NIS2 vs ISO 27001
NIS2 vs ISO 27001: zákon versus certifikovatelný standard. Jedno může být pro vaši firmu povinné, druhé je způsob, jak dobrou bezpečnost prokázat a uspořádat.
NIS2 vs ISO 27001 je srovnání zákona a standardu. NIS2 je směrnice EU, která po organizacích v pokrytých odvětvích vyžaduje řízení kybernetických rizik, hlášení incidentů a odpovědnost národním úřadům. ISO/IEC 27001 je mezinárodní standard pro systém řízení informační bezpečnosti, který organizace zavádějí dobrovolně a mohou ho nechat certifikovat.
Nejsou to alternativy. Pokud se na vás NIS2 vztahuje, je soulad zákonnou povinností a ISO 27001 je známý způsob, jak postavit systém řízení, který za ním stojí. Vlastnictví certifikátu ISO 27001 samo o sobě neprokazuje soulad s NIS2.
Vedle sebe
| Možnost | NIS2 | ISO 27001 |
|---|---|---|
| Co to je | Směrnice EU (2022/2555), převedená do národního práva | Mezinárodní standard pro systém řízení informační bezpečnosti |
| Povinné | Ano, pokud jste subjektem spadajícím do rozsahu | Ne, dobrovolné, pokud to nevyžaduje klient nebo smlouva |
| Na koho se vztahuje | Organizace ve vyjmenovaných odvětvích nad velikostní práh, plus některé menší | Jakákoli organizace, jakékoli velikosti i odvětví |
| Vymáháno | Národními úřady | Nezávislými certifikačními orgány |
| Certifikát | Žádný, buď jste v souladu, nebo ne | Ano, vydaný po auditu, platný tři roky s ročními kontrolami |
| Hlášení incidentů | Vyžadováno, s přísnými lhůtami pro včasné varování | Vyžaduje proces pro incidenty, ale nestanoví lhůty vůči úřadům |
| Odpovědnost vedení | Výslovná, vedoucí pracovníci mohou být odpovědní | Nejvyšší vedení musí systém podporovat a přezkoumávat |
| Sankce | Pokuty až 10 milionů eur nebo 2 % obratu pro klíčové subjekty, až 7 milionů nebo 1,4 % pro důležité subjekty | Žádné, rizikem je ztráta certifikátu |
| Současná verze | V platnosti, národní zákony se liší | ISO/IEC 27001:2022, přechod z vydání 2013 skončil v říjnu 2025 |
V čem je každá možnost silná
NIS2
- Stanoví společný právní základ v celé EU
- Posouvá bezpečnost na úroveň vedení
- Jasné povinnosti hlásit incidenty
- Bezpečnost dodavatelského řetězce je součástí pravidel
- Podrobnosti závisí na národním právu každé země
- Žádný certifikát, který byste ukázali zákazníkům
- Sankce jsou výrazné, pokud to zmeškáte
ISO 27001
- Dává osvědčenou strukturu pro řízení bezpečnosti
- Nezávislý certifikát, který klienti uznávají
- Funguje pro jakoukoli organizaci i odvětví
- Pokrývá velkou část toho, co NIS2 očekává v řízení rizik
- Vybudování a audit vyžadují čas a úsilí
- Certifikát závisí na vymezeném rozsahu
- Nepokrývá všechny povinnosti NIS2, například hlášení úřadům
Zaměřte se na NIS2, pokud
- Vaše odvětví a velikost vás podle práva vaší země řadí do rozsahu
- Dodáváte firmě, která je pokrytá, a musíte přenášet požadavky dál
- Potřebujete nastavit hlášení incidentů úřadům
- Vedení musí chápat své osobní povinnosti
- Chcete nejdřív vědět, co ze zákona musíte dělat
Zaměřte se na ISO 27001, když
- Klienti nebo tendry žádají certifikát ISO 27001
- Potřebujete strukturovaný způsob, jak bezpečnost provozovat denně
- Chcete prokázat bezpečnost nad rámec vlastního prohlášení
- Připravujete se na NIS2 a chcete rámec, na kterém stavět
- Chcete jeden systém, který podpoří i práci na GDPR
Otázky, které se lidé ptají
Zajistí mi ISO 27001 soulad s NIS2?
Je NIS2 vs ISO 27001 volba buď, anebo?
Je ISO 27001 povinné podle NIS2?
Kterou verzi ISO 27001 mám použít?
Nejste si jistí, jak se to týká vás?
Zkušený inženýr projde váš web, vaši viditelnost ve vyhledávání a způsob, jakým se k vám dostávají poptávky, a poté sepíše tři věci, které je vhodné opravit jako první. Dokument si ponecháte tak jako tak.