Masz certyfikat ISO 27001 i myślisz, że NIS2 masz już z głowy? To częsty błąd. ISO 27001 a NIS2 to dwa różne systemy – norma nie pokrywa m.in. obowiązku raportowania incydentów w 24 godziny czy odpowiedzialności zarządu. Sprawdź, czego faktycznie wymaga dyrektywa.
W skrócie: ISO 27001 to norma opisująca system zarządzania bezpieczeństwem informacji. NIS2 to unijna dyrektywa nakładająca na podmioty kluczowe i ważne obowiązek zarządzania ryzykiem cyberbezpieczeństwa. Posiadanie certyfikatu ISO 27001 nie przekłada się automatycznie na zgodność z NIS2. Norma pokrywa część wymogów, ale dyrektywa wymaga szerszych działań, w szczególności w obszarze raportowania incydentów, odpowiedzialności zarządu i proporcji wdrażanych środków.
ISO 27001 to norma, która według dokumentacji międzynarodowej określa wymagania dla ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji. Organizacja, która uzyska certyfikat, otrzymuje potwierdzenie, że jej sposób zarządzania ryzykiem informacyjnym jest uporządkowany i podlega regularnej ocenie.
źródło: magnific.comSystem koncentruje się na identyfikacji aktywów, analizie zagrożeń oraz doborze środków zabezpieczających. Norma daje elastyczność, ponieważ nie narzuca konkretnych technologii. Jednocześnie nie precyzuje obowiązków sprawozdawczych do organów nadzorczych ani nie określa sztywnych terminów zgłaszania incydentów.
Zgodnie z zapisami dyrektywy NIS2 żadna norma, w tym ISO 27001, nie jest obowiązkowa ani samodzielnie wystarczająca. Państwa członkowskie zachęcają do stosowania norm europejskich i międzynarodowych, ale bez faworyzowania któregokolwiek standardu.
Dyrektywa NIS2 ma na celu osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej. Jej przepisy nakładają na podmioty kluczowe i ważne obowiązek przyjęcia odpowiednich środków zarządzania ryzykiem cyberbezpieczeństwa.
Zapis o odpowiedzialności zarządu jest tu szczególnie istotny. Organy zarządzające muszą zatwierdzać środki bezpieczeństwa, nadzorować ich wdrażanie i mogą ponieść odpowiedzialność za naruszenie tych obowiązków. Oznacza to przeniesienie odpowiedzialności z poziomu operacyjnego na szczebel decyzyjny organizacji.
Przepisy wskazują też na proporcjonalność działań. Przy wyborze zabezpieczeń trzeba uwzględnić stan wiedzy technicznej, koszt wdrożenia, wielkość podmiotu, stopień jego narażenia oraz prawdopodobieństwo i skalę incydentów. Dwa podmioty o różnej wielkości lub profilu ryzyka mogą więc potrzebować innego zestawu środków, mimo że oba posiadają certyfikat ISO 27001.
Katalog wymagań ma charakter minimalny. Obejmuje on nie tylko ochronę logiczną systemów, ale również ochronę ich środowiska fizycznego. Podmiot nie powinien traktować wyliczenia zawartego w dyrektywie jako zamkniętej listy, jeśli specyfika jego działalności wymaga szerszych działań.
Po wykryciu incydentu istotnego przepisy nakładają na podmiot ścisłe terminy. Należy przekazać wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiadomości. Sam incydent trzeba zgłosić w ciągu 72 godzin, a sprawozdanie końcowe dostarczyć najpóźniej miesiąc po zgłoszeniu.
W praktyce oznacza to konieczność wcześniejszego przygotowania procedur, wyznaczenia osób odpowiedzialnych za kontakt z organami oraz opracowania szablonów dokumentacji. Sam fakt posiadania certyfikatu ISO 27001 nie świadczy o tym, że firma jest gotowa do dotrzymania tych terminów wobec krajowych zespołów reagowania.
Po otrzymaniu zgłoszenia zespół CSIRT lub organ właściwy ma udzielić podmiotowi odpowiedzi w miarę możliwości w ciągu 24 godzin. Odpowiedź obejmuje wstępną informację zwrotną oraz, jeśli to możliwe, wskazówki operacyjne. Wymaga to od organizacji znajomości kanałów komunikacji i procedur obowiązujących w danym państwie członkowskim.
Mogę Ci jakoś pomóc?
Przy ocenie istotności incydentu jednym z kryteriów jest bezpośrednia strata finansowa przekraczająca 500 tysięcy euro albo 5 procent rocznego obrotu podmiotu. Planowane przerwy w świadczeniu usługi oraz zaplanowane skutki prac serwisowych nie są natomiast uznawane za incydenty istotne.
Często pojawia się przekonanie, że wystarczy zestawić listę kontrolek ISO 27001 z wymaganiami NIS2 i uznać zgodność za potwierdzoną. To podejście jest błędne.
W wytycznych technicznych ENISA można przeczytać, że mapowanie wymogów na inne normy, w tym na ISO 27001, nie powinno być interpretowane jako miara równoważności między standardami. Fakt istnienia danej kontroli w systemie zarządzania nie oznacza automatycznie, że spełnia ona wszystkie warunki dyrektywy. Każdy wymóg NIS2 trzeba przeanalizować osobno i udokumentować sposób jego realizacji w konkretnej organizacji.
W praktyce: certyfikat ISO 27001 świadczy o tym, że firma potrafi zarządzać ryzykiem informacyjnym. Nie gwarantuje jednak, że zarząd osobiście zatwierdził politykę cyberbezpieczeństwa, ani że przedsiębiorstwo jest gotowe do zgłoszenia incydentu w ciągu doby.
Dodatkowe wymagania wynikają z rozporządzenia wykonawczego 2024/2690, które dotyczy wskazanych rodzajów podmiotów cyfrowych. Regulacja obejmuje między innymi dostawców DNS, rejestry domen najwyższego poziomu oraz dostawców usług chmury obliczeniowej i centrów danych. Dotyczy też sieci CDN, usług zarządzanych i zarządzanych usług bezpieczeństwa. Obejmuje również platformy handlowe, wyszukiwarki internetowe, serwisy społecznościowe oraz usługi zaufania.
Motyw tego aktu wskazuje, że jego wymagania techniczne i metodyczne opierają się między innymi na normach ISO 27001, ISO 27002 oraz specyfikacjach ETSI i CEN. Oznacza to, że normy te mogą stanowić punkt wyjścia przy budowie systemu. Nie oznacza to jednak, że sam certyfikat ISO 27001 automatycznie zastępuje szczegółowe obowiązki wynikające z rozporządzenia.
Jeśli konkretne wymaganie przewidziane w załączniku ma zastosowanie wyłącznie w stosownych przypadkach, a podmiot uzna je za niemające zastosowania do siebie, musi w zrozumiały sposób udokumentować swoje uzasadnienie. Sam brak certyfikatu lub jego posiadanie nie zwalnia z tego obowiązku.
Organizacje posiadające wdrożony ISMS i certyfikat ISO 27001 zaczynają z lepszej pozycji niż podmioty startujące od zera. Mają już opisaną architekturę ryzyka, polityki bezpieczeństwa i mechanizmy ciągłego doskonalenia. To jednak tylko fundament, a nie gotowy budynek.
Pierwszym krokiem jest sprawdzenie, czy obszary objęte certyfikatem pokrywają zakres działalności objęty obowiązkiem wynikającym z dyrektywy. Certyfikat może dotyczyć wyłącznie określonych procesów lub części struktury organizacyjnej, podczas gdy NIS2 nakłada obowiązki na szerszy obszar.
Kolejny krok to wzmocnienie roli zarządu. Należy przygotować formalne dokumenty potwierdzające zatwierdzenie polityk cyberbezpieczeństwa, procedury nadzoru oraz dowody aktywnego udziału organów zarządzających w monitorowaniu wdrażania środków.
Warto przeprowadzić symulację incydentu, która zweryfikuje gotowość do raportowania. Test powinien obejmować nie tylko wewnętrzne procedury, ale także kanały komunikacji z krajowymi zespołami reagowania. Warto sprawdzić, czy możliwe jest zebranie wymaganych informacji i przekazanie wczesnego ostrzeżenia w wymaganym czasie.
Organizacja powinna też przejrzeć wewnętrzne definicje incydentu istotnego. Nawet jeśli w firmie istnieje procedura reagowania na zagrożenia, może okazać się, że kryteria jej uruchomienia wymagają dostosowania do regulacyjnych progów, w tym wspomnianych już wskaźników finansowych.
Mogę Ci jakoś pomóc?
Na co zwrócić uwagę: planowane przerwy serwisowe i prace utrzymaniowe nie są incydentami istotnymi. Warto to wyraźnie rozdzielić w wewnętrznej instrukcji, by uniknąć niepotrzebnych zgłoszeń.
Tak, pod warunkiem że od początku traktuje się ten system jako jeden z elementów większej całości, a nie jako pełne spełnienie wymagań regulacyjnych. Wdrożenie ISO 27001 uczy porządku w zarządzaniu bezpieczeństwem informacji, buduje kulturę ryzyka i angażuje pracowników na różnych szczeblach.
Firmy planujące certyfikację powinny już na etapie projektowania ISMS uwzględnić konieczność raportowania incydentów, odpowiedzialność zarządu i proporcjonalność środków. Dzięki temu unikną konieczności przerabiania dokumentacji w przyszłości.
Ostatecznie NIS2 traktuje bezpieczeństwo jako proces zarządczy oparty na ryzyku, a nie jako zbiór odhaczonych kontrolek. ISO 27001 doskonale wpisuje się w tę filozofię, ale sama z siebie nie wypełnia wszystkich regulacyjnych oczekiwań.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Amerykańska agencja CISA potwierdziła, że krytyczna podatność w Ivanti Sentry jest aktywnie wykorzystywana przez atakujących. Zdalne wykonanie kodu z prawami root, ocena 10 na 10 i trzy dni na reakcję dla instytucji federalnych. Sprawdź, czy dotyczy to Twojej firmy.
Czytaj artykułWedług komunikatu CISA z 18 sierpnia 2026 roku podatność CVE-2026-33824 w usłudze IKE systemu Windows jest aktywnie wykorzystywana, a według Palo Alto Networks posłużyła do ataków na bramy VPN. Poprawka istnieje od kwietnia 2026 roku, więc najpierw trzeba sprawdzić, które maszyny jej nie mają.
Czytaj artykułBywają usterki, które kończą się zdaniem „zaktualizuj do wersji X”, i takie, które kończą się zdaniem „przestań używać tego urządzenia”.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.