NIS2 vs. ISO 27001
NIS2 vs ISO 27001: en lov versus en certificerbar standard. Den ene kan være obligatorisk for din virksomhed, den anden er en måde at vise og strukturere god sikkerhed.
NIS2 vs. ISO 27001 er en sammenligning af en lov og en standard. NIS2 er et EU-direktiv, der kræver, at organisationer i omfattede sektorer styrer cyberrisici, indberetter hændelser og står til ansvar over for nationale myndigheder.
De er ikke alternativer. Hvis NIS2 gælder for dig, er overholdelse en juridisk pligt, og ISO 27001 er en velkendt måde at opbygge ledelsessystemet bag det. Et ISO 27001-certifikat beviser ikke i sig selv NIS2-overholdelse.
Side om side
| Kompetence | NIS2 | ISO 27001 |
|---|---|---|
| Hvad det er | EU-direktiv (2022/2555), omsat til national lov | International standard for et styringssystem til informationssikkerhed |
| Obligatorisk | Ja, hvis du er en omfattet enhed | Nej, frivilligt medmindre en kunde eller kontrakt kræver det |
| Hvem det gælder for | Organisationer i listede sektorer over en størrelsestærskel, plus nogle mindre | Enhver organisation, uanset størrelse eller sektor |
| Håndhæves af | Nationale myndigheder | Uafhængige certificeringsorganer |
| Certifikat | Ingen, du er compliant eller ej | Ja, udstedt efter en revision, gyldig i tre år med årlige kontroller |
| Hændelsesrapportering | Påkrævet, med strenge frister for tidlig varsling | Kræver en hændelsesproces, men sætter ingen frister for myndigheden |
| Ledelsesansvar | Eksplicit, ledere kan holdes ansvarlige | Den øverste ledelse skal støtte og gennemgå systemet |
| Bøder | Bøder op til 10 millioner euro eller 2% af omsætningen for essentielle enheder, op til 7 millioner eller 1,4% for vigtige enheder | Ingen, risikoen er at miste certifikatet |
| Nuværende version | I kraft, de nationale love varierer | ISO/IEC 27001:2022, overgangen fra 2013-udgaven sluttede i oktober 2025 |
Hvad hver enkelt er god til
NIS2
- Fastlægger et fælles juridisk minimum i hele EU
- Løfter sikkerheden op på ledelsesniveau
- Klare krav til hændelsesrapportering
- Sikkerhed i forsyningskæden er en del af reglerne
- Detaljerne afhænger af hvert lands nationale lovgivning
- Ingen certificering at vise kunderne
- Bøderne er betydelige, hvis du misser det
ISO 27001
- Giver en velprøvet struktur til at styre sikkerheden
- Uafhængig certificering, som kunderne anerkender
- Fungerer for enhver organisation og sektor
- Dækker meget af det, NIS2 forventer inden for risikostyring
- Tager tid og kræfter at opbygge og revidere
- Certifikatet afhænger af en defineret scope
- Dækker ikke alle NIS2-pligter, såsom indberetning til myndigheden
Fokusér på NIS2, når
- Din sektor og størrelse bringer dig ind under din lands lov
- Du leverer til en virksomhed, der er omfattet, og skal videregive kravene
- Du skal opsætte incidentrapportering til myndighederne
- Ledelsen skal forstå sine personlige pligter
- Du vil vide, hvad du juridisk skal gøre først
Fokusér på ISO 27001 når
- Kunder eller udbud beder om en ISO 27001-certificering
- Du har brug for en struktureret måde at drive sikkerhed på i hverdagen
- Du vil have sikkerhedsbevis, der rækker ud over en egen erklæring
- Du forbereder dig på NIS2 og vil have en ramme at bygge på
- Du vil have ét system, der også understøtter GDPR-arbejde
Spørgsmål, folk stiller
Gør ISO 27001 mig NIS2-kompliant?
Er NIS2 vs ISO 27001 et enten-eller-valg?
Er ISO 27001 obligatorisk under NIS2?
Hvilken ISO 27001-version skal jeg bruge?
Mere om: sammenligninger
Ikke sikker på, hvordan det gælder for dig?
En senioringeniør gennemgår din side, din søgetilstedeværelse og måden, henvendelser når dig på, og skriver derefter de tre ting ned, der er værd at udbedre først. Du beholder dokumentet uanset hvad.