Kan ISO 9001-certificering bijdragen aan NIS2-compliance?

Een ISO 9001-certificering kan bijdragen aan NIS2-compliance, maar dekt de vereisten bij lange na niet volledig af. ISO 9001 legt een solide basis voor procesbeheersing en kwaliteitsmanagement, maar de NIS2-richtlijn stelt specifieke eisen op het gebied van informatiebeveiliging en cybersecurity die buiten het bereik van ISO 9001 vallen. Voor MKB-bedrijven die al ISO 9001-gecertificeerd zijn, is het goed nieuws dat ze niet bij nul beginnen. Hieronder beantwoorden we de meest gestelde vragen over de relatie tussen ISO 9001 en NIS2-compliance.

Welke NIS2-eisen overlappen met ISO 9001?

ISO 9001 en de NIS2-richtlijn delen een aantal fundamentele principes op het gebied van risicomanagement, procesbeheersing en continue verbetering. Organisaties met een ISO 9001-certificering hebben al een gedocumenteerd managementsysteem, interne auditprocessen en een gestructureerde aanpak voor het identificeren en beheersen van risico’s. Dit zijn elementen die ook binnen NIS2 een rol spelen.

Concreet zijn de overlappende gebieden:

• Risicobeoordeling: ISO 9001 verplicht organisaties om risico’s en kansen te identificeren. NIS2 vereist eveneens een formele risicobeoordeling, specifiek gericht op cyberdreigingen en de continuïteit van netwerk- en informatiesystemen.
• Interne audits en managementbeoordeling: De auditcyclus binnen ISO 9001 sluit aan bij de periodieke herbeoordelingen die NIS2 verwacht van organisaties om hun beveiligingsmaatregelen actueel te houden.
• Gedocumenteerde procedures: ISO 9001 dwingt af dat processen schriftelijk zijn vastgelegd en controleerbaar zijn. Dit is ook een basisvereiste voor NIS2-compliance, onder meer voor incidentresponsprocedures en meldprotocollen.
• Leveranciersmanagement: ISO 9001 besteedt aandacht aan het beheersen van externe partijen en toeleveranciers. NIS2 gaat verder met ketenverantwoordelijkheid, maar de structuur die ISO 9001 biedt, vormt een bruikbaar vertrekpunt.

Kortom: wie ISO 9001-gecertificeerd is, heeft al een werkende kwaliteitsinfrastructuur. Die infrastructuur is waardevol, maar onvoldoende voor volledige NIS2-compliance.

Wat dekt ISO 9001 niet af voor NIS2?

ISO 9001 dekt de cybersecurity-specifieke vereisten van NIS2 niet af. De norm richt zich op kwaliteitsmanagement in brede zin en bevat geen concrete eisen voor informatiebeveiliging, technische beveiligingsmaatregelen of de bescherming van netwerk- en informatiesystemen. Dit is het grootste verschil tussen de twee kaders.

Wat ontbreekt als je alleen ISO 9001 hebt:

• Technische beveiligingsmaatregelen: NIS2 vereist aantoonbare maatregelen zoals encryptie, toegangsbeheer, netwerksegmentatie en endpoint protection. ISO 9001 stelt hier geen eisen aan.
• Incidentmelding binnen 24 uur: De Cyberbeveiligingswet verplicht organisaties om significante incidenten binnen 24 uur te melden bij de bevoegde autoriteit. ISO 9001 kent geen vergelijkbare meldplicht.
• Bestuurlijke aansprakelijkheid: NIS2 legt de verantwoordelijkheid voor cybersecurity expliciet bij het management. Dit is een juridische verplichting die geen equivalent kent in ISO 9001.
• Specifieke beveiligingscontroles: Zaken als multifactorauthenticatie, back-upbeleid en monitoring van systemen zijn verplicht onder NIS2, maar vallen buiten de scope van ISO 9001.
• Registratie bij toezichthouders: Afhankelijk van de sector moeten organisaties zich registreren bij de relevante toezichthouder. ISO 9001 voorziet hier niet in.

Een ISO 9001-certificering bewijst dat jouw organisatie gestructureerd en procesmatig werkt. Het bewijst niet dat jouw digitale infrastructuur veilig is of voldoet aan de cyberbeveiligingseisen van de NIS2-richtlijn.

Is ISO 27001 een betere basis voor NIS2 dan ISO 9001?

Ja, ISO 27001 sluit aanzienlijk beter aan op de NIS2-vereisten dan ISO 9001. Waar ISO 9001 een generieke kwaliteitsnorm is, richt ISO 27001 zich specifiek op informatiebeveiliging. De twee normen overlappen sterk met wat de NIS2-richtlijn van organisaties vraagt op het gebied van risicomanagement, beveiligingscontroles en aantoonbare compliance.

ISO 27001 dekt onder meer:

• Een formeel informatiebeveiligingsmanagementsysteem (ISMS)
• Risicobeoordeling en behandeling specifiek voor informatiebeveiligingsrisico’s
• Technische en organisatorische beveiligingsmaatregelen (de Annex A-controls)
• Incidentmanagement en procedures voor het reageren op beveiligingsincidenten
• Bewustwording en training van medewerkers op het gebied van informatiebeveiliging

Organisaties die al ISO 27001-gecertificeerd zijn, hebben een sterke voorsprong op NIS2-compliance. Ze hoeven de basis niet opnieuw te bouwen, maar moeten wel controleren of hun implementatie aansluit op de specifieke sectorvereisten en de meldplichtprocedures die NIS2 oplegt. TCA is zelf ISO 27001-gecertificeerd en gebruikt dit raamwerk als basis voor de NIS2-aanpak bij klanten.

Hoe gebruik je een ISO 9001-certificering als startpunt voor NIS2?

Een bestaande ISO 9001-certificering is een nuttig startpunt voor NIS2-compliance omdat het bewijst dat jouw organisatie al werkt met gedocumenteerde processen, risicobeheer en interne audits. De sleutel is om dit fundament uit te breiden met de specifieke cybersecurity-eisen die NIS2 stelt, in plaats van opnieuw te beginnen.

Praktische stappen om ISO 9001 als springplank te gebruiken:

1. Voer een nulmeting uit: Breng in kaart waar jouw huidige ISO 9001-systeem overlapt met NIS2-vereisten en waar de gaten zitten. Dit geeft direct inzicht in de prioriteiten.
2. Breid je risicobeoordeling uit: Voeg cybersecurity-risico’s toe aan de bestaande risicoanalyse. Denk aan dreigingen als ransomware, datalekken en verstoringen van bedrijfskritische systemen.
3. Ontwikkel een informatiebeveiligingsbeleid: ISO 9001 heeft een kwaliteitsbeleid; NIS2 vereist een specifiek beleid voor informatiebeveiliging. Bouw dit als aanvulling op wat je al hebt.
4. Implementeer technische beveiligingsmaatregelen: Voeg de ontbrekende technische laag toe: toegangsbeheer, monitoring, back-ups en encryptie.
5. Stel meldprocedures op: Zorg dat je weet hoe en wanneer je een incident moet melden, en wie daarvoor verantwoordelijk is binnen jouw organisatie.

Een goede IT-partner helpt je om dit gestructureerd aan te pakken. Maak een afspraak met TCA voor een gratis nulmeting, zodat je precies weet waar je staat en wat de volgende stap is.

Wat zijn de gevolgen als je niets doet ondanks een ISO 9001-certificering?

Een ISO 9001-certificering biedt geen bescherming tegen de gevolgen van NIS2-non-compliance. Toezichthouders beoordelen of een organisatie voldoet aan de Cyberbeveiligingswet, niet of zij een kwaliteitscertificaat heeft. Wie niets doet, loopt reële risico’s op boetes, aansprakelijkheid en verlies van opdrachten.

De concrete gevolgen van non-compliance onder de Cyberbeveiligingswet:

• Financiële boetes: Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten gelden lagere maxima, maar ook daar zijn de bedragen substantieel.
• Persoonlijke aansprakelijkheid van bestuurders: NIS2 legt de verantwoordelijkheid voor cybersecurity expliciet bij het management. Directeuren en eigenaren kunnen persoonlijk aansprakelijk worden gesteld als aantoonbaar nalatig is gehandeld.
• Verlies van contracten: Opdrachtgevers in de keten, met name grotere organisaties en overheden, gaan compliance steeds vaker eisen als voorwaarde voor samenwerking. Wie niet kan aantonen dat hij voldoet, verliest opdrachten.
• Reputatieschade bij een incident: Als een cyberincident optreedt en blijkt dat je geen adequate maatregelen had genomen, is de reputatieschade aanzienlijk, zeker in sectoren als zorg en transport.

De Cyberbeveiligingswet wordt naar verwachting medio 2026 van kracht in Nederland. Dat lijkt ver weg, maar de implementatie van de vereiste maatregelen kost tijd. Organisaties die nu beginnen, hebben een voorsprong. Wie wacht, loopt het risico dat zij bij de invoering van de wet nog niets concreets hebben gedaan.

ISO 9001 is een bewijs van kwaliteit en professionaliteit. Maar voor NIS2-compliance heb je meer nodig. TCA begeleidt MKB-organisaties van nulmeting tot doorlopende compliance, met een aanpak die aansluit op wat er al staat en die de ontbrekende stappen invult. Neem contact op voor een gratis securitycheck en ontdek binnen 48 uur waar jouw organisatie staat.

Gerelateerde artikelen

• Hoe begin je met ISO 27001 zonder interne compliance-kennis?
• Waarom is phishing de grootste cyberdreiging voor mkb?
• Hoe werkt ransomware en wat doe je als mkb als je getroffen wordt?
• Valt de maakindustrie onder de NIS2-richtlijn in Nederland?
• Wat is het verschil tussen essentiële en belangrijke entiteiten onder NIS2?