NIS2 ISO 27001 gap-analyse: Hva mangler du?
Virksomheter med ISO 27001-sertifisering har et solid forsprang i NIS2-etterlevelsen. Men ISO 27001 er ikke NIS2. Det finnes spesifikke gap som må lukkes, og noen av dem kan være overraskende for virksomheter som tror at sertifiseringen dekker alt.
EU-kommisjonens konsekvensanalyse anslår at ISO 27001-sertifiserte virksomheter dekker omtrent 70 % av NIS2-kravene (EU-kommisjonen, 2022). Det betyr at 30 % gjenstår. Og de 30 prosentene inkluderer noen av NIS2s mest distinktive krav: ledelsesansvar, hendelsesrapporteringsfrister og leverandørkjedesikkerhet.
Nøkkelpunkter
- ISO 27001 dekker ca. 70 % av NIS2-kravene (EU-kommisjonen, 2022)
- De viktigste gapene er hendelsesrapportering, ledelsesansvar og leverandørkjedesikkerhet
- ISO 27001:2022-oppdateringen har redusert gapet, men ikke eliminert det
- Gap-analysen bør gjøres systematisk med NIS2 artikkel 21 som referanseramme
Hva dekker ISO 27001 som også NIS2 krever?
ISO 27001 og NIS2 deler et felles fundament: risikobasert tilnærming til informasjonssikkerhet. En studie fra BSI Group viser at ISO 27001-sertifiserte virksomheter bruker i snitt 40 % mindre tid på NIS2-implementering enn usertifiserte virksomheter (BSI, 2025). Overlappen er betydelig.
Risikostyring
ISO 27001 krever en systematisk risikovurderingsprosess. NIS2 artikkel 21(2)(a) krever det samme. For virksomheter med ISO 27001 er dette allerede på plass.
Hendelseshåndtering
ISO 27001 Anneks A kontroll A.5.24-A.5.28 dekker hendelseshåndtering. NIS2 krever det samme, men med spesifikke rapporteringsfrister (24/72 timer) som ikke finnes i ISO 27001.
Tilgangskontroll og kryptografi
ISO 27001 har omfattende kontroller for tilgangskontroll (A.5.15-A.5.18, A.8.2-A.8.5) og kryptografi (A.8.24). Disse overlapper direkte med NIS2 artikkel 21(2)(h-j).
Driftskontinuitet
ISO 27001 kontroll A.5.29-A.5.30 dekker informasjonssikkerhet i kontinuitetsstyring. NIS2 artikkel 21(2)(c) krever tilsvarende.
Leverandørsikkerhet
ISO 27001 har kontroller for leverandørforhold (A.5.19-A.5.23). NIS2 stiller mer omfattende krav, men ISO 27001 gir et fundament.
Citatkapsel: ISO 27001-sertifiserte virksomheter bruker i snitt 40 % mindre tid på NIS2-implementering ifølge BSI Group, ettersom sertifiseringen dekker omtrent 70 % av NIS2-kravene inkludert risikostyring og tilgangskontroll (BSI, 2025).
Hva er de viktigste gapene?
Gapene mellom ISO 27001 og NIS2 er spesifikke og forutsigbare. En analyse fra ENISA identifiserer fem hovedområder der ISO 27001 ikke dekker NIS2 fullt ut (ENISA, 2024).
Gap 1: Hendelsesrapportering med spesifikke frister
ISO 27001 krever at hendelser rapporteres internt og eksternt «i tide», men spesifiserer ikke tidsfrister. NIS2 krever 24-timers tidlig varsel, 72-timers oppdatering og 1-måneds sluttrapport til myndigheter. Gapet er den spesifikke rapporteringsmekanismen mot myndighetene.
Lukking: Etabler rapporteringsrutiner med definerte frister rettet mot CSIRT/sektormyndighet. Lag maler, definer eskalering og øv.
Gap 2: Personlig ledelsesansvar
ISO 27001 krever ledelsesengasjement (klausul 5), men definerer ikke personlig ansvar. NIS2 artikkel 20 gir ledelsen eksplisitt godkjennings- og overvåkingsplikt med personlige sanksjoner.
Lukking: Oppdater styreinstrukser, etabler rapporteringslinjer fra CISO til styret, gjennomfør obligatorisk ledelsestrening, og dokumenter alt.
Gap 3: Leverandørkjedesikkerhet i dybden
ISO 27001 adresserer leverandørsikkerhet, men NIS2 går dypere. NIS2 krever vurdering av «sårbarhetene til hver direkte leverandør», sikkerheten i leverandørkjeden totalt sett, og mulighet for koordinerte sikkerhetsvurderinger av kritiske leverandørkjeder.
Lukking: Utvid leverandørvurderingen til å inkludere spesifikke sårbarhetsvurderinger, oppdater kontrakter med NIS2-relevante krav, og etabler løpende overvåking.
Gap 4: Registreringsplikt
ISO 27001 innebærer ingen registreringsplikt hos myndigheter. NIS2 krever at virksomheter registrerer seg hos kompetent myndighet.
Lukking: Forbered registreringsinformasjon og registrer virksomheten når portalen åpner.
Gap 5: Sektorspesifikke krav
ISO 27001 er generisk. NIS2 kan ha sektorspesifikke krav gjennom forskrifter og sektormyndighetens tolkninger. For eksempel kan helsesektoren ha strengere krav til tilgjengelighet enn det ISO 27001 alene sikrer.
Lukking: Følg med på sektorspesifikke forskrifter og veiledning fra relevant sektormyndighet.
[UNIQUE INSIGHT] En subtil forskjell som ofte overses: ISO 27001 fokuserer på «informasjonssikkerhet», mens NIS2 fokuserer på «sikkerhet for nettverks- og informasjonssystemer». NIS2 har et bredere fokus som inkluderer OT-systemer, IoT-enheter og fysisk infrastruktur som støtter digitale tjenester. Virksomheter med ISO 27001 som kun dekker IT-systemer, kan ha et gap for OT og IoT.
Trenger dere eksperthjelp med nis2 iso 27001 gap-analyse: hva mangler du??
Våre skyarkitekter hjelper dere med nis2 iso 27001 gap-analyse: hva mangler du? — fra strategi til implementering. Book et gratis 30-minutters rådgivningssamtale uten forpliktelse.
Hvordan gjennomfører du gap-analysen praktisk?
En systematisk gap-analyse tar typisk 2-4 uker for virksomheter med ISO 27001-sertifisering. Uten sertifisering kan den ta 4-8 uker (ISACA, 2024). Prosessen er enklere enn en full risikovurdering fordi du sammenligner mot et definert sett med krav.
Steg 1: Kartlegg NIS2-kravene
Bruk NIS2 artikkel 21s ti minimumskrav som sjekkliste. Supplerer med EU-kommisjonens gjennomføringsforordning for detaljer. Ta hensyn til norske tilpasninger i digitalsikkerhetsloven.
Steg 2: Kartlegg eksisterende kontroller
Dokumenter hvilke ISO 27001-kontroller som adresserer hvert NIS2-krav. Bruk Statement of Applicability (SoA) som utgangspunkt.
Steg 3: Identifiser gap
For hvert NIS2-krav, vurder om eksisterende kontroller dekker kravet fullt ut, delvis, eller ikke i det hele tatt. Dokumenter gapet og årsaken.
Steg 4: Prioriter og planlegg
Prioriter gap basert på risiko og implementeringstid. Lag en handlingsplan med ansvarlige og frister. Gap som tar lang tid å lukke (leverandørkjedevurdering, kulturendring) bør starte først.
[PERSONAL EXPERIENCE] I gap-analyser vi har gjort for nordiske virksomheter med ISO 27001, finner vi typisk 15-25 gap-punkter. De fleste er moderate (prosessutvidelser), men 3-5 er vesentlige (nye prosesser som ikke eksisterer). Hendelsesrapportering mot myndigheter og formelt ledelsesansvar er nesten alltid blant de vesentlige gapene.
Bør vi beholde ISO 27001 ved siden av NIS2?
Absolutt. ISO 27001 og NIS2 er komplementære, ikke konkurrerende. En rapport fra ISO viser at antall ISO 27001-sertifiseringer økte med 32 % globalt i 2024, drevet delvis av NIS2-forberedelser (ISO, 2025). Sertifiseringen gir verdi utover NIS2-etterlevelse.
Fordeler med å beholde ISO 27001
Sertifiseringen gir troverdighet overfor kunder og partnere. Den strukturerer sikkerhetsstyringen gjennom PDCA-syklusen. Revisjoner holder virksomheten skjerpet. Mange leverandørkrav aksepterer ISO 27001 som dokumentasjon.
ISO 27001 som rammeverk for NIS2
Bruk ISO 27001s strukturerte tilnærming som rammeverk for NIS2-implementering. Utvid scope til å dekke NIS2-gapene. Oppdater SoA med NIS2-spesifikke kontroller.
Citatkapsel: ISO 27001-sertifiseringer økte med 32 % globalt i 2024 ifølge ISO, drevet delvis av NIS2-forberedelser, og sertifiserte virksomheter har et dokumentert forsprang i etterlevelsesarbeidet (ISO, 2025).
Ofte stilte spørsmål
Erstatter NIS2-etterlevelse behovet for ISO 27001?
Nei. NIS2 er et lovkrav. ISO 27001 er en frivillig standard. De har ulike formål og ulik verdi. NIS2-etterlevelse gir deg lovmessig compliance. ISO 27001 gir strukturert sikkerhetsstyring, kundetillit og et fundament for kontinuerlig forbedring.
Kan vi bruke ISO 27001-revisjonen som NIS2-tilsyn?
Nei. NIS2-tilsyn gjennomføres av sektormyndigheten, ikke ISO-revisorer. Men dokumentasjon fra ISO-revisjoner kan brukes som bevis på etterlevelse overfor tilsynsmyndigheten.
Dekker ISO 27001:2022 mer av NIS2 enn ISO 27001:2013?
Ja. 2022-versjonen inkluderer nye kontroller for trusselvurdering, skybruk og datalekkasjeforebygging som er mer relevante for NIS2. Virksomheter på 2013-versjonen bør prioritere oppgradering.
Hva med ISO 27002 og ISO 27017?
ISO 27002 gir implementeringsveiledning for ISO 27001-kontrollene. ISO 27017 er spesifikt for skytjenester. Begge er nyttige supplementer, men hverken erstatter NIS2-gap-analysen.
Hvor lang tid tar det å lukke typiske gap?
For ISO 27001-sertifiserte virksomheter: 3-6 måneder for å lukke de fleste gap. Leverandørkjedevurdering kan ta lenger. For usertifiserte virksomheter: 6-12 måneder for gap-lukking, eventuelt parallelt med ISO 27001-implementering.
Viktige punkter om NIS2 ISO 27001 gap-analyse mangler
ISO 27001 er det beste utgangspunktet for NIS2-etterlevelse, men det er ikke tilstrekkelig alene. Gjennomfør en systematisk gap-analyse mot NIS2 artikkel 21, prioriter de vesentlige gapene (hendelsesrapportering, ledelsesansvar, leverandørkjede), og bruk ISO 27001s rammeverk for å implementere forbedringene.
Meta description: ISO 27001 dekker 70 % av NIS2-kravene. Lær de fem viktigste gapene og hvordan du lukker dem. Praktisk gap-analyse for norske virksomheter.
Om forfatteren
Group COO & CISO
Fredrik er konsernets COO og CISO i Opsio. Han fokuserer på operasjonell fortreffelighet, styring og informasjonssikkerhet og jobber tett med leveranse- og ledergruppene for å samordne teknologi, risiko og forretningsresultater i komplekse IT-miljøer. Han leder Opsios sikkerhetspraksis, inkludert SOC-tjenester, penetrasjonstesting og compliance-rammeverk.
Redaksjonelle retningslinjer: Artikkelen er skrevet av en sertifisert fagperson og gjennomgått av vårt ingeniørteam. Vi oppdaterer den når teknologien eller regelverket den omhandler endres; datoene over viser siste oppdatering. Opsio er redaksjonelt uavhengig — vi anbefaler løsninger ut fra tekniske fortrinn, ikke kommersielle relasjoner.