NIS2 vs ISO 27001
NIS2 vs ISO 27001: en lag mot en certifierbar standard. Den ena kan vara obligatorisk för ditt företag, den andra är ett sätt att visa och strukturera god säkerhet.
NIS2 vs ISO 27001 är en jämförelse mellan en lag och en standard. NIS2 är ett EU-direktiv som kräver att organisationer inom omfattade sektorer hanterar cyberrisk, rapporterar incidenter och svarar inför nationella myndigheter. ISO/IEC 27001 är en internationell standard för ett ledningssystem för informationssäkerhet, som organisationer inför frivilligt och kan certifiera sig mot.
De är inte alternativ. Om NIS2 gäller för dig är efterlevnad en laglig skyldighet, och ISO 27001 är ett välkänt sätt att bygga ledningssystemet bakom den. Ett ISO 27001-certifikat bevisar inte i sig att du uppfyller NIS2.
Sida vid sida
| Kompetens | NIS2 | ISO 27001 |
|---|---|---|
| Vad det är | EU-direktiv (2022/2555), infört i nationell lag | Internationell standard för ett ledningssystem för informationssäkerhet |
| Obligatoriskt | Ja, om du är en verksamhet som omfattas | Nej, frivilligt om inte en kund eller ett avtal kräver det |
| Vem det gäller | Organisationer i listade sektorer över en storlekströskel, plus vissa mindre | Vilken organisation som helst, oavsett storlek eller bransch |
| Upprätthålls av | Nationella myndigheter | Oberoende certifieringsorgan |
| Certifikat | Ingen, du är compliant eller inte | Ja, utfärdas efter en revision, giltigt i tre år med årliga kontroller |
| Incidentrapportering | Krävs, med strikta tidsfrister för tidig varning | Kräver en incidentprocess, men sätter inga tidsfrister för myndigheter |
| Ledningens ansvar | Explicit, ledare kan hållas ansvariga | Ledningen måste stödja och följa upp systemet |
| Straff | Böter upp till 10 miljoner euro eller 2 % av omsättningen för väsentliga enheter, upp till 7 miljoner eller 1,4 % för viktiga enheter | Ingen, risken är att förlora certifikatet |
| Aktuell version | I kraft, nationella lagar varierar | ISO/IEC 27001:2022, övergången från 2013 års utgåva avslutades i oktober 2025 |
Vad var och en är bra på
NIS2
- Fastställer en gemensam rättslig baslinje i EU
- Lyfter säkerheten till ledningsnivå
- Tydliga rapporteringsskyldigheter vid incidenter
- Säkerhet i leverantörskedjan ingår i reglerna
- Detaljerna beror på varje lands nationella lag
- Inget certifikat att visa kunder
- Påföljderna är betydande om du missar det
ISO 27001
- Ger en beprövad struktur för att hantera säkerhet
- Oberoende certifiering som kunderna känner igen
- Fungerar för alla organisationer och branscher
- Täcker mycket av det NIS2 förväntar sig inom riskhantering
- Tar tid och kraft att bygga och granska
- Certifikatet beror på definierad omfattning
- Täcker inte alla NIS2-skyldigheter, som rapportering till myndighet
Fokusera på NIS2 när
- Din sektor och storlek gör att du omfattas av din nations lag
- Du levererar till ett företag som omfattas och måste föra vidare kraven
- Du behöver sätta upp incidentrapportering till myndigheter
- Ledningen behöver förstå sina personliga skyldigheter
- Du vill veta vad du juridiskt måste göra först
Fokusera på ISO 27001 när
- Kunder eller upphandlingar begär ett ISO 27001-certifikat
- Du behöver ett strukturerat sätt att sköta säkerheten dagligen
- Du vill ha bevis på säkerhet som går utöver en egen försäkran
- Du förbereder dig för NIS2 och vill ha ett ramverk att bygga på
- Du vill ha ett system som även stödjer GDPR-arbete
Frågor folk ställer
Gör ISO 27001 mig NIS2-kompatibel?
Är NIS2 vs ISO 27001 ett antingen-eller-val?
Är ISO 27001 obligatoriskt enligt NIS2?
Vilken version av ISO 27001 ska jag använda?
Osäker på hur detta gäller dig?
En senior ingenjör går igenom din webbplats, din synlighet i sök och hur förfrågningar når dig, och skriver sedan ner de tre saker som är mest värda att åtgärda först. Du behåller dokumentet oavsett.