ISO 27001 a NIS2: części wspólne i różnice

Organizacje przygotowujące się do NIS2 często pytają, czy ISO/IEC 27001 już ją obejmuje albo czy jedną z nich należy realizować przed drugą. Mają one odmienny charakter. ISO 27001 to dobrowolna międzynarodowa norma dotycząca systemu zarządzania bezpieczeństwem informacji. NIS2 to dyrektywa UE, wdrażana przez prawo krajowe, która nakłada obowiązki prawne na objęte nią podmioty. W znacznym stopniu się pokrywają, ale żadna nie zastępuje drugiej. Ten przewodnik wyjaśnia, jak stosować je łącznie. Ma on charakter informacji ogólnej i nie stanowi porady prawnej.

Co to jest

ISO/IEC 27001:2022 określa wymagania dotyczące ustanowienia, funkcjonowania i doskonalenia systemu zarządzania bezpieczeństwem informacji (ISMS): kontekst i zakres, przywództwo, ocena i postępowanie z ryzykiem, wsparcie, działania operacyjne, ocena efektów oraz doskonalenie. Jej załącznik A wymienia 93 zabezpieczenia referencyjne pogrupowane w tematy organizacyjne, osobowe, fizyczne i technologiczne, dobierane na podstawie oceny ryzyka. Organizacje mogą zdecydować się na audyt swojego ISMS przez akredytowaną jednostkę certyfikującą. NIS2 natomiast wymaga od objętych nią podmiotów wdrożenia środków zarządzania ryzykiem w określonych obszarach, czyni organy zarządzające odpowiedzialnymi oraz dodaje rygorystyczne zgłaszanie incydentów do organów, nadzór i sankcje. Obszar wspólny jest duży: ocena ryzyka, polityki, kontrola dostępu, kryptografia, bezpieczeństwo dostawców, zarządzanie incydentami, ciągłość działania i szkolenia występują w obu. Różnice również mają znaczenie. NIS2 ustanawia prawne terminy zgłoszeń, wyraźną odpowiedzialność i szkolenia kierownictwa oraz nadzór krajowy; ISO 27001 pozwala samodzielnie określić zakres, który może nie odpowiadać usługom istotnym z perspektywy NIS2.

Dla kogo

To porównanie jest przydatne dla:

Organizacji z istniejącym programem ISO 27001, które oceniają luki względem NIS2
Organizacji objętych NIS2, które decydują, czy zbudować ISMS jako swoje ramy
Dostawców, od których klienci oczekują zgodności z ISO 27001 lub zapewnień związanych z NIS2
Zespołów zarządzających, które rozdzielają budżet między poszczególne ramy

Co pomaga wyjaśnić

Zestawienie obu pomaga wyjaśnić:

Które istniejące zabezpieczenia i zapisy można ponownie wykorzystać jako dowody na potrzeby NIS2
Czy zakres Państwa ISMS obejmuje usługi i systemy istotne z punktu widzenia NIS2
Które obowiązki NIS2, takie jak terminy zgłoszeń, wymagają dodatkowych procedur
Czy formalna certyfikacja ISO jest wymogiem biznesowym, czy po prostu przydatnymi ramami

Co jest zawarte

Porównać zakres ISMS z usługami i systemami, które byłyby istotne w świetle NIS2
Przypisać wdrożone zabezpieczenia z załącznika A do obszarów środków z art. 21 NIS2
Dodać procedurę obsługi incydentów obejmującą etapy zgłoszeń: 24-godzinny, 72-godzinny i miesięczny
Wyraźnie udokumentować zatwierdzenie, nadzór i szkolenia organu zarządzającego
Rozszerzyć ocenę dostawców na dostawców ICT stojących za usługami krytycznymi
Sprawdzić krajową transpozycję pod kątem dodatkowych wymagań lub przywoływanych systemów
Wykorzystywać audyty wewnętrzne i przeglądy zarządcze, aby wykazać skuteczność środków w czasie
Przechowywać dowody działania zabezpieczeń technicznych, a nie tylko polityki

Co nie jest uwzględnione

Certyfikacji ISO 27001 ani audytu przeprowadzanego przez jednostkę certyfikującą
Stwierdzenia, że certyfikacja ISO 27001 spełnia obowiązki wynikające z NIS2
Wykładni prawnej krajowych przepisów NIS2
Oficjalnych tytułów ani akredytacji

Kiedy to wybrać

Z tego porównania warto skorzystać przy planowaniu programu bezpieczeństwa na najbliższy rok lub dwa. Jeśli klienci wymagają certyfikatu ISO 27001, akredytowany audyt certyfikacyjny należy zaplanować jako osobny krok. Jeśli podlegają Państwo NIS2, strukturę ISMS warto wykorzystać do uporządkowania środków, ale dodać elementy specyficzne dla dyrektywy. Jeśli nie mają Państwo żadnego z nich, rozpoczęcie od uporządkowanego przeglądu luk względem uzgodnionego punktu odniesienia jest często bardziej użyteczne niż zaczynanie od pisania polityk. Ten artykuł ma charakter informacji ogólnej i nie stanowi porady prawnej.

Nasze podejście

ISO 27001 warto traktować jako strukturę zarządczą, a NIS2 jako zbiór wymogów prawnych, które ta struktura musi spełniać. Należy zacząć od jednego zestawu zabezpieczeń przypisanego do obu, tak aby każde zabezpieczenie miało jedną osobę odpowiedzialną i jeden zestaw dowodów. Szczególną uwagę trzeba zwrócić na zakres: ISMS obejmujący wyłącznie funkcje centrali niewiele wykaże w odniesieniu do systemów stojących za usługą krytyczną. Nasza usługa Security Baseline Review może pomóc w części technicznej: zapewnia pisemny obraz uzgodnionych zasobów z ocenami istotności oraz obserwacje dotyczące luk w gotowości względem uzgodnionego punktu odniesienia, jeśli zostały uwzględnione w potwierdzonym zakresie. Jest to wsparcie gotowości i decyzji, które przygotowuje Państwa do współpracy z akredytowanymi jednostkami certyfikującymi, audytorami i doradcami prawnymi. Jeśli celem jest certyfikacja, do audytu należy wybrać akredytowaną jednostkę certyfikującą, a prace nad gotowością prowadzić oddzielnie od niego.

Security Baseline Review

Zobacz stronę usługi Security Baseline Review