NIS2 vs ISO 27001: Hvad er forskellen og hvad har du brug for?

Mange organisationer står overfor det samme spørgsmål: Skal vi have NIS2 compliance, ISO 27001 certificering eller begge dele? Det kan være forvirrende at navigere i disse to frameworks, især når de begge handler om informationssikkerhed.

Det korte svar er: NIS2 er lovgivning (du SKAL efterleve hvis omfattet), mens ISO 27001 er en frivillig standard (du VÆLGER). Men det interessante er, at ISO 27001 dækker omkring 70-80% af NIS2's krav, hvilket gør det til et stærkt udgangspunkt for NIS2 compliance.

I denne guide får du en komplet sammenligning af de to frameworks, ser præcist hvor de overlapper, og får praktiske anbefalinger til, hvad din organisation har brug for.

Hvad er NIS2?

NIS2 (Network and Information Security Directive 2) er EU's opdaterede cybersikkerhedsdirektiv, der trådte i kraft i januar 2023. Direktivet skal implementeres i national lovgivning i alle EU-medlemsstater.

NIS2 er obligatorisk lovgivning for organisationer inden for kritiske og vigtige sektorer med mere end 50 medarbejdere. Det fokuserer specifikt på cybersikkerhed for kritisk infrastruktur og tjenester, der er essentielle for samfundets funktion.

Direktivet indeholder klare krav til risikostyring, hændelsesrapportering og ledelsesansvar. Organisationer omfattet af NIS2 skal registrere sig hos nationale myndigheder og er underlagt tilsyn samt potentielle sanktioner ved manglende compliance.

Sanktionerne kan være betydelige – op til €10 millioner eller 2% af den globale årlige omsætning for væsentlige enheder, og op til €7 millioner eller 1,4% af omsætningen for vigtige enheder.

Hvad er ISO 27001?

ISO 27001 er den internationalt anerkendte standard for informationssikkerhedsstyringssystemer (ISMS). I modsætning til NIS2 er ISO 27001 en frivillig standard, som organisationer kan vælge at implementere og blive certificeret i.

Standarden følger en risikobaseret tilgang til informationssikkerhed og gælder for alle typer organisationer, uanset størrelse eller branche. ISO 27001 certificering viser over for kunder, partnere og interessenter, at organisationen tager informationssikkerhed alvorligt.

En ISO 27001 certificering er gyldig i tre år med årlige overvågningsaudits. Standarden kræver, at organisationer etablerer, implementerer, vedligeholder og løbende forbedrer et ISMS baseret på deres specifikke risikoprofil.

ISO 27001:2022 (den nyeste version) indeholder 93 kontroller i Annex A, der dækker organisatoriske, tekniske og fysiske sikkerhedsforanstaltninger. Organisationen vælger selv, hvilke kontroller der er relevante baseret på deres risikovurdering.

Læs mere om ISO 27001 compliance og hvordan du implementerer ISO 27001.

NIS2 vs ISO 27001: Hurtig Sammenligning

Er ISO 27001 nok til NIS2 Compliance?

Det Korte Svar

Nej, ISO 27001 alene er ikke nok til at opfylde alle NIS2 krav. Men det dækker cirka 70-80% af kravene og udgør derfor det bedste mulige fundament for NIS2 compliance. Hvis din organisation starter med ISO 27001, reducerer du betydeligt den ekstra indsats, der kræves for at blive NIS2-compliant.

Hvad ISO 27001 Dækker af NIS2

ISO 27001 dækker størstedelen af de tekniske og organisatoriske sikkerhedskrav i NIS2:

✓ Risikovurdering og risikostyring – Clause 6 og flere Annex A kontroller
✓ Sikkerhedspolitikker – Omfattende politikker og procedurer
✓ Hændelseshåndtering – Processer for at håndtere sikkerhedshændelser
✓ Business continuity – Kontinuitet og disaster recovery
✓ Adgangskontrol – Omfattende kontroller for adgangsstyring
✓ Kryptering – Krav til kryptografiske kontroller
✓ Awareness og træning – Medarbejderuddannelse i sikkerhed
✓ Leverandørsikkerhed – Sikring af forsyningskæden
✓ Asset management – Styring af informationsaktiver
✓ Sikker udvikling – Sikkerhed i systemudvikling

Hvad NIS2 Kræver Ud Over ISO 27001

Der er dog vigtige områder, hvor NIS2 stiller krav, som går ud over ISO 27001:

✗ Obligatorisk hændelsesrapportering til myndigheder – NIS2 kræver rapportering til CSIRT og nationale myndigheder
✗ Specifikke tidsfrister – 24 timer for tidlig advarsel, 72 timer for hændelsesrapport, 30 dage for slutrapport
✗ Registrering som NIS2-enhed – Formelt registreringskrav hos myndighederne
✗ Sektorspecifikke krav – Nogle sektorer har yderligere specifikke sikkerhedskrav
✗ Personligt ledelsesansvar med sanktioner – Ledelsen er personligt ansvarlig og kan idømmes sanktioner
✗ Forsyningskædesikkerhed – Mere eksplicitte krav til leverandørstyring end ISO 27001
✗ Aktivt samarbejde med myndigheder – Løbende samarbejde og informationsdeling

NIS2 og ISO 27001: Krav-for-krav mapping

For at forstå præcist hvor ISO 27001 dækker NIS2's krav, er her en detaljeret mapping af NIS2 Artikel 21's sikkerhedsforanstaltninger mod ISO 27001 kontroller:

Som tabellen viser, er de primære gaps ikke i de tekniske sikkerhedsforanstaltninger, men i compliance-processerne omkring rapportering, registrering og myndighedskontakt.

Hvornår skal du have hvad?

Scenarie 1: Du er omfattet af NIS2

Hvis din organisation falder inden for NIS2's anvendelsesområde, er NIS2 compliance obligatorisk. Der er ingen vej uden om. Vi anbefaler dog stærkt, at du bruger ISO 27001 som fundament:

Anbefalet tilgang:

1. Start med at implementere ISO 27001 framework (certificering er valgfrit)
2. Byg NIS2-specifikke krav ovenpå dette fundament
3. Etabler processer for hændelsesrapportering og myndighedskontakt
4. Registrer dig som NIS2-enhed hos myndighederne

Fordelen ved denne tilgang er, at du får et solidt, internationalt anerkendt sikkerhedssystem, som også gør dig klar til NIS2.

Scenarie 2: Du er IKKE omfattet af NIS2

Hvis din organisation ikke er omfattet af NIS2, er ISO 27001 stadig relevant, hvis:

• Kunder eller partnere kræver det – Mange større virksomheder kræver ISO 27001 certificering af deres leverandører
• Du vil demonstrere sikkerhed – Certificeringen viser troværdighed over for interessenter
• Du vil forberede til eventuel NIS2 – Hvis din organisation vokser eller ændrer fokus, kan I blive omfattet senere

Vær dog opmærksom på, at selv om du ikke er direkte omfattet af NIS2, kan dine kunder være det. Dette betyder, at du som del af deres forsyningskæde kan blive underlagt krav om dokumentation af din sikkerhed.

Scenarie 3: Du er allerede ISO 27001 certificeret

Hvis din organisation allerede er ISO 27001 certificeret og bliver omfattet af NIS2, er du i en god position. Du skal blot:

1. Identificer gaps – Gennemgå mapping-tabellen ovenfor
2. Implementer hændelsesrapportering – Etabler processer for 24h/72h/30d rapportering
3. Registrer som NIS2-enhed – Kontakt relevante myndigheder
4. Dokumenter ledelsesansvar – Sikr at ledelsen forstår deres personlige ansvar
5. Opdater leverandørvurderinger – Styrk forsyningskædesikkerheden hvor nødvendigt

Den gode nyhed er, at meget af arbejdet allerede er gjort gennem jeres ISO 27001 compliance.

Scenarie 4: Du starter fra scratch

Hvis I skal starte fra bunden med både NIS2 og informationssikkerhed, anbefaler vi:

1. Brug ISO 27001 som framework – Selv hvis certificering ikke er målet
2. Inkluder NIS2-krav fra starten – Undgå dobbeltarbejde senere
3. Brug integreret management system – Ét system til begge frameworks
4. Prioriter kritiske områder først – Start med risikovurdering og grundlæggende kontroller

Denne tilgang giver jer mest værdi for pengene og undgår, at I skal lave arbejdet to gange.

Praktisk tilgang: ISO 27001 som fundament for NIS2

Her er en praktisk fremgangsmåde til at bruge ISO 27001 som fundament for NIS2 compliance:

Trin 1: Implementer ISO 27001 ISMS

Start med at etablere et informationssikkerhedsstyringssystem baseret på ISO 27001:

• Lav en omfattende risikovurdering af jeres informationsaktiver
• Udvikl sikkerhedspolitikker og procedurer
• Implementer relevante kontroller fra Annex A baseret på jeres risici
• Etabler processer for intern audit og løbende forbedring

Dette giver jer en solid ramme for sikkerhedsstyring, uanset om I vælger at gå efter certificering eller ej.

Trin 2: Identificer NIS2 gaps

Brug mapping-tabellen tidligere i denne artikel til at identificere, hvor ISO 27001 ikke fuldt ud dækker NIS2's krav:

• Hændelsesrapportering – Mangler I processer for myndighedsrapportering?
• Registrering – Er I registreret som NIS2-enhed?
• Ledelsesansvar – Er ledelsen fuldt informeret om deres personlige ansvar?
• Forsyningskæde – Lever jeres leverandørvurderinger op til NIS2's krav?

Trin 3: Udfyld gaps

Implementer de manglende elementer:

• Etabler konkrete processer for hændelsesrapportering med tidsfrister (24h/72h/30d)
• Registrer jer hos relevante nationale myndigheder
• Dokumenter ledelsens forståelse og accept af ansvar
• Opdater databehandleraftaler og leverandørkontrakter til at inkludere NIS2-krav
• Etablér kontaktpunkt til CSIRT og nationale cybersikkerhedsmyndigheder

Trin 4: Vedligehold begge

Drift et integreret management system, hvor begge frameworks vedligeholdes sammen:

• Brug samme platform til dokumentation og opgavestyring
• Koordiner interne audits til at dække begge frameworks
• Opdater risiko- og compliance-vurderinger løbende
• Sikr at træning dækker både ISO 27001 og NIS2 krav

Denne integrerede tilgang sikrer, at I får maksimal værdi ud af jeres compliance-indsats uden unødvendigt dobbeltarbejde.

ENISA's Mapping: Officiel vejledning

Det Europæiske Agentur for Netværks- og Informationssikkerhed (ENISA) har udgivet officiel vejledning om sammenhængen mellem NIS2 og ISO 27001. ENISA bekræfter, at ISO 27001 er et stærkt udgangspunkt for NIS2 compliance.

ENISA anbefaler specifikt at bruge ISO 27001:2022 (den nyeste version) frem for ISO 27001:2013, da den opdaterede standard har bedre alignment med moderne cybersikkerhedstrusler og krav.

Du kan finde ENISA's ressourcer og vejledning på www.enisa.europa.eu, hvor der løbende udgives opdateret materiale om NIS2 implementering.

Hvad anbefaler vi?

Baseret på vores erfaring med hundredvis af organisationer, der arbejder med compliance, er her vores anbefalinger:

For virksomheder omfattet af NIS2:

1. Start med ISO 27001 – Brug det som framework, også selv om certificering ikke er påkrævet
2. Overvej certificering – Det giver troværdighed og letter dokumentation af compliance
3. Tilføj NIS2-specifikke krav – Fokuser på gaps omkring rapportering og registrering
4. Brug ét integreret system – Undgå dobbelt dokumentation og administration

For virksomheder IKKE omfattet af NIS2:

1. Vurder forretningsbehov – Er ISO 27001 relevant for jeres kunder og marked?
2. Vær opmærksom på forsyningskæden – Jeres kunder kan være omfattet og stille krav til jer
3. Start simpelt – Implementer grundlæggende informationssikkerhed og skaler op efter behov
4. Forbered på fremtiden – Jeres organisation kan vokse ind i NIS2's anvendelsesområde

Det vigtigste budskab er: Uanset om I er omfattet af NIS2 eller ej, giver en struktureret tilgang til informationssikkerhed værdi for organisationen. ISO 27001 giver jer dette framework, og hvis NIS2 bliver relevant, er arbejdet allerede halvt gjort.

Hvordan .legal hjælper med begge frameworks

Hos .legal har vi udviklet en platform, der specifikt håndterer både NIS2 og ISO 27001 i ét integreret system. Vores Frameworks-modul giver jer:

• Pre-built frameworks med komplet mapping mellem NIS2 og ISO 27001
• Automatisk tracking af overlap, så I ikke dokumenterer det samme to gange
• Integreret opgavestyring med årshjul for begge frameworks
• Rapportering til både ledelse, interne audits og myndighedsrapportering
• Leverandørstyring der opfylder både ISO 27001 og NIS2's krav

Med .legal får I overblik over jeres compliance-status på tværs af frameworks og kan fokusere på det faktiske sikkerhedsarbejde i stedet for dokumentationsadministration.

Se hvordan vi håndterer NIS2 og ISO 27001 eller book en demo for at se platformen i aktion.

Ofte stillede spørgsmål om NIS2 vs ISO27001