NIS2 и ISO 27001 - как сертификацията покрива мерките

Директивата NIS2 задължава съществените и важните субекти да управляват рисковете за мрежите и информационните си системи. В България изискванията са въведени със Закона за изменение и допълнение на Закона за киберсигурност (ДВ, бр. 17 от 13.02.2026 г.). Най-честият въпрос, който получаваме, е дали сертификат по ISO/IEC 27001 решава задачата. Краткият отговор: покрива голяма част от мерките, но не всичко. Ето как се съотнасят двете.

Какво изисква NIS2 и какво дава ISO 27001

NIS2 (Директива (ЕС) 2022/2555) казва какво трябва да постигне организацията: технически, оперативни и организационни мерки, съразмерни на риска, плюс докладване на значителните инциденти и отговорност на ръководството.

ISO/IEC 27001 описва как да се изгради система за управление на информационната сигурност - с оценка на риска, цели, вътрешни одити и преглед от ръководството. В Приложение А на изданието от 2022 г. стандартът дава 93 контрола в 4 теми: организационни, за хората, физически и технологични.

Затова двете се допълват: системата по ISO 27001 е рамката, в която мерките по NIS2 се въвеждат, документират и проверяват.

Десетте мерки по NIS2 и контролите на ISO 27001

Член 21 на директивата изброява минималните мерки. До всяка е посочено къде я покрива ISO/IEC 27001:2022.

• Анализ на риска и политики за сигурност - оценка и третиране на риска (т. 6.1.2, 6.1.3, 8.2 и 8.3) и политиките за информационна сигурност (контрол 5.1).
• Справяне с инциденти - контроли 5.24 до 5.28: подготовка, оценка на събитията, реакция, поуки и събиране на доказателства.
• Непрекъснатост на дейността и управление при кризи - контроли 5.29 и 5.30, архивиране (8.13) и резервираност (8.14).
• Сигурност на веригата на доставки - контроли 5.19 до 5.23, включително облачните услуги.
• Сигурност при придобиване, разработка и поддръжка - управление на техническите уязвимости (8.8) и сигурна разработка и тестване (8.25 до 8.29).
• Оценка на ефективността на мерките - наблюдение и измерване, вътрешен одит и преглед от ръководството (т. 9.1 до 9.3).
• Киберхигиена и обучение - осведоменост и обучение (6.3) и базовите технически мерки, например защитата от зловреден софтуер (8.7).
• Криптография - използване на криптография (8.24).
• Сигурност на персонала, контрол на достъпа и активи - контроли 6.1 до 6.6, 5.15 до 5.18 и 5.9 до 5.11.
• Многофакторно удостоверяване и защитени комуникации - сигурно удостоверяване (8.5) и пренос на информация (5.14).

Подробно за всяка мярка и как я въвеждаме - на страницата NIS2 и Законът за киберсигурност.

Какво остава извън ISO 27001

Сертификатът не освобождава от задълженията, които законът поставя пряко:

• Срокове за докладване - при значителен инцидент: ранно предупреждение до 24 часа, уведомление до 72 часа и окончателен доклад до един месец. ISO 27001 изисква процес за инцидентите, но не тези срокове и адресати.
• Отговорност и обучение на ръководството - органите на управление одобряват мерките, следят изпълнението им и минават обучение. Членовете на ръководството отговарят лично, с глоби от 500 до 5 000 €.
• Данни към компетентния орган - директивата изисква субектите да се идентифицират пред него с данни за организацията и дейността си.
• Обхватът - сертификатът важи за определен обхват. Ако той не включва всички услуги и системи, които попадат под NIS2, мерките трябва да се разширят.

Откъде да започнете

Ако вече имате ISO 27001

• Проверете дали обхватът на системата покрива услугите и системите, които попадат под закона.
• Допълнете процедурата за инциденти със сроковете за докладване и контактите на компетентния орган.
• Включете в оценката на риска заплахите за веригата на доставки и за непрекъснатостта на дейността.
• Документирайте одобрението на мерките от ръководството и неговото обучение.

Ако започвате отначало

• Първо проверете дали и като какъв субект попадате под закона - вижте какво е NIS2 и за кои организации е задължително.
• Направете анализ на разликите спрямо десетте мерки и оценка на риска - удобен инструмент е нашата матрица на риска с калкулатор.
• Изградете системата по ISO 27001 така, че да покрива и мерките по закона. Така една и съща документация служи и за проверките, и за сертификата.

Струва ли си сертификатът, ако законът не го изисква

NIS2 не изисква сертификат по ISO 27001. Сертификатът обаче е независима проверка, че мерките работят - нещо, което клиентите, доставчиците и проверяващите оценяват. Системата по стандарта задава и ритъм: вътрешни одити, преглед от ръководството и подобрения, за да не останат мерките на хартия.

Помагаме и в двете посоки: консултации по NIS2, внедряване на ISO/IEC 27001 и обучение за вътрешни одитори по ISO 27001. Започваме с безплатна първоначална оценка - изпратете запитване.