ENISA互操作框架：在ISO 31000、NIST、DORA之间搭一座桥

ENISA互操作框架

在ISO31000、NIST、DORA之间搭一座桥本文档提供：表1映射底稿首行填写规则；表2ENISA功能组件与三框架的阶段对应表；表3映射判定表（ISO31000↔NISTCSF2.0↔DORA）；表4证据复用判定表（以ISO27001为中央枢纽）；式(1)证据复用率；表5DORA合同与第三方证据清单；式(2)映射方言差距指数；表6排查顺序卡；案例“某金融实体用一份底稿同时应对DORA首次报送与ISO27001监督审核”；表7三套场景操作序列；表8数据来源与时效说明表。内部编号：EN-INT-2026-01。2026-11-02这一节的标题读完你能拿到什么这一节在全文中的功能一、先给风险登记册加一列，再谈搭桥表1：映射底稿首行填写规则；一条十五秒可执行的填写顺序把接手后的第一个动作固定为动风险登记册的列，产出可计算的底稿二、ENISA框架不是第四个标准，是一张“对齐表”的制造方法表2：ENISA功能组件与三框架的阶段对应表把“搭桥”从比喻变成可操作的映射对象三、接手后最先打开的是现有风险登记册，不是框架原文表3：映射判定表；逐行判定规则给出接手第一个工作日可以填完的映射底稿四、DORA要的证据和ISO27001要的证据，百分之多少是同一份表4：证据复用判定表；式(1)证据复用率把“证据复用”从原则推到逐条判定和计算五、合同和第三方证据是复用率最低的一段表5：DORA合同与第三方证据清单单独处理DORA中ISO27001覆盖最薄的部分六、映射做完了，怎么知道哪些“对不上”是必须翻译的式(2)映射方言差距指数；表6：排查顺序卡区分可以接受的映射损耗和必须新建的证据七、某金融实体用一份底稿同时应对DORA首次报送与ISO27001监督审核完整案例：起点、分步操作、四次试错、终点展示映射、复用率计算和方言差距排查在真实约束下的判断转折八、三套场景操作序列表7：完整版、精简版、极简版的操作序列与不能妥协的底线按监管压力和时间约束选择执行深度九、差异化与来源表8：数据来源与时效说明表标明哪些判断来自公开框架、哪些是经验建议、哪些需要复核按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。接手的人把ISO27001风险登记册、NISTCSF2.0自评概况和DORA首次报送模板并排放在桌面上，三份文件描述同一批风险，却没有任何一行能直接搬进另一份文件。一、先给风险登记册加一列，再谈搭桥动手之前先确认一件事：映射的起点是现有的风险登记册，不是任何一份框架原文。登记册的每一行已经携带了资产、威胁、脆弱性和现有控制，三套框架要的是同一批信息的不同切法。第一动作是在登记册最后一列后新增五列，逐行填写，填完的行才能进入后续的映射和复用计算。表1映射底稿首行填写规则列名填什么从哪拿填不出时怎么办风险编号ISO27001风险登记册的原始编号，不改写、不重排风险登记册第一列编号为空的行先补编号，该行不进入映射NISTCSF子类该行风险对应的CSF2.0子类编号，如ID.RA-01NIST官方参考映射文件或表3找不到对应子类的填“无对应”，进入表3缺口列DORA条款该行风险对应的DORA条款号，如Article6(1)DORA法规原文或表3找不到对应条款的填“无对应”，进入表5证据位置证明该行风险已被管理的文件名称和页码或段落号现有ISMS文件包找不到证据的填“缺口”，进入表6第1步框架标签状态前三列中是否有“无对应”或“缺口”前三列的填写结果有任一缺口填“待处理”；三项齐备填“可复用”表后解释：这张表是映射底稿的前五列，一行对应登记册的一行。填完后按最后一列分两堆：“可复用”的行进入第四节证据复用判定，“待处理”的行按缺口类型进入第三节映射判定表。底稿交给GRC岗或映射底稿维护人，当日回填；不回填的行不进入式(1)的分母。五列填完之前，不打开任何框架原文。二、ENISA框架不是第四个标准，是一张“对齐表”的制造方法ENISA在2022年12月更新的《InteroperableEURiskManagementFramework》中给出的核心产出，是一套评估风险管理框架之间潜在互操作性的方法。报告把风险管理框架的功能组件拆为风险识别（资产、威胁、脆弱性）、风险评估（风险计算与评价）、风险处置（控制选择与实施、剩余风险计算）、风险监控和风险沟通与报告，并明确互操作性的含义是：一个框架的组件或方法，能够以同等的便利、通过相同的接口、朝向相同的目标，复用另一个框架组件或方法提供的信息。ISO27001被多个跨框架映射工作定位为中央枢纽，DORA到ISO27001的控制映射覆盖率在公开工作底稿中约为90%，NISTCSF2.0到ISO27001约为85%。ENISA框架的作用是提供判定规则，让“哪一行的信息可以搬过去、搬过去之后还缺什么”变成逐行记录的动作。表2ENISA功能组件与三框架的阶段对应表ENISA功能组件ISO31000的对应过程NISTCSF2.0的对应位置DORA的对应要求映射时最先看的文件风险识别（资产、威胁、脆弱性）范围、环境与准则确立后的“风险识别”IDENTIFY中的ID.AM、ID.RAArticle6(1)识别关键ICT资产及依赖关系ISO27001资产清单和风险登记册“风险描述”列风险评估（风险计算与评价）风险分析、风险评价IDENTIFY中的ID.RA-01至ID.RA-05；GOVERN中的风险容忍度Article6(2)至6(4)风险评价与重要性判定风险评估方法文件和风险接受准则风险处置（控制选择、剩余风险）风险处置、剩余风险计算PROTECT中的PR.AA、PR.DS、PR.PSArticle6(5)至6(8)风险缓解与控制措施适用性声明和风险处理计划风险监控监控与评审各功能中的持续监控子类；GOVERN中的GV.OVArticle6(9)、Article8持续监控与报告管理评审记录和关键风险指标台账风险沟通与报告沟通与咨询GOVERN中的GV.OV-03、GV.POArticle19重大ICT相关事件报告；Article6(10)治理层报告升级条款和治理层报告模板表后解释：这张表回答“三套框架在哪个阶段说的是同一件事”。逐行看，五个组件中前四个在四份文件里都有对应位置，第五个组件在ISO31000里是“沟通与咨询”，在NISTCSF2.0里分散在GOVERN的监督和政策子类中，在DORA里落在事件报告和治理层报告条款上。映射时先按行对齐组件，再进入第三节的逐条判定；组件对不上时，说明该行风险在三套框架中的处理阶段不同，按“无对应”处理，不强行拼接。三、接手后最先打开的是现有风险登记册，不是框架原文映射判定表的用途是把第一节底稿中“待处理”的行逐行归因：缺口是框架之间本来就没有对应关系，还是本组织没有留下证据。这两种缺口的处理动作不同。表3映射判定表（ISO31000↔NISTCSF2.0↔DORA）判定场景观察什么什么算“可映射”什么算“映射损耗”什么算“真缺口”风险识别行登记册的“风险描述”列能否拆出资产、威胁、脆弱性三要素三要素能拆出，且CSFID.RA子类和DORAArticle6(1)都能找到对应位置三要素齐备，但DORA只覆盖ICT资产，非ICT资产无对应条款三要素拆不出，或登记册没有资产清单作为输入风险评估行风险登记册的“可能性”“影响”两列是否有判定尺度两列有等级或数值，且能对应CSFID.RA-04、DORAArticle6(2)有等级但等级定义与DORA的重要性判定口径不同两列为空，或等级定义只存在于个人经验中风险处置行适用性声明中每一行控制是否对应登记册的风险行控制与风险有逐行引用关系，CSFPR子类和DORAArticle6(5)可对应控制存在但未与具体风险行建立引用控制清单与风险登记册是两套独立文件，无引用关系风险监控行关键风险指标台账是否按月或按季度有数值指标有数值、有阈值、有越线记录有数值但阈值未与风险容忍度挂钩台账不存在，或只有年度一次性评估记录沟通与报告行升级条款中是否有事件报告时限和接收人时限和接收人可查，对应DORAArticle19有升级路径但时限写“及时”，无可观察标准无升级条款，事件报告只走口头渠道表后解释：逐行判定后，每一行落到三格之一。“可映射”的行直接进入第四节复用计算；“映射损耗”的行记录损耗类型，在报送材料中注明口径差异，不新建证据；“真缺口”的行进入表6排查顺序卡。判定规则是：有证据但口径不同算损耗，无证据算缺口。两类不混填。四、DORA要的证据和ISO27001要的证据，百分之多少是同一份证据复用判定表逐条比对DORA条款与ISO27001的控制和文件，判定每一行是“直接复用”“补写后复用”还是“新建”。式(1)把判定结果转成一个比例，用于向治理层说明DORA报送中有多少工作量是既有ISMS已经覆盖的。表4证据复用判定表（以ISO27001为中央枢纽）DORA要求ISO27001对应条款或控制可复用的典型证据复用判定补写或新建动作Article6(1)ICT资产与依赖识别Clause6.1.2；A.5.9资产清单资产清单、风险登记册风险描述列直接复用在资产清单中增加“ICT依赖关系”列Article6(2)—6(4)风险评价与重要性判定Clause6.1.2、6.1.3风险评估方法、风险接受准则补写后复用把定性等级翻译为DORA重要性判定的口径，补一份口径对照说明Article6(5)—6(8)控制措施与剩余风险AnnexA控制集；适用性声明适用性声明、风险处理计划直接复用在适用性声明中标注每项控制对应的DORA条款Article6(9)持续监控Clause9.1关键风险指标台账、内部审核报告补写后复用增加监控频率和阈值与容忍度的引用关系Article8治理与报告Clause5.1、5.3、9.3角色职责文件、管理评审记录补写后复用在管理评审记录中增加“ICT风险”单列议题和处置决定列Article19重大事件报告A.5.24—A.5.28事件管理事件管理流程、事件记录表新建DORA的报送时限、模板和接收方在ISO27001中无对应，需单独建立报送流程Article28—30第三方与合同安排A.5.19—A.5.23供应商清单、供应商评估记录补写后复用合同条款按表5逐项补入，供应商登记册增加“关键或重要功能”标记表后解释：七行中直接复用的两行、补写后复用的四行、新建的一行。新建行集中在事件报送和合同条款，这两块是ISO27001覆盖最薄的位置。判定完成后，按式(1)计算复用率。R其中R为证据复用率；N直接为判定为“直接复用”的行数；N补写为判定为“补写后复用”的行数；N变量定义和替换说明：行数的计数单位是表4的一行，即一个DORA要求与ISO27001对应关系的判定结果。同一DORA条款对应多个ISO27001控制时，按最接近的控制行计数一次，不重复计。两个该公式特有的常见错误：第一，把“补写后复用”按1计入分子，复用率虚高，新建工作量在报送前才暴露；第二，只对已有ISO27001认证的组织计算，未认证组织套用同一公式时分子分母不变，但N直接校验方法：取表4七行判定结果代入式(1)，得到R；再取本次DORA报送模板中需要填写的字段总数，减去能从现有ISMS文件直接摘录的字段数，得到实际需新建的字段比例。如果R高于实际可直接摘录比例10个百分点以上，回到表4把至少一行“直接复用”改判为“补写后复用”，重新计算。公式之外的判定规则：R低于0.4时，DORA报送按新建项目排期，不承诺用既有ISMS覆盖多数条款；R在0.4—0.7之间时，补写行优先处理，新建行按表5和事件报送流程分两条线推进；R高于0.7时，报送材料可以ISMS文件为主体，附口径对照说明。五、合同和第三方证据是复用率最低的一段DORA对ICT第三方风险的要求落在合同条款、供应商登记册和退出安排上。ISO27001的A.5.19至A.5.23覆盖供应商关系和信息安全，但合同条款的可执行性、分包安排的登记、退出策略的书面化，在多数ISMS文件包中没有对应记录。这一节单独列出需要逐份合同核对的项目。表5DORA合同与第三方证据清单证据项DORA依据现有文件里通常有什么缺什么补入位置供应商登记册中的功能标记Article28(3)供应商名称、服务内容、合同到期日该供应商是否支持“关键或重要功能”的标记供应商登记册新增一列，按表2风险评估行的重要性判定结果填写合同中的服务级别描述Article30(2)(a)服务范围、响应时间与服务级别对应的安全指标和度量方法合同附件或补充协议数据地点与数据保护条款Article30(2)(b)数据保护条款（部分合同有）数据存储和处理的具体地点，以及变更通知义务合同的数据处理附件分包安排的通知与批准Article30(2)(c)多数合同未写分包商名单、分包变更的事先通知时限、批准权合同修订条款审计权与访问权Article30(2)(d)部分合同有审计权审计频率、审计范围、远程访问记录的权利合同修订条款退出策略与过渡安排Article30(3)多数合同只有终止条款退出时的数据迁移、服务过渡、记录保存的具体安排单独编制退出策略文件，按关键供应商逐份附在合同后表后解释：六项中前两项多数组织已有部分记录，后四项需要逐份合同补。核对顺序是按供应商登记册中支持关键或重要功能的供应商排序，先查前20%的合同，不按合同金额排序。补入位置一栏写的是文件位置，不是“完善合同”这类动作。六项全部核对完的供应商，在登记册中标记“DORA合同核对完成”，该标记进入表6第5步的检查对象。六、映射做完了，怎么知道哪些“对不上”是必须翻译的映射损耗和真缺口在表3中已经分开，但“损耗”中有一部分是口径差异可以写说明解决，另一部分是框架语言本身无法翻译、必须新建证据。式(2)给出一个用于排序的指数，把每一行的损耗程度和该行风险的重要性合在一起，用于决定先翻译哪一行。D其中Di为第i行的映射方言差距指数；si为该行风险在登记册中的重要性评分（按组织现有评分尺度，1至5）；mi为该行在三套框架中能找到对应位置的框架数量（0至3）；变量定义和替换说明：mi只统计有明确条款或子类编号对应的框架，名称相似但判定口径不同的不计入。si两个该公式特有的常见错误：第一，把“名称相似”当作对应，虚增mi，导致高重要性风险的差距被低估；第二，对所有行使用同一si，指数退化为按m校验方法：取表3中判定为“映射损耗”和“真缺口”的行，逐行填si和mi，代入式(2)。再取表6排查顺序卡第1步的结果，比较指数最高的五行是否出现在排查卡的前三步中。如果指数最高的行不在排查卡前列，说明mi的填写过宽或公式之外的判定规则：Di表6排查顺序卡顺序第一检查点什么算失败换哪条路1打开映射底稿，数“框架标签状态”为“待处理”的行数，按表3归因归因为“真缺口”的行数超过总行数的30%暂停映射，先补风险登记册的资产、可能性和影响三列，补完重跑表12取式(1)的R，与DORA报送模板实际可直接摘录字段比例比对R高出实际比例10个百分点以上回到表4把“直接复用”中依赖口径解释的行改判为“补写后复用”，重算R3取式(2)的Di前20%中有行既未写口径说明也未进入表6为该行补写口径对照说明，或将其移入真缺口清单4打开供应商登记册，数支持关键或重要功能的供应商中“DORA合同核对完成”标记数完成标记数低于关键供应商数量的50%按表5六项逐份核对前20%的关键供应商合同，核对完一份标记一份5取事件管理流程，查是否有独立的重大事件报送步骤和时限报送步骤嵌在常规事件流程中，无独立时限单独编制报送流程，写明触发条件、时限和接收方，与ISO27001事件流程分开6取管理评审记录，查是否有“ICT风险”单列议题和处置决定列议题存在但处置决定栏为空在下一次评审前按表4Article8行补入处置决定列，逐项填写责任人和截止日期表后解释：排查顺序不能跳。第1步失败时，式(1)和式(2)的计算建立在不可靠的底稿上，先补登记册再算。第4步和第5步可以在第1至3步完成后并行，两项分别对应复用率最低的合同和报送段。七、某金融实体用一份底稿同时应对DORA首次报送与ISO27001监督审核示例案例，细节为合理设定。人物称“某合规与信息安全协调人”。起点。该实体已通过ISO27001认证，风险登记册有42行，供应商登记册有87家供应商，DORA首次报送截止日在三个月后。协调人手里有ISMS文件包和DORA报送模板，模板中“合同安排”部分有60个字段待填。分步操作。第一步，按表1在风险登记册后新增五列，逐行填写42行，其中28行标“可复用”，14行标“待处理”。第二步，按表3对14行归因，6行为映射损耗，8行为真缺口。第三步，按表4七行判定DORA证据，直接复用2行、补写后复用4行、新建1行，式(1)得R=不顺利环节。第一次试错。信号是R算出来0.57，但报送模板60个字段中能直接摘录的只有11个。假设是模板字段与ISO27001控制项不是一一对应，需要逐字段映射。他花了一周把60个字段逐条对到ISO27001控制项，结果仍有31个字段找不到直接来源。试完后发现的新信息是：字段找不到来源的集中在“合同安排”和“事件报送”两段，与表4第6、7行的判定一致，问题不在映射粒度，在证据本身不存在。第二次试错。假设是先把31个字段按新建处理，排期到报送前完成。他在项目计划中为31个字段各列了完成日期，但第3周发现供应商合同的修订需要法务和采购两个部门会签，单份合同平均耗时4周，17家关键供应商无法在截止日前全部改完。这一轮的新信息是：新建工作量不是字段数量问题，是外部依赖的周期问题，排期不能按字段数平铺。第三次试错。他改为按式(2)对8行真缺口排序，Di第四次试错。报送材料准备到一半时，ISO27001监督审核排期提前，审核方要求提供“供应商安全条款有效性”的证据。他发现按DORA口径整理的合同核对记录正好可以作为审核证据，但记录中的“DORA合同核对完成”标记对审核方没有意义，需要补一列“对应ISO27001A.5.20的条款位置”。补完这一列后，同一份记录同时满足两边要求。这一轮的新信息是：复用的方向不只是ISO27001到DORA，DORA核对过程中产生的记录可以反向补入ISMS。终点。报送材料中60个字段有11个直接摘录、26个补写口径说明、23个按新建交付，其中17个在截止日前完成，6个附修订计划。ISO27001监督审核中“供应商安全条款”一项以同一份核对记录通过。映射底稿保留五列结构和式(1)、式(2)的计算列，下一轮报送直接更新数值。表后说明：案例中变量表如下。变量案例中情形如果变量不同处置变化风险登记册行数42行若行数超过200行先按风险评分筛出前50%的行做映射，其余行按模板批量标注已有ISO27001认证是若无认证表4多数行判为新建，R起点接近0，报送按新建项目排期关键供应商合同修订周期平均4周，需两部门会签若合同为集团统一模板不可修改表5后四项标为外部依赖，报送材料附集团模板说明，不承诺逐份修订监督审核与报送的时间重叠重叠若不重叠表5核对记录仍需保留“对应ISO27001条款”列，供下一次审核使用表后一句话：该案例中权重较高的变量是已有ISO27001认证和合同修订周期，前者决定复用率起点，后者决定新建部分的交付节奏。八、三套场景操作序列表7三套场景操作序列版本选择判定操作序列不能妥协的底线完整版对外报送或监管检查，需同时回应两套以上框架按表1填完底稿五列；按表3归因；按表4七行判定并计算式(1)；按式(2)排序真缺口；按表6六步排查；补完后重跑式(1)表1五列不得有空行；式(1)的分子分母逐行有判定依据；表4第7行合同安排不得整行标“直接复用”精简版内部推进，时间受限，只有DORA报送一个硬截止只填表1的前三列（风险编号、NIST子类、DORA条款）；只跑表4中直接复用和补写后复用的行；不计算式(2)，按表5前两项核对关键供应商表1前三列填完的行才进入报送；表4第6行事件报送按新建单独排期，不并入复用计算极简版个人学习或非合规岗位，需要判断桥能不能搭只做一件事：取风险登记册任一行，查该行能否同时填出NISTCSF子类编号和DORA条款号；两项都能填出的行，标记为“可映射”，填不出的行记录缺哪一项至少完成10行的试填；试