Le organizzazioni che si preparano alla NIS2 si chiedono spesso se la ISO/IEC 27001 la copra già, o se debbano affrontare l'una prima dell'altra. Le due sono di natura diversa. La ISO 27001 è uno standard internazionale volontario per un sistema di gestione della sicurezza delle informazioni. La NIS2 è una direttiva UE, attuata tramite il diritto nazionale, che stabilisce obblighi giuridici per i soggetti coperti. Si sovrappongono in modo sostanziale, ma nessuna delle due sostituisce l'altra. Questa guida spiega come utilizzarle insieme. Si tratta di informazioni generali e non di consulenza legale.
Che cos'è
La ISO/IEC 27001:2022 specifica i requisiti per stabilire, gestire e migliorare un sistema di gestione della sicurezza delle informazioni (SGSI, in inglese ISMS): contesto e campo di applicazione, leadership, valutazione e trattamento dei rischi, supporto, attività operative, valutazione delle prestazioni e miglioramento. Il suo Annex A elenca 93 controlli di riferimento raggruppati nei temi organizzativo, persone, fisico e tecnologico, selezionati in base alla valutazione dei rischi. Le organizzazioni possono scegliere di far sottoporre il proprio ISMS ad audit da parte di un organismo di certificazione accreditato. La NIS2 invece impone ai soggetti coperti di attuare misure di gestione dei rischi in ambiti definiti, rende responsabili gli organi di gestione e aggiunge rigorosi obblighi di notifica degli incidenti alle autorità, vigilanza e sanzioni. La sovrapposizione è ampia: valutazione dei rischi, politiche, controllo degli accessi, crittografia, sicurezza dei fornitori, gestione degli incidenti, continuità e formazione compaiono in entrambe. Anche le differenze contano. La NIS2 fissa termini di notifica previsti dalla legge, una responsabilità esplicita della direzione e relativa formazione, e una vigilanza nazionale; la ISO 27001 Le consente di definire il campo di applicazione, che potrebbe non corrispondere ai servizi di cui si occupa la NIS2.
Per Chi È
Questo confronto è utile per:
- Organizzazioni con un programma ISO 27001 già in essere che valutano le lacune rispetto alla NIS2
- Organizzazioni rientranti nell'ambito della NIS2 che stanno decidendo se adottare un ISMS come proprio quadro di riferimento
- Fornitori a cui i clienti chiedono l'allineamento alla ISO 27001 o rassicurazioni relative alla NIS2
- Team di direzione che ripartiscono il budget tra i diversi framework
Cosa Aiuta A Chiarire
Metterle a confronto aiuta a chiarire:
- Quali controlli e registrazioni esistenti possono essere riutilizzati come evidenze per la NIS2
- Se il campo di applicazione del Suo ISMS copre i servizi e i sistemi rilevanti ai sensi della NIS2
- Quali obblighi NIS2, come le tempistiche di notifica, richiedono procedure aggiuntive
- Se la certificazione ISO formale è un requisito di business o semplicemente un quadro di riferimento utile
Cosa è incluso
- Confrontare il campo di applicazione del Suo ISMS con i servizi e i sistemi che sarebbero rilevanti ai sensi della NIS2
- Mappare i controlli dell'Annex A implementati sugli ambiti di misure dell'articolo 21 della NIS2
- Aggiungere una procedura per gli incidenti che copra le fasi di notifica a 24 ore, a 72 ore e a un mese
- Documentare in modo esplicito approvazione, supervisione e formazione dell'organo di gestione
- Estendere la valutazione dei fornitori ai fornitori ICT alla base dei servizi critici
- Verificare il recepimento nazionale per eventuali requisiti aggiuntivi o sistemi richiamati
- Utilizzare audit interni e riesami della direzione per dimostrare l'efficacia delle misure nel tempo
- Conservare evidenze dei controlli tecnici, non solo delle politiche
Cosa non è incluso
- Certificazione ISO 27001 o audit da parte di un organismo di certificazione
- Una dichiarazione che la certificazione ISO 27001 soddisfi gli obblighi NIS2
- Interpretazione giuridica della normativa nazionale NIS2
- Titoli o accreditamenti ufficiali
Quando sceglierlo
Utilizzi questo confronto quando pianifica il Suo programma di sicurezza per i prossimi uno o due anni. Se i clienti richiedono un certificato ISO 27001, pianifichi un audit di certificazione accreditato come passo separato. Se rientra nell'ambito della NIS2, utilizzi la struttura dell'ISMS per organizzare le misure, ma aggiunga gli elementi specifici della direttiva. Se non dispone né dell'uno né dell'altra, iniziare con una revisione strutturata delle lacune rispetto a un riferimento concordato è spesso più utile che redigere prima le politiche. Questo articolo fornisce informazioni generali e non costituisce consulenza legale.
Il nostro approccio
Consideri la ISO 27001 come la struttura di gestione e la NIS2 come un insieme di requisiti giuridici che tale struttura deve soddisfare. Inizi con un unico insieme di controlli mappato su entrambe, così che ogni controllo abbia un solo responsabile e un solo insieme di evidenze. Presti particolare attenzione al campo di applicazione: un ISMS che copre solo una funzione della sede centrale non dimostrerà molto sui sistemi alla base di un servizio critico. Il nostro servizio Security Baseline Review può aiutare sul versante tecnico: una valutazione scritta, classificata per gravità, degli asset concordati e osservazioni sulle lacune di preparazione rispetto a un riferimento concordato, ove incluse nel perimetro confermato. Si tratta di supporto alla preparazione e alle decisioni che La prepara a lavorare con organismi di certificazione accreditati, auditor e consulenti legali. Se il Suo obiettivo è la certificazione, scelga un organismo di certificazione accreditato per l'audit e mantenga il lavoro di preparazione separato da esso.
Domande frequenti
Articoli correlati
Inizia
Sta pianificando insieme la preparazione a ISO 27001 e NIS2?
Ci indichi il Suo campo di applicazione attuale, i controlli e i servizi più importanti. Le proporremo una revisione a supporto di entrambe le valutazioni.
Richieda un perimetro scritto