Ett ISO 27001-certifikat hjälper påvisbar med NIS2-skyldigheten för risikokontrollåtgärder, men täcker den inte helt. Standarden beskriver hur en organisation strukturerat hanterar informationssäkerhet genom ett ledningssystem; direktiv (EU) 2022/2555 (i synnerhet artikel 21) beskriver vilka konkreta åtgärder en viktig eller särskilt viktig enhet måste vidta, och artikel 23 föreskriver att incidenter måste anmälas till en tillsynsmyndighet. Det senare regleras inte av någon ISO-standard, hur bra certifikatet än är i övrigt.
Skillnaden ligger alltså inte i kvalitet utan i syfte. ISO 27001 är en frivillig standard som en organisation kan få certifierad för att visa att den har informationssäkerhet i ordning. NIS2 är lagstiftning med en lagstadgad skyldighet för risikokontrollåtgärder, en registreringsskyldighet och en anmälningsskyldighet, som omvandlats per land — i Sverige genom säkerhetsskyddslagen. Ett företag kan alltså vara certifierat enligt ISO 27001 och ändå behöva vidta ytterligare åtgärder för att uppfylla de lagstadgade skyldigheterna, och omvänt kan ett företag arbeta med den lagstadgade skyldigheten utan att någonsin vilja ha ett certifikat.
Där överlappningen finns
ISO 27001 arbetar med en riskbedömning och en lista över kontrollåtgärder (den så kallade bilagan A) som starkt liknar de tio åtgärder som NIS2-skyldigheten för risikokontrollåtgärder nämner: åtkomstbehör, kryptering, säkerhetskopior, bedömning av leverantörer, incidenthantering och mer förekommer i båda. En organisation som seriöst underhåller sitt ISO-system har redan bevis och en ansvarig för många av dessa åtgärder. Det sparar betydande arbete när man bygger upp ett dossier för skyldigheten för risikokontrollåtgärder, och det är också precis varför mottagare som skickar en säkerhetsfrågespöl ofta betraktar ett ISO 27001-certifikat som en stark signal.
Omfattningen är dock något annorlunda. ISO 27001 låter en organisation själv bestämma omfattningen av ledningssystemet — till exempel endast IT-avdelningen eller endast en verkstad. NIS2-skyldigheten för risikokontrollåtgärder gäller för hela den enhet som omfattas av lagen, sådan den avgränsats av lagstiftaren och sektorn. Ett certifikat med begränsad omfattning säger alltså inte automatiskt något om resten av organisationen. Den som vill kontrollera hur denna avgränsning fungerar för sin egen sektor hittar det mer översiktligt genom att söka i ämnena per situation än i standarden själv.
Där ISO 27001 inte reglerar något
Två skyldigheter från lagen har inget motsvarande i standarden. Den första är registreringsskyldigheten: viktiga och särskilt viktiga enheter måste registrera sig hos den nationella tillsynsmyndigheten med uppgifter om organisationen och dess kontaktpersoner. ISO 27001 frågar inte om detta — det är en certifieringsstandard, inte ett lagstadgat portal.
Den andra är anmälningsskyldigheten vid incidenter. Artikel 23 i direktivet beskriver en stegvis process för anmälan till den behörig tillsynsmyndigheten, med en initial signal kort efter upptäckt och uppföljningssteg därefter. ISO 27001 kräver dock en process för incidenthantering, men denna process är internt inriktad: den beskriver hur en organisation själv hanterar en incident, inte till vem och när den externt måste anmälas. Den som vill få denna skillnad klar kan läsa utvecklingen av dessa tidsfrister i tidigare artikel om anmälningsskyldigheten på denna webbplats.
Också det sätt på vilket leverantörer bedöms skiljer sig i vikt. ISO 27001 ägnar uppmärksamhet åt leverantörsrelationer som en del av den bredare riskbedömningen. NIS2-skyldigheten för risikokontrollåtgärder gör bedömning av försörjningskedjor till en uttrycklig del av artikel 21, vilket förklarar varför skyldiga organisationer lägger detta ämne så tydligt på sina små och medelstora leverantörer genom frågespölar och avtalsvillkor.
Vad detta innebär i praktiken
För en organisation som redan är ISO 27001-certifierad innebär detta vanligtvis att en stor del av bevisen redan finns, men att de bara måste ordnas annorlunda: per åtgärd för riskanpassning en status, ett bevisstycke och en ansvarig, plus texter för registrering och anmälan som standarden inte föreskriver. För en organisation utan certifikat innebär det att den inte nödvändigtvis behöver påbörja ett ISO-projekt för att arbeta med riskanpassningen — lagen kräver åtgärderna, inte certifikatet som sådant.
Hur detta exakt får följder för en specifik organisation beror på sektorn, storleken och rollen i försörjningskedjan, och det bedöms i slutändan av den behörig tillsynsmyndigheten eller en jurist, inte denna artikel. En första indikation får du genom att i några frågor se var du står, och den som vill veta hur informationen på denna webbplats är uppbyggd och var källorna kommer ifrån läser det på sidan om hur secria.eu sammanställer informationen.
Har du efter läsningen fortfarande en konkret fråga om din egen situation, till exempel om vad ett certifikat bevisar och inte bevisar gentemot en köpare? Se då på svar på vanliga frågor, eller starta den kostnadsfria kontrollen för att se vilken nästa steg som passar för din organisation.