ISO 27001 is een internationale norm voor informatiebeveiliging die organisaties helpt om risico’s systematisch te beheren en aantoonbaar te beveiligen. Voor NIS2-compliance is ISO 27001 geen verplichting, maar het raamwerk dekt een groot deel van de NIS2-eisen al af. Bedrijven die ISO 27001 implementeren of gecertificeerd zijn, staan daarmee aanzienlijk sterker in hun voorbereiding op de Cyberbeveiligingswet. In dit artikel beantwoorden we de meest gestelde vragen over de relatie tussen ISO 27001 en NIS2.
Welke NIS2-eisen dekt ISO 27001 al af?
ISO 27001 dekt een substantieel deel van de NIS2-eisen af, met name op het gebied van risicobeheer, beveiligingsbeleid, toegangscontrole en incidentbeheer. Wie al werkt volgens ISO 27001 heeft de organisatorische basis voor NIS2-compliance grotendeels staan. De overlap is groot genoeg om ISO 27001 te zien als een solide vertrekpunt voor NIS2.
Concreet sluit ISO 27001 aan op de volgende NIS2-vereisten:
- Risicobeoordeling: ISO 27001 vereist een formele risicoanalyse van informatiebeveiliging. NIS2 verplicht organisaties eveneens tot aantoonbaar risicobeheer.
- Beveiligingsbeleid: Beide kaders eisen gedocumenteerd beleid voor informatiebeveiliging, inclusief verantwoordelijkheden op managementniveau.
- Toegangscontrole en autorisatiebeheer: ISO 27001 bevat uitgebreide controls voor wie toegang heeft tot welke systemen. Dit sluit direct aan op NIS2-eisen rond toegangsbeveiliging.
- Incidentbeheer: ISO 27001 vereist procedures voor het detecteren en afhandelen van beveiligingsincidenten. NIS2 bouwt hierop voort met specifieke meldtermijnen.
- Continuïteitsplanning: Business continuity en herstelplannen zijn onderdeel van ISO 27001 en ook vereist onder NIS2.
- Leveranciersbeheer: ISO 27001 bevat controls voor ketenbeveiliging, wat aansluit op de ketenverantwoordelijkheid die NIS2 oplegt.
TCA werkt zelf al ISO 27001-gecertificeerd sinds 2017 en baseert de NIS2-aanpak voor klanten op dit raamwerk. Dat is geen toeval: het raamwerk biedt een bewezen structuur die direct vertaalbaar is naar de vereisten van de Cyberbeveiligingswet.
Wat dekt ISO 27001 níet af voor NIS2?
| Afspraak maken |
ISO 27001 dekt de organisatorische en technische basis van informatiebeveiliging, maar mist een aantal NIS2-specifieke verplichtingen. De belangrijkste leemte zit in de meldplicht, de registratieplicht bij toezichthouders en de expliciete bestuurdersaansprakelijkheid die NIS2 oplegt.
De onderdelen die ISO 27001 niet of onvolledig afdekt:
- Meldplicht binnen 24 uur: NIS2 verplicht organisaties om significante incidenten binnen 24 uur te melden bij de bevoegde autoriteit. ISO 27001 beschrijft incidentbeheer, maar schrijft geen specifieke meldtermijnen of meldkanalen voor.
- Registratie bij toezichthouders: Organisaties die onder NIS2 vallen, moeten zich registreren bij de nationale toezichthouder. Dit is een wettelijke verplichting die buiten het bereik van ISO 27001 valt.
- Bestuurdersaansprakelijkheid: NIS2 legt de verantwoordelijkheid expliciet bij het bestuur. ISO 27001 vraagt managementbetrokkenheid, maar kent geen persoonlijke aansprakelijkheid voor directeuren zoals NIS2 dat doet.
- Sectorspecifieke vereisten: Afhankelijk van de sector kunnen aanvullende technische of procedurele eisen gelden die buiten de generieke ISO 27001-norm vallen.
Kortom: ISO 27001 is een uitstekende basis, maar geen eindpunt. Voor volledige NIS2-compliance zijn aanvullende stappen nodig, met name op het gebied van meldprocedures en wettelijke registratie.
Is ISO 27001-certificering verplicht onder NIS2?
Nee, ISO 27001-certificering is niet verplicht onder NIS2. De NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet schrijven geen specifieke certificering voor. Wat wél verplicht is, zijn aantoonbare beveiligingsmaatregelen, risicobeheer en incidentrespons. ISO 27001-certificering is één manier om dat aan te tonen, maar niet de enige.
Toch heeft certificering praktische voordelen. Een ISO 27001-certificaat biedt een onafhankelijk bewijs dat jouw organisatie informatiebeveiliging serieus neemt en dat processen zijn geauditeerd door een externe partij. Dat is waardevol bij toezichthouders, maar ook bij opdrachtgevers die in het kader van NIS2 ketenverantwoordelijkheid eisen.
Voor veel MKB-bedrijven is volledige certificering echter een grote stap. Het traject vraagt tijd, middelen en interne capaciteit. Wie primair NIS2-compliant wil worden, kan ook zonder certificaat aan de verplichtingen voldoen, mits de maatregelen aantoonbaar en gedocumenteerd zijn.
Wanneer loont ISO 27001 als route naar NIS2-compliance?
ISO 27001 loont als route naar NIS2-compliance wanneer jouw organisatie informatiebeveiliging structureel wil inbedden, opereert in een sector waar klanten of opdrachtgevers certificering verwachten, of wanneer je als IT-dienstverlener of verwerker van gevoelige data een aantoonbaar kwaliteitsniveau moet leveren.
De route via ISO 27001 is met name geschikt als:
- Jouw organisatie al enige volwassenheid heeft op het gebied van IT-beveiliging en processen.
- Klanten of aanbestedende partijen om een erkend certificaat vragen als voorwaarde voor samenwerking.
- Je als organisatie de investering wilt doen in een duurzaam beveiligingssysteem dat ook na NIS2 waarde behoudt.
- Je actief bent in sectoren zoals zorg, financiën of digitale dienstverlening, waar informatiebeveiliging een structureel thema is.
Voor organisaties die primair willen voldoen aan de wettelijke minimumvereisten van de Cyberbeveiligingswet, kan een gerichte NIS2-aanpak zonder volledige ISO 27001-certificering efficiënter zijn. De keuze hangt af van de sector, de klantverwachtingen en de interne ambitie op het gebied van informatiebeveiliging.
Hoe begin je met ISO 27001 als je nog niets hebt geregeld?
| Afspraak maken |
Begin met een nulmeting: breng in kaart waar jouw organisatie nu staat op het gebied van informatiebeveiliging en wat het verschil is met de ISO 27001-norm. Zonder dit startpunt weet je niet wat prioriteit heeft en loop je het risico om te investeren in maatregelen die niet de grootste risico’s afdekken.
Een praktische aanpak in stappen:
- Nulmeting uitvoeren: Vergelijk de huidige situatie met de ISO 27001-eisen. Dit geeft een helder beeld van de gaps en bepaalt de scope van het traject.
- Risicobeoordeling opstellen: Identificeer welke informatie en systemen kritisch zijn voor jouw organisatie en welke risico’s daaraan kleven.
- Beleid en procedures documenteren: Stel een informatiebeveiligingsbeleid op en leg procedures vast voor toegangscontrole, incidentrespons en continuïteit.
- Technische maatregelen implementeren: Denk aan endpoint protection, netwerksegmentatie, back-upbeleid en monitoring. Dit zijn ook de technische bouwstenen voor NIS2.
- Interne audit en bijsturing: Test of de maatregelen werken en stuur bij waar nodig, voordat een externe audit plaatsvindt.
- Externe certificering aanvragen: Laat een geaccrediteerde certificeringsinstelling de implementatie toetsen als je het ISO 27001-certificaat wilt behalen.
Voor veel organisaties is de eerste stap de moeilijkste, simpelweg omdat de interne kennis ontbreekt om te beoordelen waar je staat. TCA helpt MKB-organisaties met een gratis online assessment dat binnen 48 uur inzicht geeft in de huidige beveiligingssituatie en de afstand tot NIS2-compliance. Zo weet je concreet wat er nodig is, zonder dat je al een commitment hoeft te doen. Maak een afspraak en zet de eerste stap richting aantoonbare informatiebeveiliging.
Als managed IT-partner blijft TCA betrokken na de implementatie: van technische maatregelen en incidentresponseprocedures tot periodieke herbeoordelingen en begeleiding richting toezichthouders. Eén partner voor beleid, techniek en doorlopende compliance.