对比

NIS2与ISO 27001对比：你的ISMS够用吗？

ISO/IEC 27001:2022 · NIS2 Implementing Regulation (EU) 2024/2690 · 数据截至 2026-10-27

按 Paul Gillet · 更新于 2026-10-17

NIS2（指令（EU）2022/2555）要求欧盟各地的关键实体和重要实体采取网络安全风险管理措施，并报告重大事件。《委员会实施条例》（EU）2024/2690针对数字基础设施和ICT服务提供商（包括DNS、云服务、数据中心、托管服务提供商、托管安全服务提供商、在线平台等）详细规定了这些措施。ENISA的技术实施指南将其每项要求都映射到ISO/IEC 27001:2022。

正因为有这一映射，如果你已经持有ISO 27001认证，下文中每个NIS2要点都会显示为已覆盖：ENISA将每个要点与特定的ISO条款或附录A控制措施相关联。ISO 27001 ISMS是通往NIS2技术就绪的最直接路径，许多成员国也将其视为有力的证明材料。

但ENISA明确指出，实施映射的标准“并不等同于合规”。NIS2还带来了ISO未涵盖的义务：管理机构的问责与培训（第20条）、按固定时限向CSIRT或主管机构报告事件（第23条：24小时预警、72小时通报、一个月内提交最终报告）、向国家主管机构注册，以及各国转化立法中存在差异的具体细节。

从NIS2转向ISO时，剩余工作是可认证的管理体系：范围、领导作用、成文信息、内部审核和管理评审。

概览

	ISO 27001	NIS2
性质	自愿性、可认证的标准	欧盟法律，通过国家立法实施
适用对象	任何自愿选择采用的组织	18个行业中的关键实体和重要实体
事件报告	标准未作要求	24小时预警、72小时通报、一个月内提交最终报告
管理层问责	领导作用（条款5）	管理层须批准、监督并接受培训，且可能承担法律责任
评估方式	认证机构审核	国家主管机构的监督、审计和处罚
官方映射	—	ENISA将《实施条例》的每一项要求映射至ISO 27001

ISO 27001无法提供的内容

报告时限：制定经过测试的程序，用于判断事件是否属于重大事件，并在24小时和72小时内完成通报，包括非工作时间。
管理层培训与责任：第20条要求管理机构接受培训并批准各项措施。
向国家主管机构注册。
具体技术要求：《实施条例》的部分要求（例如密码学、漏洞处理和供应链安全）比对应的附录A控制措施规定得更为具体。
范围：ISO证书可能只覆盖组织的一部分；NIS2则适用于整个实体。

以ISO 27001为基础框架

如果你已获得认证，请依据适用性声明，对照《实施条例》的附录（或依据本国法律对应第21条）开展差距分析；如有需要，将ISMS范围扩展至整个实体；并将报告程序和管理层培训纳入ISMS，使其与其他内容一同接受审核。合规性由主管机构而非认证机构认定，但运行有效的ISMS是措施有效性的有力证据。

各类适用情形

对于本指令所列行业中的关键实体和重要实体，NIS2是强制性的，通常涵盖在欧盟境内运营的中型及以上规模组织，以及DNS服务提供商和信任服务提供商等部分小型提供商。ISO 27001属于自愿性标准，但客户往往会提出要求。既受NIS2约束又向企业销售产品或参与政府采购投标的组织，通常会同时持有两者：NIS2是法律要求，ISO 27001则是客户要求提供的认证证书。

成本与投入

对于已持有ISO 27001的组织而言，NIS2的大部分成本集中在治理和流程方面，而非技术层面：包括管理层培训与批准、经过测试的重大事件报告程序、写入合同的供应商安全要求、注册，以及措施有效运行的证据。技术差距确实存在，但通常较小，主要涉及漏洞披露、密码学规则和特定的供应链措施。对于从零开始的组织，构建ISO式ISMS往往是满足NIS2第21条措施要求最高效的方式，无论之后是否进行认证。

时间安排

已通过ISO认证的组织通常可在三到六个月内弥补NIS2特有的差距：优先完成注册和管理层培训，第一季度内完成报告程序，然后处理供应商安全和更具体的技术措施。我们的ISO 27001 至 NIS2 计划详细说明了实施顺序。若尚未持有ISO认证，则应按首个ISMS通常所需的六到十二个月进行规划，并优先处理报告和治理事项，因为监管机构会首先检查这些内容。

示例：一家托管服务提供商

一家位于欧盟、拥有200名员工的托管服务提供商，其托管和支持服务已获得ISO 27001认证。作为托管服务提供商，它受NIS2约束，《实施条例》中的详细措施直接适用于该公司。

ENISA的映射表明，《实施条例》的每一项要求都与该公司已经运行的某项ISO控制措施相关联。因此，其差距工作主要聚焦于：将ISMS范围从两条服务线扩展至整个实体；培训管理委员会并记录其对各项措施的批准；建立24小时重大事件报告程序，并覆盖非工作时间；在自身供应商合同中增加安全要求和事件通报条款；发布协调的漏洞披露政策。在六个月内，该公司即可向国家主管机构展示一套运行有效、经过审核的措施，而ISMS则为第21条第2款第(f)项所要求的有效性证据提供支撑。

常见误区

以为有证书就万事大吉。 监管机构评估的是NIS2合规性，认证机构并不负责此项评估。
范围划得过窄。 仅覆盖一条服务线的ISO范围，无法满足整个实体的法定义务。
编写了报告程序却从未测试，尤其是非工作时间的测试；而24小时时限在这种情况下最难满足。
忽视国家法律。 各成员国在注册、监督及部分细节方面存在差异。
只培训一次管理层，之后便置之不理。 第20条要求培训须持续进行，而非一次性会议。

核心要点

ISO 27001 → NIS2：技术措施基本已覆盖；还需增加第23条报告程序、管理层培训和国家注册。
核查本国的转化立法：各成员国的要求和监管实践存在差异。
确保供应链安全（CIR第5节）有证据支撑，而不仅仅停留在政策层面。

下载此对比（CSV）在差距分析中打开 →

已有 ISO 27001 → 需要 NIS2

49 项要求

49 项已映射 · · 0 项无映射在差距视图中打开 →

在 49 项 NIS2 Implementing Regulation (EU) 2024/2690 要求中，49 项可映射到 ISO 27001 中的内容，0 项仅弱相关，0 项在本站数据中无映射。

本站所指 NIS2 为《实施条例》(EU) 2024/2690 的技术措施，该条例直接适用于数字基础设施和 ICT 服务提供商；其他 NIS2 实体则遵循其所在国对 Article 21 的转化。事件报告时限（Article 23）不在范围内。ENISA 的映射仅供参考，不具约束力。

已映射 (49)

NIS2	要求	匹配	ISO 27001	证据
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	对照映射	A.5.1 A.5.37 Clause 5.2+3	相同主题：治理政策
1.2	Roles, responsibilities and authorities	对照映射	A.5.2 A.5.4 A.5.3+1	相同主题：角色与职责
2. Risk management policy · 3
2.1	Risk management framework	对照映射	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3+8	相同主题：风险管理, 风险评估
2.2	Compliance monitoring	对照映射	A.5.31 Clause 9.1 A.5.36+2	相同主题：合规
2.3	Independent review of information and network security	对照映射	A.5.31 A.5.36 Clause 9.1+4	相同主题：合规 (编辑推荐)
3. Incident handling · 6
3.1	Incident handling policy	对照映射	A.5.24 A.5.25 A.5.26	相同主题：事件响应
3.2	Monitoring and logging	对照映射	A.5.25 A.8.15 A.8.16+2	相同主题： SIEM / SOC, 日志与审计, 持续监控, 入侵检测
3.3	Event reporting	对照映射	A.5.5 A.6.8	相同主题：报告
3.4	Event assessment and classification	对照映射	A.5.25 A.8.16	相同主题： SIEM / SOC, 异常检测
3.5	Incident response	对照映射	A.5.24 A.5.25 A.5.26+1	相同主题：事件响应, 缓解
3.6	Post-incident reviews	对照映射	A.5.27 Clause 10.1	相同主题：经验教训
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	对照映射	A.5.29 A.5.30 A.8.14	相同主题：恢复规划, 业务连续性, 灾难恢复
4.2	Backup management	对照映射	A.5.30 A.8.13 A.8.14	相同主题：灾难恢复, 备份与恢复
4.3	Crisis management	对照映射	A.5.26 A.5.29 A.5.30+3	相同主题：沟通与恢复, 业务连续性
5. Supply chain security · 2
5.1	Supply chain security policy	对照映射	A.5.19 A.5.20 A.5.21+2	相同主题：供应链风险, 供应商风险管理
5.2	Directory of suppliers and service providers	对照映射	A.5.19 A.5.20 A.5.22	相同主题：供应商风险管理
6. Security in acquisition, development and maintenance · 10
6.1	Security in acquisition of ICT services, ICT systems or ICT products	对照映射	A.5.19 A.5.20 A.5.21+2	相同主题：供应链风险, 供应商风险管理
6.2	Secure development life cycle	对照映射	A.8.25 A.8.26 A.8.28+2	相同主题：安全开发
6.3	Configuration management	对照映射	A.8.9	相同主题：安全配置
6.4	Change management, repairs and maintenance	对照映射	A.7.13 A.8.32 Clause 6.3+1	ENISA NIS2 → ISO 27001 mapping
6.5	Security testing	对照映射	A.8.8 A.8.29 A.8.33+1	相同主题：漏洞管理
6.6	Security patch management	对照映射	A.8.8 A.8.31 A.8.32	相同主题：补丁管理
6.7	Network security	对照映射	A.8.20 A.8.21 A.8.22+1	相同主题：防火墙 / 网络分段
6.8	Network segmentation	对照映射	A.5.15 A.8.5 A.8.20+2	相同主题：零信任, 防火墙 / 网络分段
6.9	Protection against malicious and unauthorised software	对照映射	A.5.14 A.8.19 A.8.1+2	相同主题：邮件安全, 终端防护
6.10	Vulnerability handling and disclosure	对照映射	A.8.8	相同主题：漏洞管理
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	对照映射	Clause 6.1.1 Clause 6.1.3 Clause 6.2+2	相同主题：风险管理
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	对照映射	A.6.3 Clause 7.3 A.8.7	相同主题：意识与培训
8.2	Security training	对照映射	A.6.3 Clause 7.3 Clause 7.2	相同主题：意识与培训
9. Cryptography · 1
9.1	Cryptography	对照映射	A.8.24 A.5.31	相同主题：加密
10. Human resources security · 4
10.1	Human resources security	对照映射	A.6.2 A.6.3 Clause 7.1+1	ENISA NIS2 → ISO 27001 mapping
10.2	Verification of Background	对照映射	A.6.1 A.6.4 A.8.16	相同主题：内部威胁
10.3	Termination or change of employment procedures	对照映射	A.6.5	ENISA NIS2 → ISO 27001 mapping
10.4	Disciplinary process	对照映射	A.6.1 A.6.4 A.8.16+1	相同主题：内部威胁
11. Access control · 7
11.1	Access control policy	对照映射	A.5.15 A.5.16 A.5.18+5	相同主题：访问控制, 零信任
11.2	Management of access rights	对照映射	A.5.15 A.5.16 A.5.18+2	相同主题：访问控制
11.3	Privileged accounts and system administration accounts	对照映射	A.8.2 A.8.18	相同主题：特权访问
11.4	Administration systems	对照映射	A.8.2 A.8.18	相同主题：特权访问
11.5	Identification	对照映射	A.5.15 A.5.16 A.5.18+1	相同主题：访问控制
11.6	Authentication	对照映射	A.5.15 A.8.5 A.8.22+1	相同主题：零信任, 多因素认证
11.7	Multi-factor authentication	对照映射	A.8.5	相同主题：多因素认证
12. Asset management · 5
12.1	Asset classification	对照映射	A.5.12 A.5.13 A.5.9	相同主题：数据分类
12.2	Handling of assets	对照映射	A.5.14 A.8.10 A.8.11+3	相同主题：数据保护
12.3	Removable media policy	对照映射	A.5.14 A.8.10 A.8.11+3	相同主题：数据保护
12.4	Asset inventory	对照映射	A.5.9 A.5.11 A.7.14	相同主题：资产管理
12.5	Deposit, return or deletion of assets upon termination of employment	对照映射	A.5.11 A.5.18 A.8.24	ENISA NIS2 → ISO 27001 mapping
13. Environmental and physical security · 3
13.1	Supporting utilities	对照映射	A.7.1 A.7.2 A.7.3+6	相同主题：物理安全
13.2	Protection against physical and environmental threats	对照映射	A.7.1 A.7.2 A.7.3+6	相同主题：物理安全
13.3	Perimeter and physical access control	对照映射	A.7.1 A.7.2 A.7.3+6	相同主题：物理安全

已有 NIS2 → 需要 ISO 27001

123 项要求

104 项已映射 · · 6 项无映射在差距视图中打开 →

在 123 项 ISO/IEC 27001:2022 要求中，104 项可映射到 NIS2 中的内容，13 项仅弱相关，6 项在本站数据中无映射。

可能需要新增工作：ISO 27001 项要求在 NIS2 中没有对应映射 (6)

ISO 27001	要求	匹配	NIS2	证据
ISMS clauses 4–10 · 6
Clause 4.3	Determining the scope of the ISMS	本站数据中无映射	—	本站数据中没有映射到 NIS2 的内容。
Clause 5.1	Leadership and commitment	本站数据中无映射	—	本站数据中没有映射到 NIS2 的内容。
Clause 7.5.1	General	本站数据中无映射	—	本站数据中没有映射到 NIS2 的内容。
Clause 7.5.2	Creating and updating	本站数据中无映射	—	本站数据中没有映射到 NIS2 的内容。
Clause 7.5.3	Control of documented information	本站数据中无映射	—	本站数据中没有映射到 NIS2 的内容。
Clause 10.2	Nonconformity and corrective action	本站数据中无映射	—	本站数据中没有映射到 NIS2 的内容。

请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (13)

ISO 27001	要求	匹配	NIS2	证据
A.5 Organizational controls · 3
A.5.8	Information security in project management	弱相关	5.1 5.2 6.2+2	仅共享 CSF GV.OC-05, ID.AM-08：属相关关系，并非映射
A.5.33	Protection of records	弱相关	9.1 12.3	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.5.34	Privacy and protection of PII	弱相关	1.1 6.1	仅共享 CSF GV.PO-02：属相关关系，并非映射
A.6 People controls · 2
A.6.6	Confidentiality or non-disclosure agreements	弱相关	2.1 10.1 10.2+1	仅共享 CSF GV.RR-03, GV.RR-04：属相关关系，并非映射
A.6.7	Remote working	弱相关	1.1 10.1 10.2+5	仅共享 CSF GV.PO-01, GV.RR-04：属相关关系，并非映射
A.7 Physical controls · 1
A.7.9	Security of assets off-premises	弱相关	9.1 12.3	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.8 Technological controls · 4
A.8.4	Access to source code	弱相关	9.1 11.1 11.2+4	仅共享 CSF PR.DS-01, PR.DS-02, PR.AA-05：属相关关系，并非映射
A.8.6	Capacity management	弱相关	6.6 6.9	仅共享 CSF DE.CM-09：属相关关系，并非映射
A.8.23	Web filtering	弱相关	6.7 6.8	仅共享 CSF PR.IR-01：属相关关系，并非映射
A.8.27	Secure system architecture and engineering principles	弱相关	4.3	仅共享 CSF PR.IR-03：属相关关系，并非映射
ISMS clauses 4–10 · 3
Clause 4.1	Understanding the organization and its context	弱相关	1.1	仅共享 CSF GV.OC-02：属相关关系，并非映射
Clause 4.2	Understanding the needs and expectations of interested parties	弱相关	5.1 1.1 9.1+5	仅共享 CSF GV.OC-03, GV.SC-05, GV.SC-06, GV.OC-02…：属相关关系，并非映射
Clause 4.4	Information security management system	弱相关	1.1	仅共享 CSF GV.OC-02：属相关关系，并非映射

已映射 (104)

ISO 27001	要求	匹配	NIS2	证据
A.5 Organizational controls · 34
A.5.1	Policies for information security	对照映射	1.1	相同主题：治理政策
A.5.2	Information security roles and responsibilities	对照映射	1.2	相同主题：角色与职责
A.5.3	Segregation of duties	对照映射	1.2 11.2	ENISA NIS2 → ISO 27001 mapping
A.5.4	Management responsibilities	对照映射	1.2 1.1	相同主题：角色与职责
A.5.5	Contact with authorities	对照映射	3.3	相同主题：报告
A.5.6	Contact with special interest groups	编辑说明	4.3	相同主题：沟通 (编辑推荐)
A.5.7	Threat intelligence	对照映射	2.1	ENISA NIS2 → ISO 27001 mapping
A.5.9	Inventory of information and other associated assets	对照映射	12.4 12.1 12.2	相同主题：资产管理
A.5.10	Acceptable use of information and other associated assets	对照映射	12.2	ENISA NIS2 → ISO 27001 mapping
A.5.11	Return of assets	对照映射	12.4 12.5	相同主题：资产管理
A.5.12	Classification of information	对照映射	12.1	相同主题：数据分类
A.5.13	Labelling of information	对照映射	12.1	相同主题：数据分类
A.5.14	Information transfer	对照映射	6.9 12.2 12.3	相同主题：邮件安全, 数据保护
A.5.15	Access control	对照映射	6.8 11.1 11.2+2	相同主题：零信任, 访问控制
A.5.16	Identity management	对照映射	11.1 11.2 11.5	相同主题：访问控制
A.5.17	Authentication information	对照映射	11.6	ENISA NIS2 → ISO 27001 mapping
A.5.18	Access rights	对照映射	11.1 11.2 11.5+1	相同主题：访问控制
A.5.19	Information security in supplier relationships	对照映射	5.1 5.2 6.1+1	相同主题：供应链风险, 供应商风险管理
A.5.20	Addressing information security within supplier agreements	对照映射	5.1 5.2 6.1+1	相同主题：供应商风险管理
A.5.21	Managing information security in the ICT supply chain	对照映射	5.1 6.1 2.1	相同主题：供应链风险
A.5.22	Monitoring, review and change management of supplier services	对照映射	5.1 5.2 6.1	相同主题：供应商风险管理
A.5.23	Information security for use of cloud services	对照映射	6.1	相同主题：云安全
A.5.24	Information security incident management planning and preparation	对照映射	3.1 3.5	相同主题：事件响应
A.5.25	Assessment and decision on information security events	对照映射	3.1 3.2 3.4+1	相同主题：事件响应, SIEM / SOC
A.5.26	Response to information security incidents	对照映射	3.1 3.5 4.3	相同主题：事件响应, 缓解, 沟通与恢复
A.5.27	Learning from information security incidents	对照映射	3.6	相同主题：经验教训
A.5.28	Collection of evidence	对照映射	3.5 3.2 10.4	相同主题：取证分析
A.5.29	Information security during disruption	对照映射	4.1 4.3	相同主题：恢复规划, 业务连续性
A.5.30	ICT readiness for business continuity	对照映射	4.1 4.2 4.3	相同主题：恢复规划, 业务连续性, 灾难恢复
A.5.31	Legal, statutory, regulatory and contractual requirements	对照映射	2.2 2.3 9.1	相同主题：合规
A.5.32	Intellectual property rights	对照映射	6.9	ENISA NIS2 → ISO 27001 mapping
A.5.35	Independent review of information security	对照映射	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
A.5.36	Compliance with policies, rules and standards for information security	对照映射	2.2 2.3 1.1	相同主题：合规 (编辑推荐)
A.5.37	Documented operating procedures	对照映射	1.1	相同主题：治理政策
A.6 People controls · 6
A.6.1	Screening	对照映射	10.2 10.4	相同主题：内部威胁
A.6.2	Terms and conditions of employment	对照映射	10.1	ENISA NIS2 → ISO 27001 mapping
A.6.3	Information security awareness, education and training	对照映射	8.1 8.2 10.1	相同主题：意识与培训
A.6.4	Disciplinary process	对照映射	10.2 10.4	相同主题：内部威胁
A.6.5	Responsibilities after termination or change of employment	对照映射	10.3	ENISA NIS2 → ISO 27001 mapping
A.6.8	Information security event reporting	对照映射	3.3	相同主题：报告
A.7 Physical controls · 13
A.7.1	Physical security perimeters	对照映射	13.1 13.2 13.3	相同主题：物理安全
A.7.2	Physical entry	对照映射	13.1 13.2 13.3+1	相同主题：物理安全
A.7.3	Securing offices, rooms and facilities	对照映射	13.1 13.2 13.3	相同主题：物理安全
A.7.4	Physical security monitoring	对照映射	13.1 13.2 13.3	相同主题：物理安全
A.7.5	Protecting against physical and environmental threats	对照映射	13.1 13.2 13.3	相同主题：物理安全
A.7.6	Working in secure areas	对照映射	13.1 13.2 13.3	相同主题：物理安全
A.7.7	Clear desk and clear screen	对照映射	12.3	ENISA NIS2 → ISO 27001 mapping
A.7.8	Equipment siting and protection	对照映射	13.1 13.2 13.3	相同主题：物理安全
A.7.10	Storage media	对照映射	12.2 12.3	ENISA NIS2 → ISO 27001 mapping
A.7.11	Supporting utilities	对照映射	13.1 13.2 13.3	相同主题：物理安全
A.7.12	Cabling security	对照映射	13.1 13.2 13.3	相同主题：物理安全
A.7.13	Equipment maintenance	对照映射	6.4	ENISA NIS2 → ISO 27001 mapping
A.7.14	Secure disposal or re-use of equipment	对照映射	12.4	相同主题：资产管理
A.8 Technological controls · 30
A.8.1	User endpoint devices	编辑说明	6.9	相同主题：终端防护 (编辑推荐)
A.8.2	Privileged access rights	对照映射	11.3 11.4	相同主题：特权访问
A.8.3	Information access restriction	对照映射	11.1 11.2 11.5	相同主题：访问控制
A.8.5	Secure authentication	对照映射	6.8 11.1 11.6+1	相同主题：零信任, 多因素认证
A.8.7	Protection against malware	对照映射	6.9 8.1	相同主题：终端防护 (编辑推荐)
A.8.8	Management of technical vulnerabilities	对照映射	6.5 6.6 6.10	相同主题：漏洞管理, 补丁管理
A.8.9	Configuration management	对照映射	6.3	相同主题：安全配置
A.8.10	Information deletion	对照映射	12.2 12.3	相同主题：数据保护
A.8.11	Data masking	对照映射	12.2 12.3	相同主题：数据保护
A.8.12	Data leakage prevention	对照映射	12.3	相同主题： DLP
A.8.13	Information backup	对照映射	4.2	相同主题：备份与恢复
A.8.14	Redundancy of information processing facilities	对照映射	4.1 4.2 4.3	相同主题：业务连续性, 灾难恢复
A.8.15	Logging	对照映射	3.2	相同主题：日志与审计
A.8.16	Monitoring activities	对照映射	3.2 3.4 10.2+2	相同主题：持续监控, 入侵检测, SIEM / SOC, 异常检测, 内部威胁
A.8.17	Clock synchronization	对照映射	3.2	相同主题：日志与审计
A.8.18	Use of privileged utility programs	对照映射	11.3 11.4	相同主题：特权访问
A.8.19	Installation of software on operational systems	对照映射	6.9	相同主题：终端防护
A.8.20	Networks security	对照映射	6.7 6.8	相同主题：防火墙 / 网络分段
A.8.21	Security of network services	对照映射	6.7 6.8 11.1	相同主题：防火墙 / 网络分段
A.8.22	Segregation of networks	对照映射	6.7 6.8 11.1+1	相同主题：防火墙 / 网络分段, 零信任
A.8.24	Use of cryptography	对照映射	9.1 12.5	相同主题：加密
A.8.25	Secure development life cycle	对照映射	6.2	相同主题：安全开发
A.8.26	Application security requirements	对照映射	6.2	相同主题：安全开发
A.8.28	Secure coding	对照映射	6.2	相同主题：安全开发
A.8.29	Security testing in development and acceptance	对照映射	6.2 6.5	相同主题：安全开发
A.8.30	Outsourced development	对照映射	5.1	ENISA NIS2 → ISO 27001 mapping
A.8.31	Separation of development, test and production environments	对照映射	6.2 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.32	Change management	对照映射	6.4 6.6	ENISA NIS2 → ISO 27001 mapping
A.8.33	Test information	对照映射	6.5	ENISA NIS2 → ISO 27001 mapping
A.8.34	Protection of information systems during audit testing	对照映射	2.3 6.5	ENISA NIS2 → ISO 27001 mapping
ISMS clauses 4–10 · 21
Clause 5.2	Policy	对照映射	1.1	相同主题：治理政策
Clause 5.3	Organizational roles, responsibilities and authorities	对照映射	1.2	ENISA NIS2 → ISO 27001 mapping
Clause 6.1.1	General	对照映射	2.1 7.1	相同主题：风险管理
Clause 6.1.2	Information security risk assessment	对照映射	2.1	相同主题：风险评估
Clause 6.1.3	Information security risk treatment	对照映射	2.1 7.1	相同主题：风险管理, 风险评估
Clause 6.2	Information security objectives and planning to achieve them	对照映射	2.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 6.3	Planning of changes	对照映射	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 7.1	Resources	对照映射	10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.2	Competence	对照映射	8.2 10.1	ENISA NIS2 → ISO 27001 mapping
Clause 7.3	Awareness	对照映射	8.1 8.2	相同主题：意识与培训
Clause 7.4	Communication	对照映射	4.3	相同主题：沟通, 沟通与恢复
Clause 8.1	Operational planning and control	对照映射	6.4	ENISA NIS2 → ISO 27001 mapping
Clause 8.2	Information security risk assessment	对照映射	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 8.3	Information security risk treatment	对照映射	2.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.1	Monitoring, measurement, analysis and evaluation	对照映射	2.2 2.3 7.1	相同主题：合规
Clause 9.2.1	General	对照映射	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.2.2	Internal audit programme	对照映射	2.2 2.3	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.1	General	对照映射	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.2	Management review inputs	对照映射	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 9.3.3	Management review results	对照映射	1.1 7.1	ENISA NIS2 → ISO 27001 mapping
Clause 10.1	Continual improvement	对照映射	3.6 2.3	相同主题：经验教训 (编辑推荐)

常见问题

ISO 27001认证能满足NIS2要求吗？

不能仅凭认证满足。ISO 27001涵盖了大部分技术和组织措施，但不涵盖报告时限、管理层培训、注册，以及每项具体的技术要求。

NIS2会要求ISO 27001认证吗？

NIS2允许成员国针对部分服务要求认证方案，但并不普遍要求ISO 27001。请查阅本国法律。

NIS2监管机构是否接受ISO 27001证书？

主管机构可将认证作为证据加以考虑，部分国家法律也提及认证，但其合规性评估依据的是NIS2本身。证书并不涵盖报告、治理和注册方面的义务。

NIS2是否比ISO 27001更严格？

在某些方面是。NIS2增加了ISO所没有的法定义务（报告时限、管理层责任、附带罚款的监督），并且《实施条例》在部分技术问题上规定得更为具体。ISO 27001要求建立完整的管理体系，而NIS2并不要求这一点。

NIS2是否适用于欧盟以外的公司？

可能适用。部分在欧盟提供服务但未在欧盟设立机构的数字服务提供商，必须在某一成员国指定代表并履行相关义务。

NIS2规定的处罚是什么？

成员国须允许对关键实体处以至少1,000万欧元或全球年营业额2%的罚款（以较高者为准），对重要实体则为700万欧元或1.4%（以较高者为准）。

未持有ISO 27001的公司是否应为NIS2进行认证？

认证并非强制要求，但ISMS是落实并证明NIS2措施的高效途径。许多组织为NIS2建立ISMS，并另行决定是否进行认证。

要求编号和标题均按各框架官方发布的英文原文显示。

对照映射已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明在不存在对照表时的 ControlMapping 判断；会显示理由 · 弱相关仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 已映射 = 在 ControlMapping 同一主题中被共同归类，或直接关联。对照表并不能证明合规。方法说明 · 下载数据 · 报告错误.