Platform
Moduler
Efter branche
Efter sektor
Efter standard
Blog
Nyheder
Begivenheder
Standarder · Cybersikkerhed
ISO/IEC 27001 og de tilhørende standarder. NIST- og CIS-rammeværkerne. IEC 62443, SOC 2 og TISAX. Og de EU-love, der binder dig direkte: NIS2, DORA, Cyber Resilience Act og GDPR. Forklaret i klart sprog, samlet i ét katalog, hvor hvert opslag er linket til sin kilde.
Oversigt
Et sikkerhedskrav kommer enten som en standard, et framework eller en lov. Ved du, hvilken af delene du står med, ved du også, hvem der kontrollerer det, og hvilken dokumentation de forlanger.
ISO/IEC 27001 er det ledelsessystem, en kunde beder om. Et akkrediteret organ auditerer systemet og udsteder certifikatet. 27002, 27005, 27017, 27018 og 27701 læses oven på det.
NIST CSF 2.0 og SP 800-53, SP 800-171 til den amerikanske forsvarsleverandørkæde, CIS Controls, IEC 62443 til industrielle systemer. SOC 2 og TISAX er de rapporter og mærkninger, der bygger på samme idé.
NIS2 og CER efter sektor. DORA for den finansielle sektor. Cyber Resilience Act for produkter. GDPR for persondata. En tilsynsmyndighed håndhæver dem, uanset om de står i en kontrakt eller ej.
De foranstaltninger, lovene opregner, er de kontroller, et 27001-system kører. Byg systemet én gang, gem dokumentationen, og svar auditoren, kunden og myndigheden ud fra de samme optegnelser.
Søg i kataloget på navn, gennemse det efter familie, eller svar på fem spørgsmål om din situation. Hver post linker til sin kilde og kan bestilles i ComplyTrain.
Et sikkerhedskrav når frem til en virksomhed i tre former. Et spørgeskema eller en kontrakt fra en kunde beder om en standard, som regel ISO/IEC 27001. Et rammeværk som NIST's giver et program dets struktur og et katalog af kontroller at vurdere op imod. Og en lov binder dig ikke, fordi en kontrakt siger det, men på grund af hvad du er, og hvad du sælger: NIS2, DORA, Cyber Resilience Act, GDPR. Denne side forklarer de tre, hvordan de passer sammen, og hvor dokumenterne kommer fra. Værktøjet nedenfor finder derefter dem, der passer til din situation.
ISO/IEC 27001 er den internationale standard for et ledelsessystem for informationssikkerhed, og den, en kunde spørger til først. Den kan certificeres, den er den samme i alle brancher, og hovedteksten nævner ingen tekniske foranstaltninger. Den beder dig om at drive et ledelsessystem, der ved, hvilke oplysninger du har, vurderer risiciene ved dem, vælger kontroller og fører bevis for, at de virker. Anneks A i 2022-udgaven rummer 93 kontroller i fire temaer: organisatoriske, personmæssige, fysiske og teknologiske. ISO/IEC 27002 forklarer hver kontrol, og hvordan den implementeres, og ISO/IEC 27005 beskriver den risikovurdering, standarden kræver, men ikke selv udfolder. Se ISO/IEC 27001, ISO/IEC 27002 og ISO/IEC 27005.
Omkring den kerne ligger de udvidelser, en bestemt kunde beder om. ISO/IEC 27017 tilføjer kontroller for cloud-tjenester, og ISO/IEC 27018 beskytter personoplysninger i en offentlig cloud. Begge er, hvad en cloud-leverandør bliver bedt om at fremvise. ISO/IEC 27701 udvider ledelsessystemet til privatliv og er en form, et GDPR-program kan drives i. ISO/IEC 27035 dækker hændelseshåndtering, og ISO 22301 forretningskontinuitet. Ingen af dem står alene. Hver læses oven på et 27001-system. Se ISO/IEC 27017 og ISO/IEC 27018.
Et rammeværk er ikke et certifikat. Det er en struktur til at organisere et program og et katalog at vurdere det op imod, og det er det, en auditor, et forsikringsselskab eller en amerikansk kunde måler dig med. NIST Cybersecurity Framework 2.0 fra 2024 har seks funktioner: Govern, Identify, Protect, Detect, Respond og Recover, og forbinder til katalogerne under sig. NIST SP 800-53 er det katalog over kontroller, amerikanske føderale systemer vurderes op imod, og det, de fleste andre kataloger krydshenviser til. NIST SP 800-171 er den delmængde, en leverandør til det amerikanske forsvarsministerium opfylder for at håndtere controlled unclassified information, og grundlaget for CMMC-certificeringsprogrammet. CIS Controls er atten prioriterede grupper af sikringsforanstaltninger i tre implementeringsgrupper efter organisationens størrelse, og det sædvanlige første skridt, når intet formelt findes endnu.
To rammeværker er branchespecifikke. IEC 62443 er sikkerhedsserien for industrielle automations- og styringssystemer: zoner og conduits for anlægget, en sikker udviklingslivscyklus for produktet (del 4-1) og tekniske krav til komponenter (del 4-2). TISAX er bilindustriens udveksling af vurderinger af informationssikkerhed op imod VDA ISA-kataloget, og det, en leverandør til en tysk bilproducent bliver bedt om. To andre er attestationer snarere end standarder. En SOC 2-rapport er en auditors vurdering af en serviceorganisations kontroller op imod AICPA Trust Services Criteria, det dokument en amerikansk kunde beder en SaaS-leverandør om. Certificeringsordningerne under EU's Cybersecurity Act er den europæiske pendant, som stadig er ved at blive rullet ud.
En standard binder dig, fordi en kontrakt siger det. En lov binder dig på grund af hvad du er. Fem EU-retsakter bærer nu sikkerhedsforpligtelser direkte, og hver har sit eget anvendelsesområde.
NIS2, direktiv (EU) 2022/2555, gælder for væsentlige og vigtige enheder i atten sektorer, fra energi og transport til digital infrastruktur, fremstilling af kritiske produkter og offentlig forvaltning. Det gennemføres i national ret, så de præcise pligter kommer fra dit eget lands lov, men formen er den samme overalt: ledelsesansvar, risikostyringsforanstaltninger på en fast liste, forsyningskædesikkerhed og tidlig varsling af en væsentlig hændelse inden for 24 timer. CER-direktivet, 2022/2557, er dets pendant om fysisk modstandsdygtighed for kritiske enheder.
DORA, forordning (EU) 2022/2554, gælder siden januar 2025 for finansielle enheder og for deres kritiske IKT-tredjepartsleverandører. Den kræver IKT-risikostyring, indberetning af hændelser, test af modstandsdygtighed, herunder trusselsbaseret penetrationstest for de største, og et register over hver eneste IKT-kontrakt. Den gælder direkte, uden national gennemførelse.
Cyber Resilience Act, forordning (EU) 2024/2847, rammer produkter frem for organisationer. Hardware og software med digitale elementer, der bringes i omsætning på EU-markedet, skal være sikre gennem design, håndtere sårbarheder i deres supportperiode og bære CE-mærket for det. Indberetning af aktivt udnyttede sårbarheder begynder i september 2026, og de fulde forpligtelser gælder fra december 2027. ETSI EN 303 645 er det grundlag, forordningens del om forbruger-IoT bygger på.
GDPR, forordning (EU) 2016/679, er den ældste af de fem og den, alle allerede opfylder: sikkerhed ved behandling, der passer til risikoen, og anmeldelse af brud til tilsynsmyndigheden inden for 72 timer. To nyere retsakter berører kanterne: eIDAS 2, forordning (EU) 2024/1183, om tillidstjenester og den europæiske digitale identitetstegnebog, og AI-forordningen, forordning (EU) 2024/1689, hvis højrisikosystemer skal have et risikostyringssystem og et kvalitetsstyringssystem for sig.
Et ISO/IEC 27001-certifikat opfylder ikke i sig selv NIS2 eller DORA. Lovene har deres eget anvendelsesområde, deres egne frister for indberetning og deres egne tilsyn. Men de foranstaltninger, de nævner (risikoanalyse, hændelseshåndtering, forretningskontinuitet, forsyningskædesikkerhed, adgangsstyring, kryptering) er de foranstaltninger, et 27001-system driver, og de nationale myndigheder og ENISA henviser til ISO/IEC 27001 og NIST-rammeværket i deres vejledning. Et certificeret ledelsessystem er den sædvanlige måde at vise et tilsyn, at foranstaltningerne findes og drives, og et risikoregister og en hændelseslog er det bevis, både en certificeringsauditor og en tilsynsmyndighed læser.
ISO/IEC-standarder købes hos ISO, hos IEC eller hos dit nationale standardiseringsorgan. Enhver NIST-publikation er gratis fra NIST's Computer Security Resource Center, og CIS Controls er gratis med registrering. EU-retsakterne er gratis på EUR-Lex, og hver forordning i værktøjet linker til den konsoliderede tekst der. De nationale gennemførelser af NIS2 og CER kommer fra din egen lovgiver. IEC 62443 købes hos IEC eller ISA, kriterierne for SOC 2 kommer fra AICPA, og TISAX fra ENX Association.
Ikke denne side, og ikke os. En kontrakt eller et spørgeskema navngiver standarden. En lov navngiver sit eget anvendelsesområde, og om du falder inden for det, er et spørgsmål om din sektor, din størrelse og hvad du sælger, som din juridiske rådgiver besvarer. Det, værktøjet kan, er at vise dig hele kortet: søg i det efter nummer eller navn, gennemse det efter familie, eller besvar fem spørgsmål om din situation og se, hvilke områder virksomheder som din typisk bliver spurgt om. Hvert opslag linker til sin kilde, til sin ComplyTrain-side, hvor en sådan findes, og ellers til en forespørgsel. ComplyTrain rummer en standard som et kravtræ med beviset for hvert krav. Certifikatet er stadig dit at optjene.
Standardudforsker
Søg i ISO/IEC 27000-familien, NIST- og CIS-rammeværkerne, IEC 62443, SOC 2 og TISAX samt EU-retsakterne på én gang, gennemse dem familie for familie, eller besvar fem spørgsmål om din situation.
Intet matcher det. Prøv et nummer, en kode, eller gennemse efter familie.
Hvilke standarder der gælder for dig, afgøres af dine kontrakter. Hvilke love der gælder, afhænger af din branche, din størrelse og det, du sælger, og det er et spørgsmål for din juridiske rådgiver. Betragt det her som et kort, ikke en dom.
Fem spørgsmål, vælg alt det, der passer. Intet bliver gemt.
De områder, virksomheder som din typisk bliver spurgt om, og de standarder og love, der gælder for hvert af dem. Tjek efter i dine kontrakter, og spørg din juridiske rådgiver.
Hvilke standarder der gælder for dig, afgøres af dine kontrakter. Hvilke love der gælder, afhænger af din branche, din størrelse og det, du sælger, og det er et spørgsmål for din juridiske rådgiver. Betragt det her som et kort, ikke en dom.
Hver side beskriver, hvad standarden kræver af dig, og hvordan et ComplyTrain-workspace er bygget op omkring den. Kataloget ovenfor rummer langt flere end disse, og du kan bede om et hvilket som helst punkt i det. At føje en standard til et workspace tager som regel dage - det er ikke et projekt.
ISO/IEC 27001
ISO 27001 er standarden for et ledelsessystem for informationssikkerhed (ISMS). ComplyTrain giver dig rammen til at opbygge, drive og dokumentere dit ISMS. Selve certificeringen er det op til dig at opnå.
ISO/IEC 27002
ISO 27002 er vejledningen til, hvordan man implementerer de informationssikkerhedskontroller, der står i ISO 27001 Annex A. I ComplyTrain ligger hver kontrol som et krav med den dokumentation, der viser, at den fungerer. Det er præcis den dokumentation, en auditor tager stikprøver af.
ISO/IEC 27005
ISO 27005 er vejledningen til at styre informationssikkerhedsrisici. Den beskriver den vurdering og håndtering, som ISO 27001 kræver, men ikke selv forklarer. I ComplyTrain kører du den som et levende register, ikke som et dokument, du opdaterer én gang om året.
ISO/IEC 27017
ISO 27017 udvider ISO 27002-kontrollerne til cloud-tjenester og tilføjer kontroller, der er specifikke for dem. ComplyTrain fører hver enkelt som et krav. Det gælder også de kontroller, der hører til din leverandør og ikke til dig.
ISO/IEC 27018
ISO 27018 udvider ISO 27001 til at omfatte beskyttelse af persondata i offentlige cloud-miljøer. ComplyTrain giver dig rammen til at styre og dokumentere disse kontroller.
En standard kommer sjældent som et projekt, nogen har planlagt. Den dukker op som et kontraktkrav eller et brev fra en myndighed, ofte i en virksomhed uden en kvalitetschef. Software løser halvdelen af opgaven. Skylens konsulenter løser den anden halvdel. De arbejder i ComplyTrain fra første dag, så du ender med et levende system, dit team selv ejer, i stedet for et ringbind og en konsulent, der er rejst videre.
En gennemgang klausul for klausul af, hvor du står i forhold til den standard, som din kontrakt eller din tilsynsmyndighed henviser til. Resultatet er en prioriteret plan, du kan handle på - med os eller på egen hånd.
Hvad en vurdering omfatterVores konsulenter bygger systemet sammen med dit team. Vi står for procedurer, dokumentstyring, de registreringer, du skal opbevare, og hvor ofte der skal følges op, og vi forbereder dig til audit eller inspektion.
Sådan foregår et forløbVi driver og vedligeholder systemet for dig. Dermed kan et lille team nå og fastholde en standard uden at ansætte en kvalitetschef.
Hvad full-service betyderNej, og det gør intet system i sig selv. NIS2 er skrevet ind i national lovgivning med sit eget anvendelsesområde, sin egen liste over foranstaltninger og sine egne frister for indberetning. En tilsynsmyndighed vurderer dig ud fra den lov, ikke ud fra et certifikat. Et 27001-system kører de foranstaltninger, loven nævner, og derfor er certifikatet og systemets dokumentation den sædvanlige måde at vise en tilsynsmyndighed, at de findes. Læs din nationale lov for at kende pligterne og fristerne.
ISO/IEC 27001 er en certificering: et akkrediteret organ auditerer dig og udsteder et certifikat. ISO/IEC 27017, 27018 og 27701 auditeres som udvidelser af den. SOC 2 er en attestationsrapport, en udtalelse som en auditor skriver, ikke et certifikat. TISAX er en vurdering med en mærkning, der deles gennem ENX-platformen. NIST-rammeværket, SP 800-53 og CIS Controls er rammeværker, du vurderer dig op imod, og CMMC er det certificeringsprogram, der bygger på SP 800-171. IEC 62443 har certificeringsordninger for produkter og processer, som tredjeparter driver. En lov er ingen af delene: den overholder du, og en tilsynsmyndighed håndhæver den.
ISO/IEC 27001 er kravstandarden, den du bliver certificeret efter. Den fastlægger, hvad et ledelsessystem skal kunne, og opremser kontrollerne i Annex A. ISO/IEC 27002 er vejledningen. Den tager hver enkelt kontrol og forklarer, hvad den betyder, og hvordan du implementerer den. Du kan ikke blive certificeret efter 27002. Se ISO/IEC 27001 og ISO/IEC 27002.
Spørg kunden, for det er kundens indkøb, der afgør det. En amerikansk virksomhedskunde beder typisk en SaaS-leverandør om en SOC 2 Type II-rapport. En europæisk kunde eller en offentlig kunde beder typisk om ISO/IEC 27001. De to overlapper i høj grad, og mange virksomheder har begge. De kører ét sæt kontroller og får det auditeret to gange. En leverandør til det amerikanske forsvarsministerium bliver bedt om NIST SP 800-171 og i stigende grad CMMC.
Hvis du markedsfører et produkt med digitale elementer på EU-markedet, uanset om det er hardware eller software, gælder forordningen. Den gælder dog ikke, hvis produktet er dækket af en sektorspecifik retsakt, der allerede regulerer dets sikkerhed, for eksempel medicinsk udstyr eller køretøjer. Open source-software, der stilles til rådighed uden for en kommerciel aktivitet, falder uden for. Hvad forordningen kræver, afhænger af produktklassen. Rapporteringspligten træder i kraft i september 2026, resten i december 2027. Om dit produkt er omfattet, er et juridisk spørgsmål, som din rådgiver må afgøre.
Nej. Et certifikat udstedes af et akkrediteret certificeringsorgan, en licens af din myndighed, og statslig kvalitetssikring varetages af indkøbsmyndigheden. ComplyTrain er det system, du bygger, driver og dokumenterer din compliance i, og Skylens konsulenter kan tage dig gennem arbejdet. Certifikatet er dit at opnå.
Ja, og det er det, knappen Request access ved hvert punkt bruges til. Fortæl os hvilken standard det drejer sig om, og hvor kravet kommer fra. Så vender vi tilbage om, hvad det indebærer at have den i dit workspace, som regel inden for én arbejdsdag. At tilføje en standard til et workspace tager typisk dage, ikke et helt projekt. ComplyTrain holder en standard som et kravtræ med din dokumentation for hvert enkelt krav, og det er selve træet, vi bygger.