NIS2, kortlagt til ISO 27001

Hvem det er til

En væsentlig eller vigtig enhed under NIS2, eller en leverandør, som en af dem spørger, der allerede driver eller bygger et ISO/IEC 27001-ledelsessystem og vil vide, hvor meget af artikel 21 den allerede besvarer med det.

Hvad der svarer til hinanden

Alle 10 foranstaltninger i artikel 21, stk. 2, hver til de ISO/IEC 27001-punkter og bilag A-foranstaltninger, hvis registreringer beviser den: 73 foranstaltninger og 14 punkter i alt, StandardOS' læsning, som CSV nedenfor.

Hvad der ikke gør

6 steder, hvor gennemførelsesforordningen beder om noget, ingen ISO 27001-registrering frembringer, opregnet længere nede; og direktivets egne pligter, registreringen, ledelsesorganets uddannelse og hændelsesfristerne, som står ved siden af ISMS'et, ikke inden i det.

De ti foranstaltninger i artikel 21, stk. 2, kortlagt

Én række pr. litra i direktivet: foranstaltningen med almindelige ord, direktivets egen tekst og de ISO/IEC 27001-punkter og bilag A-foranstaltninger, hvis registreringer beviser den. Væsentlige og vigtige enheder på samme måde.

Kortlægningen er StandardOS' læsning af, hvilke registreringer der beviser hvilken foranstaltning; NIS2 nævner ingen standard og giver ingen formodning om overensstemmelse, og gennemførelsesforordningens afsnit nedenfor tilføjer de detaljer, direktivet lader stå åbne.

Betragtning 3 i forordningen er tydelig om, hvor dens krav kommer fra. De er “based on European and international standards, such as ISO/IEC 27001, ISO/IEC 27002 and ETSI EN 319401”. Det er det, der gør en kortlægning mulig frem for omtrentlig.

Bilaget, afsnit for afsnit

Afsnittenes titler er citeret fra bilagets engelske tekst, da ISO 27001 selv bruges på engelsk; underafsnittenes titler er dem fra Den Europæiske Unions Tidende på dette sprog.

Hvor et ISMS stopper, 6 steder

Alt andet i det bilag følger af et overensstemmende ISO 27001-ledelsessystem. Det gør disse ikke, og ingen grad af ISO-overensstemmelse frembringer dem:

• 1. Policy on the security of network and information systems

  Minimumskravene. 1.1.2 lader ledelsesorganerne gennemgå politikken mindst én gang om året, og 1.2.3 kræver mindst én person, der rapporterer direkte til ledelsesorganerne om net- og informationssikkerhed. ISO 27001 har den øverste ledelses gennemgang med planlagte mellemrum og nævner ingen sådan rapporteringslinje.

• 2. Risk management policy

  Det årlige minimum. 2.1.4 kræver, at resultaterne af risikovurderingen og risikohåndteringsplanen gennemgås med planlagte mellemrum og mindst én gang om året. ISO 27001 fastsætter mellemrummene, uden noget minimum.

• 3. Incident handling

  Det lovbestemte ur. ISO 27001 kræver en hændelsesproces; den kræver ikke en tidlig varsling inden 24 timer, en anmeldelse inden 72 timer, dobbelt indgivelse til et CSIRT og en kompetent myndighed eller en væsentlighedstest. Artikel 3 til 14 i gennemførelsesforordningen gør det mekanisk og EU-ensartet. Artikel 3, stk. 1, litra a), er 500.000 € eller 5 % af omsætningen, alt efter hvad der er lavest, og intet af det følger af sig selv af et ISMS. Og logfilerne: efter 3.2.5 opbevares logfiler og sikkerhedskopieres i en foruddefineret periode, beskyttet mod uautoriseret adgang eller ændring. A.8.15 beder om logning; den kræver ikke, at selve logfilerne sikkerhedskopieres i en fastsat periode.

• 8. Basic cyber hygiene practices and security training

  Uddannelse af ledelsesorganet. Artikel 20, stk. 2, i NIS2 kræver, at ledelsesorganets medlemmer selv følger uddannelse, og artikel 20, stk. 1, gør dem personligt ansvarlige for at godkende og overvåge foranstaltningerne. ISO 27001 kræver ledelsens engagement og kompetence; den skriver ikke bestyrelsen ind i uddannelsesregistret og knytter intet ansvar til underskriften.

• 10. Human resources security

  Det årlige minimum. 10.1.3 lader enheden gennemgå sin personalesikkerhed, herunder de ressourcer den afsætter til den, med planlagte mellemrum og mindst én gang om året. ISO 27001 fastsætter mellemrummene, uden noget minimum.

• 11. Access control

  Flere faktorer. 11.3.2 kræver stærk identifikation og autentificering, såsom multifaktorautentificering, for privilegerede konti og systemadministrationskonti, 11.7 kræver, at brugere autentificeres med flere faktorer eller løbende, og 11.6.2(e) afslutter inaktive sessioner efter en foruddefineret periode. A.8.5 beder om sikker autentificering og nævner ingen af de tre.

Hvad denne side ikke er

Den er ikke en dækningsscore. En enkelt procentsats for, hvor meget af NIS2 ISO 27001 dækker, citeres mange steder. Hver udgave af den er en strukturel vurdering og ikke en måling, og vi vil ikke gentage et tal, vi ikke kan vise udregningen for. ENISA har offentliggjort en maskinlæsbar kortlægning i sin Technical Implementation Guidance (v1.0, juni 2025); kortlægningen ovenfor er vores egen, ud fra de to dokumenter, og I bør kontrollere den mod ENISA's frem for at stole på nogen af os.

Den er ikke et NIS2-produkt. StandardOS registrerer jer ikke hos en national myndighed, indgiver ikke jeres hændelsesanmeldelser og følger ikke 27 nationale gennemførelser. Har I brug for det, har I brug for noget andet, og den ærlige udgave af vores holdning er, at foranstaltningssættet er den del, det er værd at bygge én gang, fordi det er den eneste del, der er den samme overalt.

Den er ikke en vurdering af anvendelsesområdet. NIS2 binder væsentlige og vigtige enheder over størrelsesgrænserne i artikel 2. Under cirka 50 personer og 10 mio. € er I meget sandsynligt helt uden for, med sektorundtagelser. Den vurdering er jeres at foretage og registrere, og vi foretager den ikke for jer på en marketingside.

Afsnitstitlerne er citeret fra bilaget til gennemførelsesforordning (EU) 2024/2690, som offentliggjort på EUR-Lex, læst den 10. august 2026. Kortlægningen til ISO/IEC 27001 er vores egen og ikke ENISA's. Dette er ikke juridisk rådgivning, og forordningen er kort nok til at læse selv: Gennemførelsesforordning (EU) 2024/2690.