весомым доказательством эффективности мер.

Кому что нужно

NIS2 обязателен для существенных и важных субъектов в перечисленных в нём секторах, как правило, для средних и крупных организаций, работающих в ЕС, а также для некоторых небольших поставщиков, например поставщиков DNS и поставщиков доверительных услуг. ISO 27001 добровольен, но часто требуется клиентами. Организации, подпадающие под NIS2 и при этом продающие корпоративным клиентам или участвующие в госзакупках, обычно получают оба: NIS2, потому что это требует закон, и ISO 27001, потому что клиенты запрашивают сертификат.

Затраты и усилия

Для организации, уже имеющей ISO 27001, большая часть затрат на NIS2 приходится на управление и процессы, а не на технологии: обучение и утверждение мер руководством, проверенная процедура уведомления о существенных инцидентах, требования безопасности к поставщикам, включённые в договоры, регистрация и доказательства того, что меры работают. Технические пробелы есть, но обычно они уже: раскрытие уязвимостей, правила криптографии и специфические меры безопасности цепочки поставок. Для организации, начинающей с нуля, построение ISMS в духе ISO часто является наиболее эффективным способом выполнить меры статьи 21 NIS2, независимо от того, будет ли она впоследствии сертифицироваться.

Сроки

Организация, уже имеющая сертификат ISO, обычно может закрыть специфические для NIS2 пробелы за три–шесть месяцев: сначала регистрация и обучение руководства, процедура уведомления — в первом квартале, затем безопасность поставщиков и более специфические технические меры. Наш план перехода от ISO 27001 к NIS2 подробно описывает порядок действий. Если ISO нет, закладывайте шесть–двенадцать месяцев, которые обычно требуются для первой ISMS, с приоритетом для уведомления и управления, поскольку надзорные органы проверяют их в первую очередь.

Практический пример: управляемый поставщик услуг

Поставщик управляемых услуг в ЕС с 200 сотрудниками имеет ISO 27001 для своих услуг хостинга и поддержки. Как поставщик управляемых услуг, он подпадает под NIS2, и детальные меры Имплементационного регламента применяются к нему напрямую.

Сопоставление ENISA показывает, что каждый пункт Имплементационного регламента связан с контролем ISO, который компания уже применяет. Поэтому её работа по устранению разрывов сосредоточена на следующем: расширение области ISMS с двух линеек услуг на весь субъект; обучение правления и фиксация его одобрения мер; построение процедуры уведомления о существенных инцидентах в течение 24 часов с покрытием в нерабочее время; добавление требований безопасности и условий уведомления об инцидентах в собственные договоры с поставщиками; публикация политики скоординированного раскрытия уязвимостей. В течение шести месяцев она может показать национальному органу работающий, проверенный набор мер, а ISMS обеспечит доказательства эффективности, которых требует статья 21(2)(f).

Распространённые ошибки

Предположение, что сертификат всё решает. Надзорные органы оценивают соответствие NIS2; органы по сертификации — нет.
Узкая область применения. Область ISO, охватывающая одну линейку услуг, не покрывает общеорганизационную юридическую обязанность.
Написанная, но не проверенная процедура уведомления, особенно в нерабочее время, когда сроки в 24 часа труднее всего соблюсти.
Игнорирование национального законодательства. Регистрация, надзор и некоторые детали различаются между государствами-членами.
Обучение руководства один раз и забвение о нём. Статья 20 предполагает поддержание обучения, а не единичное занятие.

Основные выводы

ISO 27001 → NIS2: технические меры в основном покрыты; добавьте процедуры уведомления по статье 23, обучение руководства и национальную регистрацию.
Проверьте транспонирование в вашей стране: требования и надзорная практика различаются по государствам-членам.
Убедитесь, что безопасность цепочки поставок (раздел 5 CIR) подтверждена доказательствами, а не только политикой.

Скачать это сравнение (CSV) Открыть в анализе разрывов →

Есть ISO 27001 → нужен NIS2

49 треб.

сопоставлено: 49 · · 0 без сопоставления Открыть в представлении разрывов →

Из 49 требований NIS2 Implementing Regulation (EU) 2024/2690 49 сопоставлены с чем-либо в ISO 27001, 0 связаны лишь косвенно, а для 0 в наших данных нет сопоставления.

NIS2 в этом справочнике — это технические меры Имплементирующего регламента (ЕС) 2024/2690, который напрямую применяется к поставщикам цифровой инфраструктуры и ИКТ-услуг; другие субъекты NIS2 руководствуются национальной транспозицией статьи 21. Сроки уведомления об инцидентах (статья 23) не входят в область охвата. Сопоставление ENISA не является обязательным.

Сопоставлено (49)

NIS2	Требование	Совпадение	ISO 27001	Доказательства
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Соответствия	A.5.1 A.5.37 Clause 5.2+3	Та же тема: Политика управления
1.2	Roles, responsibilities and authorities	Соответствия	A.5.2 A.5.4 A.5.3+1	Та же тема: Роли и обязанности
2. Risk management policy · 3
2.1	Risk management framework	Соответствия	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3+8	Та же тема: Управление рисками, Оценка рисков
2.2	Compliance monitoring	Соответствия	A.5.31 Clause 9.1 A.5.36+2	Та же тема: Соответствие требованиям
2.3	Independent review of information and network security	Соответствия	A.5.31 A.5.36 Clause 9.1+4	Та же тема: Соответствие требованиям (выбор редакции)
3. Incident handling · 6
3.1	Incident handling policy	Соответствия	A.5.24 A.5.25 A.5.26	Та же тема: Реагирование на инциденты
3.2	Monitoring and logging	Соответствия	A.5.25 A.8.15 A.8.16+2	Та же тема: SIEM / SOC, Логирование и аудит, Непрерывный мониторинг, Обнаружение вторжений
3.3	Event reporting	Соответствия	A.5.5 A.6.8	Та же тема: Отчётность
3.4	Event assessment and classification	Соответствия	A.5.25 A.8.16	Та же тема: SIEM / SOC, Обнаружение аномалий
3.5	Incident response	Соответствия	A.5.24 A.5.25 A.5.26+1	Та же тема: Реагирование на инциденты, Митигация
3.6	Post-incident reviews	Соответствия	A.5.27 Clause 10.1	Та же тема: Извлечённые уроки
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Соответствия	A.5.29 A.5.30 A.8.14	Та же тема: Планирование восстановления, Непрерывность бизнеса, Аварийное восстановление
4.2	Backup management	Соответствия	A.5.30 A.8.13 A.8.14	Та же тема: Аварийное восстановление, Резервное копирование и восстановление
4.3	Crisis management	Соответствия	A.5.26 A.5.29 A.5.30+3	Та же тема: Коммуникации и восстановление, Непрерывность бизнеса
5. Supply chain security · 2
5.1	Supply chain security policy	Соответствия	A.5.19 A.5.20 A.5.21+2	Та же тема: Управление рисками цепочки поставок, Управление рисками поставщиков
5.2	Directory of suppliers and service providers	Соответствия	A.5.19 A.5.20 A.5.22	Та же тема: Управление рисками поставщиков
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Соответствия	A.5.19 A.5.20 A.5.21+2	Та же тема: Управление рисками цепочки поставок, Управление рисками поставщиков
6.2	Secure development life cycle	Соответствия	A.8.25 A.8.26 A.8.28+2	Та же тема: Безопасная разработка
6.3	Configuration management	Соответствия	A.8.9	Та же тема: Безопасная конфигурация
6.4	Change management, repairs and maintenance	Соответствия	A.7.13 A.8.32 Clause 6.3+1	ENISA NIS2 → ISO 27001 mapping
6.5	Security testing	Соответствия	A.8.8 A.8.29 A.8.33+1	Та же тема: Управление уязвимостями
6.6	Security patch management	Соответствия	A.8.8 A.8.31 A.8.32	Та же тема: Управление исправлениями
6.7	Network security	Соответствия	A.8.20 A.8.21 A.8.22+1	Та же тема: Межсетевой экран / сегментация сети
6.8	Network segmentation	Соответствия	A.5.15 A.8.5 A.8.20+2	Та же тема: Нулевое доверие, Межсетевой экран / сегментация сети
6.9	Protection against malicious and unauthorised software	Соответствия	A.5.14 A.8.19 A.8.1+2	Та же тема: Безопасность электронной почты, Защита конечных точек
6.10	Vulnerability handling and disclosure	Соответствия	A.8.8	Та же тема: Управление уязвимостями
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Соответствия	Clause 6.1.1 Clause 6.1.3 Clause 6.2+2	Та же тема: Управление рисками
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Соответствия	A.6.3 Clause 7.3 A.8.7	Та же тема: Осведомлённость и обучение
8.2	Security training	Соответствия	A.6.3 Clause 7.3 Clause 7.2	Та же тема: Осведомлённость и обучение
9. Cryptography · 1
9.1	Cryptography	Соответствия	A.8.24 A.5.31	Та же тема: Шифрование
10. Human resources security · 4
10.1	Human resources security	Соответствия	A.6.2 A.6.3 Clause 7.1+1	ENISA NIS2 → ISO 27001 mapping
10.2	Verification of Background	Соответствия	A.6.1 A.6.4 A.8.16	Та же тема: Внутренние угрозы
10.3	Termination or change of employment procedures	Соответствия	A.6.5	ENISA NIS2 → ISO 27001 mapping
10.4	Disciplinary process	Соответствия	A.6.1 A.6.4 A.8.16+1	Та же тема: Внутренние угрозы
11. Access control · 7
11.1	Access control policy	Соответствия	A.5.15 A.5.16 A.5.18+5	Та же тема: Контроль доступа, Нулевое доверие
11.2	Management of access rights	Соответствия	A.5.15 A.5.16 A.5.18+2	Та же тема: Контроль доступа
11.3	Privileged accounts and system administration accounts	Соответствия	A.8.2 A.8.18	Та же тема: Привилегированный доступ
11.4	Administration systems	Соответствия	A.8.2 A.8.18	Та же тема: Привилегированный доступ
11.5	Identification	Соответствия	A.5.15 A.5.16 A.5.18+1	Та же тема: Контроль доступа
11.6	Authentication	Соответствия	A.5.15 A.8.5 A.8.22+1	Та же тема: Нулевое доверие, Многофакторная аутентификация
11.7	Multi-factor authentication	Соответствия	A.8.5	Та же тема: Многофакторная аутентификация
12. Asset management · 5
12.1	Asset classification	Соответствия	A.5.12 A.5.13 A.5.9	Та же тема: Классификация данных
12.2	Handling of assets	Соответствия	A.5.14 A.8.10 A.8.11+3	Та же тема: Защита данных
12.3	Removable media policy	Соответствия	A.5.14 A.8.10 A.8.11+3	Та же тема: Защита данных
12.4	Asset inventory	Соответствия	A.5.9 A.5.11 A.7.14	Та же тема: Управление активами
12.5	Deposit, return or deletion of assets upon termination of employment	Соответствия	A.5.11 A.5.18 A.8.24	ENISA NIS2 → ISO 27001 mapping
13. Environmental and physical security · 3
13.1	Supporting utilities	Соответствия	A.7.1 A.7.2 A.7.3+6	Та же тема: Физическая безопасность
13.2	Protection against physical and environmental threats	Соответствия	A.7.1 A.7.2 A.7.3+6	Та же тема: Физическая безопасность
13.3	Perimeter and physical access control	Соответствия	A.7.1 A.7.2 A.7.3+6	Та же тема: Физическая безопасность

Есть NIS2 → нужен ISO 27001

123 треб.

сопоставлено: 104 · · 6 без сопоставления Открыть в представлении разрывов →

Из 123 требований ISO/IEC 27001:2022 104 сопоставлены с чем-либо в NIS2, 13 связаны лишь косвенно, а для 6 в наших данных нет сопоставления.

Вероятно, новая работа: требования ISO 27001 без сопоставления с NIS2 (6)

ISO 27001	Требование	Совпадение	NIS2	Доказательства
ISMS clauses 4–10 · 6
Clause 4.3	Determining the scope of the ISMS	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
Clause 5.1	Leadership and commitment	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
Clause 7.5.1	General	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
Clause 7.5.2	Creating and updating	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
Clause 7.5.3	Control of documented information	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.
Clause 10.2	Nonconformity and corrective action	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с NIS2.

Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (13)

ISO 27001	Требование	Совпадение	NIS2	Доказательства
A.5 Organizational controls · 3
A.5.8	Information security in project management	Косвенно связано	5.1 5.2 6.2+2	Совпадает только CSF GV.OC-05, ID.AM-08: связь косвенная, это не сопоставление
A.5.33	Protection of records	Косвенно связано	9.1 12.3	Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление
A.5.34	Privacy and protection of PII	Косвенно связано	1.1 6.1	Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление
A.6 People controls · 2
A.6.6	Confidentiality or non-disclosure agreements	Косвенно связано	2.1 10.1 10.2+1	Совпадает только CSF GV.RR-03, GV.RR-04: связь косвенная, это не сопоставление
A.6.7	Remote working	Косвенно связано	1.1 10.1 10.2+5	Совпадает только CSF GV.PO-01, GV.RR-04: связь косвенная, это не сопоставление
A.7 Physical controls · 1
A.7.9	Security of assets off-premises	Косвенно связано	9.1 12.3	Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление
A.8 Technological controls · 4
A.8.4	Access to source code	Косвенно связано	9.1 11.1 11.2+4	Совпадает только CSF PR.DS-01, PR.DS-02, PR.AA-05: связь косвенная, это не сопоставление
A.8.6	Capacity management	Косвенно связано	6.6 6.9	Совпадает только CSF DE.CM-09: связь косвенная, это не сопоставление
A.8.23	Web filtering	Косвенно связано	6.7 6.8	Совпадает только CSF PR.IR-01: связь косвенная, это не сопоставление
A.8.27	Secure system architecture and engineering principles	Косвенно связано	4.3	Совпадает только CSF PR.IR-03: связь косвенная, это не сопоставление
ISMS clauses 4–10 · 3
Clause 4.1	Understanding the organization and its context	Косвенно связано	1.1	Совпадает только CSF GV.OC-02: связь косвенная, это не сопоставление
Clause 4.2	Understanding the needs and expectations of interested parties	Косвенно связано	5.1 1.1 9.1+5	Совпадает только CSF GV.OC-03, GV.SC-05, GV.SC-06, GV.OC-02…: связь косвенная, это не сопоставление
Clause 4.4	Information security management system	Косвенно связано	1.1	Совпадает только CSF GV.OC-02: связь косвенная, это не сопоставление

Сопоставлено (104)

ISO 27001	Требование	Совпадение	NIS2	Доказательства
A.5 Organizational controls · 34
A.5.1	Policies for information security	Соответствия	1.1	Та же тема: Политика управления
A.5.2	Information security roles and responsibilities	Соответствия	1.2	Та же тема: Роли и обязанности
A.5.3	Segregation of duties	Соответствия	1.2 11.2	ENISA NIS2 → ISO 27001 mapping
A.5.4	Management responsibilities	Соответствия	1.2 1.1	Та же тема: Роли и обязанности
A.5.5	Contact with authorities	Соответствия	3.3	Та же тема: Отчётность
A.5.6	Contact with special interest groups	Редакционные материалы	4.3	Та же тема: Коммуникация (выбор редакции)
A.5.7	Threat intelligence	Соответствия	2.1	ENISA NIS2 → ISO 27001 mapping
A.5.9	Inventory of information and other associated assets	Соответствия	12.4 12.1 12.2	Та же тема: Управление активами
A.5.10	Acceptable use of information and other associated assets	Соответствия	12.2	ENISA NIS2 → ISO 27001 mapping
A.5.11	Return of assets	Соответствия	12.4 12.5	Та же тема: Управление активами
A.5.12	Classification of information	Соответствия	12.1	Та же тема: Классификация данных
A.5.13	Labelling of information	Соответствия	12.1	Та же тема: Классификация данных
A.5.14	Information transfer	Соответствия	6.9 12.2 12.3	Та же тема: Безопасность электронной почты, Защита данных
A.5.15	Access control	Соответствия	6.8 11.1 11.2+2	Та же тема: Нулевое доверие, Контроль доступа
A.5.16	Identity management	Соответствия	11.1 11.2 11.5	Та же тема: Контроль доступа
A.5.17	Authentication information	Соответствия	11.6	ENISA NIS2 → ISO 27001 mapping
A.5.18	Access rights	Соответствия	11.1 11.2 11.5+1	Та же тема: Контроль доступа
A.5.19	Information security in supplier relationships	Соответствия	5.1 5.2 6.1+1	Та же тема: Управление рисками цепочки поставок, Управление рисками поставщиков
A.5.20	Addressing information security within supplier agreements	Соответствия	5.1 5.2 6.1+1	Та же тема: Управление рисками поставщиков
A.5.21	Managing information security in the ICT supply chain	Соответствия	5.1 6.1 2.1	Та же тема: Управление рисками цепочки поставок
A.5.22	Monitoring, review and change management of supplier services	Соответствия	5.1 5.2 6.1	Та же тема: Управление рисками поставщиков
A.5.23	Information security for use of cloud services	Соответствия	6.1	Та же тема: Безопасность облачных сред
A.5.24	Information security incident management planning and preparation	Соответствия	3.1 3.5	Та же тема: Реагирование на инциденты
A.5.25	Assessment and decision on information security events	Соответствия	3.1 3.2 3.4+1	Та же тема: Реагирование на инциденты, SIEM / SOC
A.5.26	Response to information security incidents	Соответствия	3.1 3.5 4.3	Та же тема: Реагирование на инциденты, Митигация, Коммуникации и восстановление
A.5.27	Learning from information security incidents	Соответствия	3.6	Та же тема: Извлечённые уроки
A.5.28	Collection of evidence	Соответствия	3.5 3.2 10.4	Та же тема: Криминалистический анализ
A.5.29	Information security during disruption	Соответствия	4.1 4.3	Та же тема: Планирование восстановления, Непрерывность бизнеса
A.5.30	ICT readiness for business continuity	Соответствия	4.1 4.2 4.3	Та же тема: Планирование восстановления, Непрерывность бизнеса, Аварийное восстановление
A.5.31	Legal, statutory, regulatory and contractual requirements	Соответствия	2.2 2.3 9.1	Та же тема: Соответствие требованиям
A.5.32	Intellectual property rights	Соответствия	6.9	ENISA NIS2 → ISO 27001 mapping
A.5.35	Independent review of information security	Соответствия	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
A.5.36	Compliance with policies, rules and standards for information security	Соответствия	2.2 2.3 1.1	Та же тема: Соответствие требованиям (выбор редакции)
A.5.37	Documented operating procedures	Соответствия	1.1	Та же тема: Политика управления
A.6 People controls · 6
A.6.1	Screening	Соответствия	10.2 10.4	Та же тема: Внутренние угрозы
A.6.2	Terms and conditions of employment	Соответствия	10.1	ENISA NIS2 → ISO 27001 mapping
A.6.3	Information security awareness, education and training	Соответствия	8.1 8.2 10.1	Та же тема: Осведомлённость и обучение
A.6.4	Disciplinary process	Соответствия	10.2 10.4	Та же тема: Внутренние угрозы
A.6.5	Responsibilities after termination or change of employment	Соответствия	10.3	ENISA NIS2 → ISO 27001 mapping
A.6.8	Information security event reporting	Соответствия	3.3	Та же тема: Отчётность
A.7 Physical controls · 13
A.7.1	Physical security perimeters	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
A.7.2	Physical entry	Соответствия	13.1 13.2 13.3+1	Та же тема: Физическая безопасность
A.7.3	Securing offices, rooms and facilities	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
A.7.4	Physical security monitoring	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
A.7.5	Protecting against physical and environmental threats	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
A.7.6	Working in secure areas	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
A.7.7	Clear desk and clear screen	Соответствия	12.3	ENISA NIS2 → ISO 27001 mapping
A.7.8	Equipment siting and protection	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
A.7.10	Storage media	Соответствия	12.2 12.3	ENISA NIS2 → ISO 27001 mapping
A.7.11	Supporting utilities	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
A.7.12	Cabling security	Соответствия	13.1 13.2 13.3	Та же тема: Физическая безопасность
A.7.13	Equipment maintenance	Соответствия	6.4	ENISA NIS2 → ISO 27001 mapping
A.7.14	Secure disposal or re-use of equipment	Соответствия	12.4	Та же тема: Управление активами
A.8 Technological controls · 30
A.8.1	User endpoint devices	Редакционные материалы	6.9	Та же тема: Защита конечных точек (выбор редакции)
A.8.2	Privileged access rights	Соответствия	11.3 11.4	Та же тема: Привилегированный доступ
A.8.3	Information access restriction	Соответствия	11.1 11.2 11.5	Та же тема: Контроль доступа
A.8.5	Secure authentication	Соответствия	6.8 11.1 11.6+1	Та же тема: Нулевое доверие, Многофакторная аутентификация
A.8.7	Protection against malware	Соответствия	6.9 8.1	Та же тема: Защита конечных точек (выбор редакции)
A.8.8	Management of technical vulnerabilities	Соответствия	6.5 6.6 6.10	Та же тема: Управление уязвимостями, Управление исправлениями
A.8.9	Configuration management	Соответствия	6.3	Та же тема: Безопасная конфигурация
A.8.10	Information deletion	Соответствия	12.2 12.3	Та же тема: Защита данных
A.8.11	Data masking	Соответствия	12.2 12.3	Та же тема: Защита данных
A.8.12	Data leakage prevention	Соответствия	12.3	Та же тема: DLP
A.8.13	Information backup	Соответствия	4.2	Та же тема: Резервное копирование и восстановление
A.8.14	Redundancy of information processing facilities	Соответствия	4.1 4.2 4.3	Та же тема: Непрерывность бизнеса, Аварийное восстановление
A.8.15	Logging	Соответствия	3.2	Та же тема: Логирование и аудит
A.8.16	Monitoring activities	Соответствия	3.2 3.4 10.2+2	Та же тема: Непрерывный мониторинг, Обнаружение вторжений, SIEM / SOC, Обнаружение аномалий, Внутренние угрозы
A.8.17	Clock synchronization	Соответствия	3.2	Та же тема: Логирование и аудит
A.8.18	Use of privileged utility programs	Соответствия	11.3 11.4	Та же тема: Привилегированный доступ
A.8.19	Installation of software on operational systems	Соответствия	6.9	Та же тема: Защита конечных точек
A.8.20	Networks security	Соответствия	6.7 6.8	Та же тема: Межсетевой экран / сегментация сети
A.8.21	Security of network services	Соответствия	6.7 6.8 11.1	Та же тема: Межсетевой экран / сегментация сети
A.8.22	Segregation of networks	Соответствия	6.7 6.8 11.1+1	Та же тема: Межсетевой экран / сегментация сети, Нулевое доверие
A.8.24	Use of cryptography	Соответствия	9.1 12.5	Та же тема: Шифрование
A.8.25	Secure development life cycle	Соответствия	6.2	Та же тема: Безопасная разработка
A.8.26	Application security requirements	Соответствия	6.2	Та же тема: Безопасная разработка
A.8.28	Secure coding	Соответствия	6.2	Та же тема: Безопасная разработка
A.8.29	Security testing in development and acceptance	Соответствия	6.2 6.5	Та же тема: Безопасная разработка
A.8.30	Outsourced development	Соответствия	5.1	ENISA NIS2 → ISO 27001 mapping
A.8.31	Separation of development, test and production environments	Соответствия	6.2 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.32	Change management	Соответствия	6.4 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.33	Test information	Соответствия	6.5	ENISA NIS2 → ISO 27001 mapping
A.8.34	Protection of information systems during audit testing	Соответствия	2.3 6.5	ENISA NIS2 → ISO 27001 mapping
ISMS clauses 4–10 · 21
Clause 5.2	Policy	Соответствия	1.1	Та же тема: Политика управления
Clause 5.3	Organizational roles, responsibilities and authorities	Соответствия	1.2	ENISA NIS2 → ISO 27001 mapping
Clause 6.1.1	General	Соответствия	2.1 7.1	Та же тема: Управление рисками
Clause 6.1.2	Information security risk assessment	Соответствия	2.1	Та же тема: Оценка рисков
Clause 6.1.3	Information security risk treatment	Соответствия	2.1 7.1	Та же тема: Управление рисками, Оценка рисков
Clause 6.2	Information security objectives and planning to achieve them	Соответствия	2.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 6.3	Planning of changes	Соответствия	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 7.1	Resources	Соответствия	10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.2	Competence	Соответствия	8.2 10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.3	Awareness	Соответствия	8.1 8.2	Та же тема: Осведомлённость и обучение
Clause 7.4	Communication	Соответствия	4.3	Та же тема: Коммуникация, Коммуникации и восстановление
Clause 8.1	Operational planning and control	Соответствия	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 8.2	Information security risk assessment	Соответствия	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 8.3	Information security risk treatment	Соответствия	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.1	Monitoring, measurement, analysis and evaluation	Соответствия	2.2 2.3 7.1	Та же тема: Соответствие требованиям
Clause 9.2.1	General	Соответствия	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.2.2	Internal audit programme	Соответствия	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.1	General	Соответствия	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.2	Management review inputs	Соответствия	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.3	Management review results	Соответствия	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 10.1	Continual improvement	Соответствия	3.6 2.3	Та же тема: Извлечённые уроки (выбор редакции)

По темам

Охватывают оба (43):

Политика управления Осведомлённость и обучение Управление рисками Управление рисками цепочки поставок Роли и обязанности Соответствие требованиям Управление активами Оценка рисков Классификация данных Управление уязвимостями Контроль доступа Многофакторная аутентификация Шифрование Защита данных Резервное копирование и восстановление Привилегированный доступ Межсетевой экран / сегментация сети Защита конечных точек Управление исправлениями Безопасная конфигурация Безопасная разработка Безопасность электронной почты Нулевое доверие Безопасность облачных сред DLP Непрерывный мониторинг Логирование и аудит Обнаружение вторжений Обнаружение аномалий SIEM / SOC Реагирование на инциденты Криминалистический анализ Коммуникация Митигация Отчётность Планирование восстановления Непрерывность бизнеса Извлечённые уроки Коммуникации и восстановление Аварийное восстановление Внутренние угрозы Управление рисками поставщиков Физическая безопасность

Только ISO 27001 (7):

Бизнес-среда Разведка угроз Безопасность веб-приложений Безопасность мобильных устройств Безопасность DNS WAF Безопасность API

Вопросы

Удовлетворяет ли сертификация ISO 27001 требованиям NIS2?

Сама по себе нет. Она охватывает большинство технических и организационных мер, но не сроки уведомления, обучение руководства, регистрацию или каждое специфическое техническое требование.

Потребует ли NIS2 сертификации ISO 27001?

NIS2 позволяет государствам-членам требовать схемы сертификации для некоторых услуг, но в целом не требует ISO 27001. Проверьте национальное законодательство.

Принимают ли регуляторы NIS2 сертификаты ISO 27001?

Органы могут учитывать сертификацию как доказательство, и некоторые национальные законы на неё ссылаются, но соответствие они оценивают по самому NIS2. Сертификат не покрывает обязанности по уведомлению, управлению и регистрации.

Строже ли NIS2, чем ISO 27001?

Местами да. NIS2 добавляет юридические обязанности, которых нет в ISO (сроки уведомления, ответственность руководства, надзор со штрафами), а Имплементационный регламент более предписывающий по некоторым техническим вопросам. ISO 27001 требует полноценной системы менеджмента, чего NIS2 не требует.

Применяется ли NIS2 к компаниям вне ЕС?

Может. Некоторые цифровые поставщики, предлагающие услуги в ЕС без учреждения там, обязаны назначить представителя в одном из государств-членов и соблюдать требования.

Какие штрафы предусмотрены NIS2?

Государства-члены должны предусматривать штрафы не менее 10 млн евро или 2% мирового годового оборота для существенных субъектов и 7 млн евро или 1,4% для важных субъектов, в зависимости от того, что больше.

Должна ли компания без ISO 27001 получить сертификат для NIS2?

Сертификация не требуется, но ISMS — эффективный способ внедрить меры NIS2 и подтвердить их выполнение. Многие организации строят ISMS ради NIS2 и решают вопрос о сертификации отдельно.

Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.

Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · Косвенно связано есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.