NIS 2 i ISO 27001: što je razlika
NIS 2 je zakonska obveza, a ISO/IEC 27001 dobrovoljna norma za sustav upravljanja sigurnošću informacija. ISO 27001 pokriva velik dio zahtjeva NIS 2, ali sam po sebi ne jamči usklađenost jer NIS 2 dodaje prijavu incidenata, odgovornost uprave i nadzor tijela.
Usporedba
| NIS 2 | ISO/IEC 27001 | |
|---|---|---|
| Vrsta | Zakonska obveza (EU direktiva, nacionalni zakon) | Dobrovoljna međunarodna norma |
| Tko provjerava | Nadležna državna tijela | Akreditirana certifikacijska tijela |
| Fokus | Otpornost kritičnih usluga i društva | Sustav upravljanja sigurnošću informacija (ISMS) |
| Prijava incidenata | Obvezna, s rokovima 24 h / 72 h / 1 mj. | Nema obveze prijave regulatoru |
| Odgovornost uprave | Izričita, uključujući izobrazbu i odgovornost | Obveza vodstva i predanosti, bez zakonske odgovornosti |
| Lanac opskrbe | Izričiti zahtjev | Obuhvaćeno kontrolama dobavljača |
Koliko ISO 27001 pokriva?
Većina desetak područja NIS 2 (rizici, incidenti, kontinuitet, dobavljači, kontrola pristupa, kriptografija, izobrazba) ima ekvivalent u zahtjevima norme i kontrolama iz Priloga A (ISO/IEC 27001:2022). Zato je ISO 27001 učinkovit okvir za usklađivanje, ali treba dodatno pokriti:
- postupak prijave značajnih incidenata nadležnim tijelima u zadanim rokovima
- izričitu odgovornost i izobrazbu uprave
- samoprocjenu i prijavu nadležnom tijelu
- zahtjeve specifične za hrvatski Zakon i Uredbu
Preporuka
Ako već imate ISO 27001, napravite mapiranje (gap analizu) na zahtjeve NIS 2. Ako nemate, norma je dobra osnova za izgradnju sustava, ali prvo osigurajte brze pobjede: MFA, sigurnosne kopije, krpanje i plan incidenata.
Izvori
- Direktiva (EU) 2022/2555 (NIS 2) – EUR-Lex
- Narodne novine – Zakon o kibernetičkoj sigurnosti (NN 14/2024) i Uredba (NN 135/2024)
- ENISA – Agencija EU za kibernetičku sigurnost
- Nacionalni CERT
Sadržaj je informativan i ne predstavlja pravni savjet. Provjerite aktualni tekst propisa.