NIS2 vs ISO 27001
NIS2 vs ISO 27001: en lov versus en sertifiserbar standard. Den ene kan være obligatorisk for bedriften din, den andre er en måte å vise og strukturere god sikkerhet.
NIS2 vs ISO 27001 er en sammenligning av en lov og en standard. NIS2 er et EU-direktiv som pålegger virksomheter i omfattede sektorer å håndtere cyberrisiko, rapportere hendelser og svare til nasjonale myndigheter. ISO/IEC 27001 er en internasjonal standard for et styringssystem for informasjonssikkerhet, som virksomheter innfører frivillig og kan bli sertifisert etter.
De er ikke alternativer. Hvis NIS2 gjelder for deg, er etterlevelse en lovpålagt plikt, og ISO 27001 er en velkjent måte å bygge styringssystemet bak den på. Et ISO 27001-sertifikat beviser ikke i seg selv at du oppfyller NIS2.
Side om side
| Kompetanse | NIS2 | ISO 27001 |
|---|---|---|
| Hva det er | EU-direktiv (2022/2555), gjort til nasjonal lov | Internasjonal standard for et styringssystem for informasjonssikkerhet |
| Obligatorisk | Ja, hvis du er en virksomhet omfattet av regelverket | Nei, frivillig med mindre en kunde eller kontrakt krever det |
| Hvem det gjelder | Organisasjoner i listede sektorer over en størrelsesterskel, pluss noen mindre | Enhver organisasjon, uansett størrelse eller sektor |
| Håndhevet av | Nasjonale myndigheter | Uavhengige sertifiseringsorganer |
| Sertifikat | Ingen, du er compliant eller ikke | Ja, utstedt etter en revisjon, gyldig i tre år med årlige kontroller |
| Hendelsesrapportering | Påkrevd, med strenge frister for tidlig varsling | Krever en hendelsesprosess, men setter ingen frister for myndighetene |
| Ledelsens ansvar | Eksplisitt, ledere kan holdes ansvarlige | Toppledelsen må støtte og gjennomgå systemet |
| Straffer | Bøter opptil 10 millioner euro eller 2 % av omsetningen for essensielle enheter, opptil 7 millioner eller 1,4 % for viktige enheter | Ingen, risikoen er å miste sertifikatet |
| Gjeldende versjon | I kraft, nasjonale lover varierer | ISO/IEC 27001:2022, overgangen fra 2013-utgaven ble avsluttet i oktober 2025 |
Hva hver av dem er god på
NIS2
- Fastsetter et felles juridisk grunnlag i hele EU
- Løfter sikkerheten opp til ledelsesnivå
- Tydelige plikter for hendelsesrapportering
- Forsyningskjedesikkerhet er en del av reglene
- Detaljene avhenger av hvert lands nasjonale lov
- Ingen sertifikat å vise kundene
- Sanksjonene er betydelige hvis du ikke overholder fristen
ISO 27001
- Gir en velprøvd struktur for å håndtere sikkerhet
- Uavhengig sertifikat som kundene kjenner igjen
- Fungerer for enhver organisasjon og sektor
- Dekker mye av det NIS2 forventer innen risikostyring
- Tar tid og krefter å bygge og revidere
- Sertifikatet avhenger av definert omfang
- Dekker ikke alle NIS2-plikter, som rapportering til myndighetene
Fokuser på NIS2 når
- Din sektor og størrelse gjør at du er omfattet av landets lov
- Du leverer til en virksomhet som er omfattet, og må videreformidle kravene
- Du må sette opp hendelsesrapportering til myndighetene
- Ledelsen må forstå sine personlige plikter
- Du vil vite hva du lovlig må gjøre først
Fokuser på ISO 27001 når
- Kunder eller anbud krever et ISO 27001-sertifikat
- Du trenger en strukturert måte å drive sikkerhet på daglig
- Du vil ha bevis på sikkerhet som går utover en egenerklæring
- Du forbereder deg på NIS2 og vil ha et rammeverk å bygge på
- Du vil ha ett system som også støtter GDPR-arbeid
Spørsmål folk stiller
Gjør ISO 27001 meg NIS2-kompatibel?
Er NIS2 vs ISO 27001 et enten-eller-valg?
Er ISO 27001 obligatorisk i henhold til NIS2?
Hvilken ISO 27001-versjon bør jeg bruke?
Usikker på hvordan dette gjelder deg?
En senioringeniør går gjennom nettstedet ditt, synligheten din i søk og måten henvendelser når deg på, og skriver deretter ned de tre tingene som er verdt å fikse først. Du beholder dokumentet uansett.