ISO 27001与NIS2对比：ISO涵盖哪些内容，逐条说明

ENISA自己的映射表将NIS2实施条例中的每一项技术措施都链接到ISO 27001。那么，为什么ISO认证还不够？答案在于映射表没有覆盖的部分。

如果你持有ISO 27001证书，而NIS2适用于你，那么首先要问的是：其中有多少工作已经完成？好消息是，欧盟网络安全局ENISA已经回答了大部分问题：其实施指南将NIS2实施条例的每一条要求都映射到ISO 27001的条款或附录A控制措施。

以下是这种映射的具体样子，逐条列出，以及NIS2中它没有涉及的部分。

核心数字

在 NIS2 的 49 个要求点中，49（100%）可映射到 ISO 27001 中的内容，0 个仅弱相关，0 个在本站数据中无映射。打开差距报告 →

NIS2实施条例（EU）2024/2690附件中的每一条要求点，都能在ISO 27001中找到对应内容。这些关联来自ENISA自己的映射表，而非我们的判断，因此我们将其标注为对照映射。

NIS2每一条要求点及其ISO对应项

NIS2	要求	匹配	ISO 27001
1.1	Policy on the security of network and information systems	对照映射	A.5.1 A.5.37 Clause 5.2 A.5.4
1.2	Roles, responsibilities and authorities	对照映射	A.5.2 A.5.4 A.5.3 Clause 5.3
2.1	Risk management framework	对照映射	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3 A.5.7
2.2	Compliance monitoring	对照映射	A.5.31 Clause 9.1 A.5.36 A.5.35
2.3	Independent review of information and network security	对照映射	A.5.31 A.5.36 Clause 9.1 A.5.35
3.1	Incident handling policy	对照映射	A.5.24 A.5.25 A.5.26
3.2	Monitoring and logging	对照映射	A.5.25 A.8.15 A.8.16 A.8.17
3.3	Event reporting	对照映射	A.5.5 A.6.8
3.4	Event assessment and classification	对照映射	A.5.25 A.8.16
3.5	Incident response	对照映射	A.5.24 A.5.25 A.5.26 A.5.28
3.6	Post-incident reviews	对照映射	A.5.27 Clause 10.1
4.1	Business continuity and disaster recovery plan	对照映射	A.5.29 A.5.30 A.8.14
4.2	Backup management	对照映射	A.5.30 A.8.13 A.8.14
4.3	Crisis management	对照映射	A.5.26 A.5.29 A.5.30 A.8.14
5.1	Supply chain security policy	对照映射	A.5.19 A.5.20 A.5.21 A.5.22
5.2	Directory of suppliers and service providers	对照映射	A.5.19 A.5.20 A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	对照映射	A.5.19 A.5.20 A.5.21 A.5.22
6.2	Secure development life cycle	对照映射	A.8.25 A.8.26 A.8.28 A.8.29
6.3	Configuration management	对照映射	A.8.9
6.4	Change management, repairs and maintenance	对照映射	A.7.13 A.8.32 Clause 6.3 Clause 8.1
6.5	Security testing	对照映射	A.8.8 A.8.29 A.8.33 A.8.34
6.6	Security patch management	对照映射	A.8.8 A.8.31 A.8.32
6.7	Network security	对照映射	A.8.20 A.8.21 A.8.22 A.8.16
6.8	Network segmentation	对照映射	A.5.15 A.8.5 A.8.20 A.8.21
6.9	Protection against malicious and unauthorised software	对照映射	A.5.14 A.8.19 A.8.1 A.8.7
6.10	Vulnerability handling and disclosure	对照映射	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	对照映射	Clause 6.1.1 Clause 6.1.3 Clause 6.2 Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	对照映射	A.6.3 Clause 7.3 A.8.7
8.2	Security training	对照映射	A.6.3 Clause 7.3 Clause 7.2
9.1	Cryptography	对照映射	A.8.24 A.5.31
10.1	Human resources security	对照映射	A.6.2 A.6.3 Clause 7.1 Clause 7.2
10.2	Verification of Background	对照映射	A.6.1 A.6.4 A.8.16
10.3	Termination or change of employment procedures	对照映射	A.6.5
10.4	Disciplinary process	对照映射	A.6.1 A.6.4 A.8.16 A.5.28
11.1	Access control policy	对照映射	A.5.15 A.5.16 A.5.18 A.8.3
11.2	Management of access rights	对照映射	A.5.15 A.5.16 A.5.18 A.8.3
11.3	Privileged accounts and system administration accounts	对照映射	A.8.2 A.8.18
11.4	Administration systems	对照映射	A.8.2 A.8.18
11.5	Identification	对照映射	A.5.15 A.5.16 A.5.18 A.8.3
11.6	Authentication	对照映射	A.5.15 A.8.5 A.8.22 A.5.17
11.7	Multi-factor authentication	对照映射	A.8.5
12.1	Asset classification	对照映射	A.5.12 A.5.13 A.5.9
12.2	Handling of assets	对照映射	A.5.14 A.8.10 A.8.11 A.5.9
12.3	Removable media policy	对照映射	A.5.14 A.8.10 A.8.11 A.8.12
12.4	Asset inventory	对照映射	A.5.9 A.5.11 A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	对照映射	A.5.11 A.5.18 A.8.24
13.1	Supporting utilities	对照映射	A.7.1 A.7.2 A.7.3 A.7.4
13.2	Protection against physical and environmental threats	对照映射	A.7.1 A.7.2 A.7.3 A.7.4
13.3	Perimeter and physical access control	对照映射	A.7.1 A.7.2 A.7.3 A.7.4

请将此表理解为“在你的ISMS中去哪里查找”，而非“已经完成”。映射只说明ISO控制措施涉及相同的主题。你的实施是否满足NIS2某一要求，取决于你如何实施该控制措施，以及NIS2条文的细节，而这些细节往往比附录A更具体。

ISO 27001不能为你提供的内容

实施条例涵盖第21条规定的风险管理措施。NIS2本身还提出了更多要求，而这些都不在ISO 27001之中：

事件报告时限（第23条）：在知悉重大事件后24小时内向CSIRT或主管机构发出预警，72小时内提交事件通知，并在一个月内提交最终报告。ISO 27001要求的是事件管理，而非按时限进行的监管报告。
管理层问责（第20条）：管理机构必须批准各项措施、监督其实施，并参加培训，且可能承担法律责任。ISO的第5条要求领导层承诺，但要求较弱。
向国家主管机构注册，以及接受其监督。
适用范围：ISO证书可能只覆盖组织的一部分，而NIS2适用于实体本身。

部分附录要求也比对应的ISO控制措施走得更远。供应链安全、漏洞处理与披露以及密码学就是常见例子：ISO中有相应控制措施，但NIS2规定得更加详细。

反向视角：NIS2未涵盖而ISO包含的内容

在 ISO 27001 的 123 个附录 A 控制措施及 ISMS 条款中，104（85%）可映射到 NIS2 中的内容，13 个仅弱相关，6 个在本站数据中无映射。打开差距报告 →

没有NIS2映射的ISO要求属于管理体系的机制性内容：

ISO 27001	要求	匹配	NIS2
Clause 4.3	Determining the scope of the ISMS	本站数据中无映射	—
Clause 5.1	Leadership and commitment	本站数据中无映射	—
Clause 7.5.1	General	本站数据中无映射	—
Clause 7.5.2	Creating and updating	本站数据中无映射	—
Clause 7.5.3	Control of documented information	本站数据中无映射	—
Clause 10.2	Nonconformity and corrective action	本站数据中无映射	—

NIS2并不要求你运行可认证的管理体系，因此ISMS范围界定、文件控制和正式的纠正措施在NIS2中没有直接对应内容。这一点有两面性。从零开始为NIS2建设体系的组织并不需要这些内容，但ISMS能为你的措施是否有效提供最有力的证据，而第21条第2款(f)项确实要求提供此类证据。

剪贴板照片，上面夹着一张部分勾选的检查表，放在会议桌上的一摞装订文件上 — 映射表是指引你去哪里查看的清单，并不能证明你已合规。

如果你已持有ISO 27001，应该怎么做

确认你属于适用范围，依据你所在每个国家的国家法律判断，并在要求时完成注册。
检查证书范围是否涵盖整个实体，而不仅是某项服务或某个场所。
将你的适用性声明与上述附录要求进行比对；我们的ISO 27001 → NIS2差距报告可将比对结果导出为跟踪表。
将ISO未覆盖的内容补充到ISMS中：包括含24小时和72小时时限的报告程序、管理层培训以及注册。将其纳入ISMS后，你的内部审核和监督审核也会一并检查这些内容。
在NIS2要求更具体之处深化控制措施，首先是供应链安全和漏洞处理。

如需更全面的了解，请参阅我们的NIS2指南以及完整的ISO 27001与NIS2对比。

常见问题

仅凭ISO 27001认证能让你符合NIS2要求吗？

不能。它涵盖了大部分技术和组织措施，但NIS2还增加了事件报告时限、管理层培训与问责、向国家主管机构注册，以及一些比附录A更具体的要求。合规与否由国家主管机构而非认证机构决定。

NIS2实施条例是什么？

欧盟委员会实施条例（EU）2024/2690详细规定了NIS2第21条的措施，适用于DNS服务提供商、TLD注册管理机构、云服务和数据中心提供商、托管（安全）服务提供商、在线市场、搜索引擎、社交网络以及信任服务提供商。

数据截至 2026-10-27：本文中的数字基于当前对照映射计算，映射更新时数字随之更新。对照映射已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 非合规建议。

ISO 27001在NIS2中覆盖了哪些内容，逐条对照