NIS2-direktivet och ISO 27001 handlar båda om riskhantering för cybersäkerhet. De nämns ofta tillsammans, och många tror att de är samma sak. Det är de dock inte.
NIS2 är ett juridiskt bindande EU-direktiv med krav på efterlevnad och sanktioner. ISO 27001 är en internationell certifieringsstandard för ledningssystem för informationssäkerhet (ISMS). NIS2 är lagstadgat och ISO 27001 är ett frivilligt ramverk.
Att förstå skillnaden är avgörande för styrelser, compliance managers och risk managers.
NIS2 är ett obligatoriskt EU-direktiv som medför lagstadgade säkerhetskrav och böter. ISO 27001 är en frivillig, internationell certifieringsstandard för ledningssystem för informationssäkerhet. NIS2 fokuserar på lagstadgade krav och ledningsansvar, medan ISO 27001 ger ett strukturerat ramverk för ledning. Många organisationer använder ISO 27001 som en praktisk grund för att uppfylla kraven i NIS2.
Nej, det är det inte. NIS2 och ISO 27001 delar samma riskbaserade principer, men de är fundamentalt olika när det gäller rättslig status, verkställighet och syfte.
NIS2 innebär rättsliga skyldigheter. ISO 27001 tillhandahåller ett strukturerat ramverk för hantering av informationssäkerhet.
Läs mer: Hur mycket kan bristande efterlevnad av NIS2 kosta?
NIS2 (direktiv (EU) 2022/2555) är EU:s uppdaterade cybersäkerhetsdirektiv. Det gäller för "samhällsviktiga" och "viktiga" företag inom sektorer som är kritiska för samhället och den ekonomiska stabiliteten.
Viktiga egenskaper:
Rättsligt bindande.
Underställt myndighetstillsyn.
Administrativa böter på upp till 10 miljoner euro eller 2 % av den globala omsättningen.
Tydligt ansvar för ledningen.
Obligatorisk rapportering av incidenter.
NIS2 fokuserar på motståndskraft, styrning och riskkontroll i både interna system och leveranskedjor.
ISO/IEC 27001 är en internationell standard för att etablera, implementera, underhålla och förbättra ett ledningssystem för informationssäkerhet (ISMS).
Viktiga egenskaper:
Frivillig certifiering.
Globalt erkänd.
Riskbaserat ramverk för hantering.
Kräver interna kontroller och dokumentation.
Regelbunden extern certifieringsrevision.
ISO 27001 tillhandahåller en strukturerad metodik för att identifiera, bedöma och hantera informationssäkerhetsrisker. Standarden innebär inga böter, men certifieringen kan dras tillbaka om kraven inte följs.
Nej, det gör det inte. ISO 27001 stämmer väl överens med många av riskhanteringskraven i NIS2 (artikel 21). Certifiering i sig är dock inte en garanti för efterlevnad.
NIS2 inför flera skyldigheter, bland annat
Obligatorisk rapportering av incidenter inom strikta tidsfrister.
Tydligt ledningsansvar enligt artikel 20.
Krav på säkerhet i leveranskedjan.
Tillsyn från nationella myndigheter.
Ett företag kan vara ISO 27001-certifierat och ändå inte uppfylla de specifika rättsliga kraven i NIS2. Men ett moget ledningssystem för ISO 27001 ger ofta en stark strukturell grund.
En av de viktigaste skillnaderna ligger i styrningen.
Ledningsorgan måste godkänna cybersäkerhetsåtgärder.
Ledningen kan hållas ansvarig.
Myndigheter kan suspendera chefer (enligt nationell lagstiftning).
Tillsynen måste vara påvisbar och dokumenterad.
Cybersäkerhet blir ett juridiskt ansvar på styrelsenivå.
Högsta ledningen måste visa aktivt ägarskap och ledarskap.
Ett ledningssystem för informationssäkerhet (ISMS) måste upprättas och underhållas.
Ansvarsområden måste fördelas.
Kontinuerliga förbättringar måste dokumenteras.
ISO 27001 kräver att ledningen är involverad, men det leder inte till juridiskt ansvar eller böter från myndigheterna. NIS2 höjer därför ledningens ansvar långt utöver vad som förväntas i en certifiering.
Det sättet som revisioner utförs på är mycket olika.
NIS2-revisioner har ekonomiska konsekvenser och konsekvenser för anseendet som går utöver certifieringsstatus.
Ja, när den implementeras på ett effektivt sätt. ISO 27001 tillhandahåller:
Strukturerade processer för riskbedömning.
Dokumenterade säkerhetsåtgärder.
Tydlig ansvarsfördelning.
Mekanismer för kontinuerlig övervakning och förbättring.
Dessa element stämmer väl överens med kraven i artikel 21. NIS2 kräver dock extra uppmärksamhet på följande
Förfaranden för lagstadgad rapportering.
Nationella regleringskrav.
Formellt godkännande och tillsyn av styrelsen.
Hantering av leveranskedjan och avtalskrav.
I praktiken fungerar ISO 27001 som grunden för din verksamhet, medan NIS2 definierar ditt juridiska ansvar.
Svaret beror på den regulatoriska exponeringen och de strategiska prioriteringarna.
NIS2 är obligatoriskt för organisationer som omfattas av direktivet. ISO 27001 används ofta för att visa kunder, partners och myndigheter att man har ett strukturerat säkerhetsarbete.
Läs mer: Varför avtalshantering är fundamentet i NIS2-efterlevnad.
Många organisationer kombinerar dem därför att: NIS2 definierar de rättsliga skyldigheterna.
ISO 27001 ger praktisk vägledning för implementering.
Certifiering ger förtroende och trovärdighet på marknaden.
Strukturerade system gör det enklare att vara redo för revisioner.
När styrning, risköversikter, avtal och incidentrutiner hanteras på ett strukturerat och spårbart sätt blir det betydligt enklare att uppfylla kraven. Överlappningen är stor, men de juridiska konsekvenserna är olika.
Nej, det är det inte. NIS2 kräver inte ISO 27001-certifiering. Certifiering kan dock hjälpa dig att uppfylla kraven genom att tillhandahålla ett strukturerat ramverk för riskhantering.
Ja, det kan man. NIS2 ställer juridiska krav, men kräver inte certifiering. Efterlevnad beror på att uppfylla skyldigheterna i direktivet, inte på om du har ett certifikat.
Nej, det gör det inte. Certifiering tar inte bort risken för sanktioner från myndigheterna. Myndigheterna bedömer om NIS2-kraven har följts oavsett certifieringar.
Ja, när det gäller juridiskt ansvar och myndighetsuppföljning. ISO 27001 fokuserar på hur man hanterar säkerhet. NIS2 lägger till krav på rapportering, övervakning och eventuella sanktioner.
Läs mer: NIS2-dokumentation: Vad revisorer förväntar sig att se.
Viktig information: House of Control är ett programvaruföretag. Vi tillhandahåller inte konsulttjänster relaterade till NIS2-efterlevnad. Att följa denna guide garanterar därför inte efterlevnad av alla juridiska krav i NIS2. Innehållet i denna artikel baseras på vår egen granskning av NIS2-kraven och vår erfarenhet av regelefterlevnad, samt inspiration från olika organisationer som tillhandahåller konsulttjänster. Vi tar inte på oss något ansvar för bristande efterlevnad av NIS2-kraven eller för konsekvenser som uppstår till följd av användningen av denna guide.