从ISO 27001到NIS2：实用的差距弥补计划

对于已持有ISO 27001认证的组织，NIS2在很大程度上是一种扩展。ENISA的映射将NIS2实施条例中的每项技术措施与ISO 27001关联起来，我们的逐条分析说明了具体做法。但“有映射”不等于“已完成”，而ISO未覆盖的部分恰恰是监管机构最先检查的内容。以下是我们建议的工作顺序。

在 NIS2 的 49 个要求点中，49（100%）可映射到 ISO 27001 中的内容，0 个仅弱相关，0 个在本站数据中无映射。 打开差距报告 →

第1阶段：确认并注册（第1至4周）

1. 确认范围与分类：依据你提供服务所在各欧盟国家的国内法，确定行业、规模，以及属于关键实体还是重要实体。
2. 注册：如需要，向主管机构注册。各国的截止日期和格式有所不同。
3. 比较范围：你的ISO证书可能只覆盖组织的一部分，而NIS2覆盖的是整个实体。应计划扩展ISMS范围。

第2阶段：治理（第1至2个月）

1. 向管理机构介绍其第20条职责：批准各项措施、监督其实施并完成培训。记录批准与培训情况。
2. 将NIS2纳入ISMS：将其列入法律法规要求（A.5.31），纳入风险评估，并在适用性声明中添加NIS2相关引用。

第3阶段：报告（第1至3个月）

1. 建立重大事件报告程序：明确由谁判定事件重大性、由谁通知CSIRT或主管机构，以及如何满足24小时预警、72小时通报和一个月最终报告的要求。我们关于建立该程序的文章逐步介绍了具体做法。
2. 进行测试，包括非工作时间的测试。

第4阶段：深化技术措施（第2至6个月）

1. 按要求逐项比对：使用ISO 27001 → NIS2差距报告，将每一项标记为已满足、部分满足或未满足。
2. 优先处理常见差距：供应链安全（供应商标准和合同条款）、漏洞处理与协调披露、密码学策略，以及有效性评估（第21(2)(f)条）。
3. 将NIS2细化要求写入现有ISO控制措施，而非另建平行控制措施。

第5阶段：证明措施有效（持续进行）

1. 将NIS2纳入内部审计和管理评审。
2. 留存有效性证据：指标、测试结果和审计发现，因为监管人员要求的是措施确实有效的证明，而不仅仅是措施已存在。
3. 关注国家指南：主管机构仍在发布期望要求和模板。

责任分工

此类计划需要的不止ISMS经理：

• 管理机构：批准各项措施，完成培训并定期接收报告。
• 法务或合规部门：依据国内法确认范围，负责注册并跟踪国家指南。
• 安全运营团队：负责报告程序、重大性判定和演练。
• 采购部门：将供应商选择标准和安全条款纳入合同。
• 工程与IT部门：解决漏洞披露、密码学和有效性指标等技术差距。
• ISMS经理：统筹协调，保持映射关系和证据的时效性，并负责内部审计。

一开始就明确这些角色，可以避免最常见的失败：NIS2项目完全由安全团队负责，而其无权批准自身措施，也无法修改采购合同。

要点总结

• 对于已通过ISO认证的组织，NIS2是一种扩展，而非全新项目。
• 从范围、注册、管理职责和报告入手。
• 然后深化供应链、漏洞处理和密码学方面的工作。

需要避免的误区

把NIS2当作文档工作。ISO认证组织通常已有相关政策；监管人员会追问凌晨2点时报告程序能否正常运作，管理层是否真正接受过培训，以及供应商要求是否已写入实际合同。应首先在这些方面投入精力。

完整情况请参阅NIS2指南和ISO 27001与NIS2对比。

常见问题

从ISO 27001过渡到NIS2需要多长时间？

这取决于范围和发现的差距，但由于大多数技术措施可以映射，工作主要集中在治理、报告、供应商安全以及深化特定控制上，通常以月计，而非一个新的多年期项目。

为满足NIS2，我需要重新进行ISO 27001认证吗？

不需要。NIS2合规由你所在国的主管机构判定，而非认证机构。将NIS2要求纳入ISMS，意味着你现有的审计也会检查这些要求。

ENISA的映射具有约束力吗？

没有。ENISA将实施条例映射至ISO 27001和NIST CSF 2.0的工作属于指导性文件。合规与否由各国主管机构依据国内法判定。