Платформа
Модулі
За галузями
За сектором
За стандартом
Блог
Новини
Події
Стандарти · Кібербезпека
ISO/IEC 27001 і споріднені стандарти, фреймворки NIST і CIS, IEC 62443, SOC 2 і TISAX, а також закони ЄС, які діють щодо вас безпосередньо: NIS2, DORA, Cyber Resilience Act і GDPR. Усе пояснено простими словами, зібрано в один каталог, кожен запис має посилання на першоджерело.
Огляд
Вимога щодо безпеки надходить у вигляді стандарту, рамкового документа або закону. Якщо ви розумієте, з чим саме маєте справу, ви знаєте, хто це перевірятиме і які докази йому потрібні.
ISO/IEC 27001 - це та система управління, про яку запитує клієнт. Її перевіряє акредитований орган і видає сертифікат. Стандарти 27002, 27005, 27017, 27018 і 27701 читають уже поверх неї.
NIST CSF 2.0 і SP 800-53, SP 800-171 для оборонного ланцюга постачання США, CIS Controls, IEC 62443 для промислових систем. SOC 2 і TISAX - це звіти й позначки, побудовані на тій самій ідеї.
NIS2 і CER - за секторами, DORA - для фінансового ринку, Cyber Resilience Act - для продукції, GDPR - для персональних даних. Наглядовий орган вимагає їхнього виконання незалежно від того, чи згадані вони в договорі.
Заходи, перелічені в законах, - це ті самі контролі, що працюють у системі за ISO 27001. Побудуйте систему один раз, зберігайте докази і відповідайте аудитору, клієнту та регулятору з одного набору записів.
Шукайте за назвою, переглядайте за категоріями або дайте відповідь на п'ять запитань про вашу ситуацію. Кожен запис має посилання на джерело, і його можна запросити в ComplyTrain.
Вимога до безпеки надходить до компанії в трьох формах. Анкета чи договір замовника вимагає стандарту, зазвичай ISO/IEC 27001. Фреймворк на кшталт NIST задає програмі структуру та каталог контролів для оцінювання. А закон зобов'язує вас не тому, що так сказано в договорі, а через те, ким ви є і що продаєте: NIS2, DORA, Cyber Resilience Act, GDPR. Ця сторінка пояснює всі три форми, як вони поєднуються та звідки беруться документи. А навігатор нижче знаходить ті, що відповідають вашій ситуації.
ISO/IEC 27001 - це міжнародний стандарт системи управління інформаційною безпекою і перше, про що запитає замовник. Він сертифікується, він однаковий у кожній галузі, а його основний текст не містить жодних технічних заходів. Стандарт вимагає, щоб ви вели систему управління, яка знає, яку інформацію ви зберігаєте, оцінює ризики для неї, обирає контролі та зберігає докази того, що вони працюють. Додаток A редакції 2022 року містить 93 контролі в чотирьох темах: організаційні, кадрові, фізичні та технологічні. ISO/IEC 27002 пояснює кожен контроль і те, як його впровадити, а ISO/IEC 27005 описує оцінювання ризиків, якого стандарт вимагає, але детально не розписує. Див. ISO/IEC 27001, ISO/IEC 27002 та ISO/IEC 27005.
Навколо цього ядра розташовані розширення, яких вимагає конкретний замовник. ISO/IEC 27017 додає контролі для хмарних сервісів, а ISO/IEC 27018 захищає персональні дані в публічній хмарі. Обидва - це те, що просять показати від хмарного провайдера. ISO/IEC 27701 розширює систему управління на приватність. У цій формі можна вести програму відповідності GDPR. ISO/IEC 27035 охоплює управління інцидентами, а ISO 22301 - безперервність бізнесу. Жоден із них не стоїть окремо: кожен читається поверх системи 27001. Див. ISO/IEC 27017 та ISO/IEC 27018.
Фреймворк - це не сертифікат. Це структура для організації програми і каталог для її оцінювання. Саме за ним вас вимірює аудитор, страховик чи американський замовник. NIST Cybersecurity Framework 2.0 2024 року має шість функцій - Govern, Identify, Protect, Detect, Respond і Recover - і зіставляється з каталогами під ним. NIST SP 800-53 - це каталог контролів, за яким оцінюють федеральні системи США і на який посилається більшість інших каталогів. NIST SP 800-171 - це підмножина, якій відповідає постачальник Міністерства оборони США, щоб працювати з контрольованою некласифікованою інформацією, і основа програми сертифікації CMMC. CIS Controls - це вісімнадцять пріоритезованих груп заходів захисту, розподілених на три групи впровадження за розміром організації, і зазвичай перший крок, коли ще немає нічого формального.
Два фреймворки спеціалізовані за галузями. IEC 62443 - це серія стандартів безпеки для промислових систем автоматизації та управління: зони й канали для виробництва, життєвий цикл безпечної розробки для продукту (частина 4-1) та технічні вимоги до компонентів (частина 4-2). TISAX - це прийнятий в автомобільній галузі обмін оцінками інформаційної безпеки за каталогом VDA ISA, і те, що просять у постачальника німецького автовиробника. А ще два - це радше атестації, ніж стандарти. Звіт SOC 2 - це висновок аудитора щодо контролів сервісної організації за критеріями AICPA Trust Services Criteria, документ, який американський замовник просить у SaaS-провайдера. Схеми сертифікації за EU Cybersecurity Act - європейський відповідник, який ще впроваджується.
Стандарт зобов'язує вас, бо так сказано в договорі. Закон зобов'язує вас через те, ким ви є. П'ять актів ЄС нині несуть зобов'язання щодо безпеки безпосередньо, і кожен має власну сферу застосування.
NIS2, Директива (ЄС) 2022/2555, поширюється на основні та важливі суб'єкти у вісімнадцяти секторах - від енергетики й транспорту до цифрової інфраструктури, виробництва критичної продукції та державного управління. Вона транспонується в національне законодавство, тож точні обов'язки випливають з акта вашої країни, але форма скрізь однакова: відповідальність керівництва, заходи управління ризиками за фіксованим переліком, безпека ланцюга постачання та раннє попередження про значний інцидент протягом 24 годин. Директива CER, 2022/2557, є її відповідником щодо фізичної стійкості для критичних суб'єктів.
DORA, Регламент (ЄС) 2022/2554, застосовується з січня 2025 року до фінансових суб'єктів і до їхніх критичних сторонніх постачальників ІКТ. Він вимагає управління ІКТ-ризиками, звітування про інциденти, тестування стійкості, зокрема тестування на проникнення за сценаріями загроз для найбільших, та реєстр кожного ІКТ-договору. Він застосовується безпосередньо, без національної транспозиції.
Cyber Resilience Act, Регламент (ЄС) 2024/2847, стосується продуктів, а не організацій: апаратне та програмне забезпечення з цифровими елементами, що виводиться на ринок ЄС, має бути безпечним за задумом, обробляти вразливості протягом періоду підтримки та мати за це маркування CE. Звітування про вразливості, які активно експлуатуються, починається у вересні 2026 року, а повні зобов'язання застосовуються з грудня 2027 року. ETSI EN 303 645 - це базовий рівень, на який спирається його частина щодо споживчого IoT.
GDPR, Регламент (ЄС) 2016/679, - найстаріший із п'яти і той, якому вже всі відповідають: безпека обробки відповідно до ризику та повідомлення наглядового органу про порушення протягом 72 годин. Два новіші акти зачіпають суміжні питання: eIDAS 2, Регламент (ЄС) 2024/1183, щодо довірчих послуг та European Digital Identity Wallet, і AI Act, Регламент (ЄС) 2024/1689, чиї системи високого ризику потребують власної системи управління ризиками та системи управління якістю.
Сертифікат ISO/IEC 27001 сам собою не задовольняє NIS2 чи DORA. Закони мають власну сферу застосування, власні строки звітування та власних наглядачів. Але заходи, які вони перелічують - аналіз ризиків, обробка інцидентів, безперервність бізнесу, безпека ланцюга постачання, контроль доступу, шифрування - це заходи, які веде система 27001, а національні органи та ENISA у своїх настановах посилаються на ISO/IEC 27001 і фреймворк NIST. Сертифікована система управління - звичайний спосіб показати наглядачу, що заходи існують і виконуються, а реєстр ризиків та журнал інцидентів - це докази, які читають і аудитор із сертифікації, і регулятор.
Стандарти ISO/IEC купуються в ISO, в IEC або у вашого національного органу стандартизації. Кожна публікація NIST безкоштовна на Computer Security Resource Center NIST, а CIS Controls безкоштовні після реєстрації. Акти ЄС безкоштовні на EUR-Lex, і кожен запис про регламент у навігаторі веде на консолідований текст там. Національні транспозиції NIS2 та CER беруться у вашого законодавчого органу. IEC 62443 купується в IEC або ISA, критерії SOC 2 надає AICPA, а TISAX - ENX Association.
Не ця сторінка і не ми. Договір чи анкета називає стандарт. Закон визначає власну сферу застосування, а те, чи потрапляєте ви до неї, - це питання про ваш сектор, ваш розмір і те, що ви продаєте, на яке відповідає ваш юрист. Навігатор може показати вам усю карту: шукайте за номером чи назвою, переглядайте за родинами або дайте відповідь на п'ять запитань про вашу ситуацію та подивіться, про які сфери зазвичай запитують компанії, подібні до вашої. Кожен запис веде на своє джерело, на свою сторінку ComplyTrain, де така є, а інакше - на запит. ComplyTrain зберігає стандарт як дерево вимог із доказами навпроти кожної вимоги. Сертифікат лишається вашим - його ще треба заслужити.
Провідник стандартів
Шукайте одразу в сімействі стандартів ISO/IEC 27000, у фреймворках NIST і CIS, в IEC 62443, SOC 2, TISAX та актах ЄС. Переглядайте їх за сімействами. Або дайте відповідь на п'ять запитань про вашу ситуацію.
Нічого не знайдено. Спробуйте номер, код або перегляньте за групами.
Які стандарти вас стосуються, визначають ваші контракти. Які закони вас стосуються, залежить від сектору, розміру компанії та того, що ви продаєте. Відповідь на це дасть ваш юрист. Сприймайте цей матеріал як орієнтир, а не як остаточний висновок.
П'ять запитань, позначте все, що стосується вас. Нічого не зберігається.
Сфери, про які найчастіше запитують компанії на кшталт вашої, а також стандарти й закони для кожної з них. Звірте це з вашими договорами та з вашим юрисконсультом.
Які стандарти вас стосуються, визначають ваші контракти. Які закони вас стосуються, залежить від сектору, розміру компанії та того, що ви продаєте. Відповідь на це дасть ваш юрист. Сприймайте цей матеріал як орієнтир, а не як остаточний висновок.
На кожній сторінці описано, чого вимагає стандарт і як під нього налаштовується робочий простір ComplyTrain. У каталозі вище є значно більше стандартів, ніж наведено тут, і ви можете замовити будь-який із них. Додати стандарт до робочого простору - це зазвичай питання кількох днів, а не окремий проєкт.
ISO/IEC 27001
ISO 27001 - це стандарт для системи управління інформаційною безпекою (ISMS). ComplyTrain дає вам основу для побудови, ведення та документування вашої ISMS - сам сертифікат ви отримуєте власними зусиллями.
ISO/IEC 27002
ISO 27002 - це посібник із впровадження заходів інформаційної безпеки, наведених у Додатку A до ISO 27001. ComplyTrain веде кожен захід як вимогу разом із доказами того, що він працює, а саме їх і перевіряє аудитор на вибірковій основі.
ISO/IEC 27005
ISO 27005 - це настанови з управління ризиками інформаційної безпеки: оцінювання та обробка ризиків, яких вимагає ISO 27001, але не описує. ComplyTrain веде цей процес як живий реєстр, а не як щорічний документ.
ISO/IEC 27017
ISO 27017 розширює засоби контролю ISO 27002 на хмарні сервіси та додає засоби контролю, специфічні для них. ComplyTrain веде облік кожного з них як вимоги, зокрема тих, що належать до зони відповідальності вашого провайдера, а не вашої.
ISO/IEC 27018
ISO 27018 розширює ISO 27001 у частині захисту персональних даних у публічних хмарах. ComplyTrain надає вам структуру для управління цими контролями та їх документального підтвердження.
Стандарт зазвичай з'являється як умова контракту або лист від регулятора, а не як проєкт, що його хтось планував. Часто це трапляється в компанії, де немає менеджера з якості. Програмне забезпечення - це половина відповіді. Друга половина - консультанти Skylen. Вони від першого дня працюють на базі ComplyTrain, тож ви отримуєте живу систему, якою володіє ваша команда, а не папку з документами й консультанта, який пішов.
Ми читаємо стандарт, на який посилається ваш контракт чи регулятор, пункт за пунктом. Далі показуємо, як ви виконуєте кожен із них, і складаємо план дій із розставленими пріоритетами. За ним ви можете працювати разом із нами або самостійно.
Що охоплює оцінюванняНаші консультанти вибудовують систему разом із вашою командою - процедури, контроль документів, потрібні вам записи та періодичність перегляду - і готують вас до аудиту чи інспекції.
Як відбувається співпрацяМи беремо на себе роботу та обслуговування системи. Так навіть невеликій команді до снаги досягти й утримувати відповідність стандарту, не наймаючи окремого менеджера з якості.
Що означає повний супровідНі, і жоден інструмент не робить цього сам по собі. NIS2 переноситься в національне законодавство з власною сферою застосування, власним переліком заходів і власними строками звітування. Наглядовий орган перевіряє вас за цим законом, а не за сертифікатом. Система за 27001 справді виконує заходи, перелічені в законі, тож сертифікат і записи такої системи - звичайний спосіб показати наглядовому органу, що ці заходи існують. Обов'язки та строки шукайте у своєму національному законі.
ISO/IEC 27001 - це сертифікація: акредитований орган проводить аудит і видає сертифікат. ISO/IEC 27017, 27018 і 27701 перевіряють як його розширення. SOC 2 - це атестаційний звіт, тобто висновок аудитора, а не сертифікат. TISAX - це оцінювання з присвоєнням мітки, яку публікують через платформу ENX. Фреймворк NIST, SP 800-53 і CIS Controls - це набори вимог, за якими ви оцінюєте себе самі, а CMMC - це програма сертифікації на основі SP 800-171. Для IEC 62443 сторонні органи проводять сертифікацію продуктів і процесів. Закон не належить до жодної з цих категорій: його дотримуються, а наглядовий орган стежить за виконанням.
ISO/IEC 27001 - це стандарт вимог, той, за яким проходять сертифікацію. Він визначає, що має робити система управління, і містить перелік заходів у Додатку А. ISO/IEC 27002 - це настанови. Тут кожен із цих заходів розписано детальніше: що він означає і як його впровадити. За ISO/IEC 27002 сертифікуватися не можна. Див. ISO/IEC 27001 та ISO/IEC 27002.
Запитайте самого замовника, адже все вирішує його процедура закупівель. Корпоративний покупець зі США зазвичай вимагає від постачальника SaaS звіт SOC 2 Type II. Європейський покупець або замовник із державного сектору частіше просить ISO/IEC 27001. Ці два стандарти значною мірою перетинаються, тому багато компаній мають обидва: вони запроваджують один набір заходів контролю та проходять за ним два аудити. Від постачальника для Міністерства оборони США вимагають NIST SP 800-171, а дедалі частіше - і CMMC.
Якщо ви виводите на ринок ЄС продукт із цифровими елементами, апаратний чи програмний, ці вимоги діють. Виняток - продукти, безпеку яких уже регулює галузевий акт, наприклад медичні вироби чи транспортні засоби. Програмне забезпечення з відкритим кодом, яке пропонується поза межами комерційної діяльності, під дію акта не підпадає. Конкретні вимоги залежать від класу продукту. Обов'язки щодо звітності починають діяти у вересні 2026 року, решта - у грудні 2027 року. Чи підпадає ваш продукт під дію акта - це правове питання для вашого юриста.
Ні. Сертифікацію видає акредитований орган із сертифікації, ліцензію - ваш регулятор, а державний контроль якості здійснює закупівельний орган. ComplyTrain - це система, у якій ви вибудовуєте, ведете й документуєте свою відповідність, а консультанти Skylen проведуть вас через цю роботу. Сертифікат ви отримуєте самі.
Так, саме для цього на кожному запису є кнопка «Request access». Напишіть, який стандарт вас цікавить і звідки походить вимога, а ми повідомимо, що потрібно для його підключення до вашого робочого простору. Зазвичай відповідаємо протягом одного робочого дня. Додати стандарт до робочого простору - це, як правило, кілька днів, а не окремий проєкт. У ComplyTrain стандарт зберігається як дерево вимог, до кожної з яких прив'язані ваші докази. Саме це дерево ми й будуємо.