ISO 27001-certificering is niet verplicht onder de NIS2-richtlijn. De wet schrijft geen specifieke certificering voor, bedrijven moeten aantoonbare beveiligingsmaatregelen treffen, maar mogen zelf bepalen hoe ze dat doen. Toch is ISO 27001 een sterk raamwerk dat helpt om structureel aan de NIS2-eisen te voldoen. Hieronder beantwoorden we de meest gestelde vragen over de relatie tussen ISO 27001 en NIS2.
Welke beveiligingseisen stelt NIS2 dan wél verplicht?
NIS2 verplicht organisaties om passende technische en organisatorische maatregelen te nemen om cyberrisico’s te beheersen. Concreet gaat het om een combinatie van risicoanalyse, incidentrespons, leveranciersbeveiliging en meldplicht, geen certificering, maar aantoonbaar beleid en uitvoering.
De richtlijn benoemt een aantal specifieke verplichtingen waar elke betrokken organisatie aan moet voldoen:
- Een actuele risicobeoordeling van je informatiesystemen
- Incidenten melden bij de toezichthouder binnen 24 uur na ontdekking
- Een gedocumenteerd beleid voor informatiebeveiliging
- Beveiliging van de toeleveringsketen, ook je leveranciers tellen mee
- Toegangscontrole, versleuteling en netwerksegmentatie waar relevant
- Bewustzijnstraining voor medewerkers
- Betrokkenheid van het management bij cybersecurity, bestuurders zijn persoonlijk aansprakelijk
In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, naar verwachting van kracht rond medio 2026. De eisen zijn functioneel geformuleerd: de wet zegt wat je moet bereiken, niet hoe. Dat geeft ruimte, maar ook verantwoordelijkheid. Je moet kunnen aantonen dat je maatregelen effectief zijn, en dat vraagt om structuur en documentatie.
| Afspraak maken |
Wat is dan het verschil tussen NIS2-compliance en ISO 27001-certificering?
NIS2-compliance betekent dat je voldoet aan de wettelijke beveiligingseisen uit de Cyberbeveiligingswet. ISO 27001-certificering is een vrijwillige, internationaal erkende norm waarbij een onafhankelijke auditor beoordeelt of je informatiebeveiligingsmanagement op orde is. Het zijn twee verschillende doelen met veel overlappende inhoud.
Het kernverschil zit in wie de beoordeling doet en wat het doel is:
- NIS2-compliance is een wettelijke verplichting. De toezichthouder beoordeelt of je aan de wet voldoet. Er is geen certificaat, wel handhaving bij tekortkomingen, inclusief boetes tot 10 miljoen euro of 2% van de wereldwijde omzet.
- ISO 27001-certificering is een vrijwillige keuze. Een externe auditor toetst je informatiebeveiligingsmanagementsysteem en geeft een certificaat af als je voldoet. Dat certificaat heeft drie jaar geldigheid, met jaarlijkse tussentijdse audits.
In de praktijk overlappen de inhoudelijke eisen sterk. Wie ISO 27001 heeft geïmplementeerd, heeft al een groot deel van de NIS2-vereisten afgedekt. Maar het omgekeerde geldt niet automatisch: NIS2-compliance zonder ISO 27001 is goed mogelijk, en voor veel MKB-bedrijven ook de meest logische route.
Helpt ISO 27001 om sneller NIS2-compliant te worden?
Ja, ISO 27001 versnelt het pad naar NIS2-compliance aanzienlijk. Het raamwerk dekt de meeste NIS2-vereisten inhoudelijk af, van risicoanalyse en incidentbeheer tot leveranciersbeveiliging en documentatie. Wie al werkt volgens ISO 27001, hoeft geen nieuw systeem op te bouwen, maar kan voortbouwen op bestaande processen.
De overlap is groot omdat beide systemen zijn gebaseerd op hetzelfde principe: gestructureerd risicomanagement met aantoonbare maatregelen. Concreet dekt ISO 27001 onder andere:
- Risicobeoordelingen en behandelplannen
- Beleid voor toegangsbeheer en versleuteling
- Incidentresponseprocedures
- Bewustzijnsprogramma’s voor medewerkers
- Leveranciersbeoordeling en contractuele beveiligingseisen
Wat ISO 27001 niet automatisch regelt, zijn de NIS2-specifieke verplichtingen zoals de meldplicht bij toezichthouders en de registratieverplichting. Die moet je aanvullend inrichten. Maar de basis staat al, en dat scheelt tijd en kosten.
TCA hanteert het ISO 27001-raamwerk als vertrekpunt voor NIS2-trajecten. TCA is zelf ISO 27001-gecertificeerd sinds 2017, wat betekent dat de aanpak niet alleen theoretisch is, maar gebaseerd op eigen ervaring met de implementatie.
Wanneer is ISO 27001-certificering toch de slimste keuze?
ISO 27001-certificering is de slimste keuze als je klanten, opdrachtgevers of aanbestedende partijen expliciet om bewijs van informatiebeveiliging vragen, of als je actief wilt aantonen dat je beveiliging op orde is zonder afhankelijk te zijn van een toezichthouder die langskomt. Het certificaat spreekt voor zich, onafhankelijk en internationaal erkend.
Er zijn situaties waarin certificering meer oplevert dan alleen compliance:
- Je levert aan overheden of grote bedrijven die ISO 27001 als inkoopeis hanteren
- Je wilt je onderscheiden van concurrenten die geen aantoonbare beveiligingsstandaard hanteren
- Je werkt in een keten waar opdrachtgevers steeds vaker vragen om bewijs van beveiliging bij toeleveranciers
- Je wilt intern structuur aanbrengen in je beveiligingsbeheer en dat borgen via een managementsysteem
Voor organisaties die primair aan NIS2 willen voldoen zonder extra commerciële druk, is certificering niet noodzakelijk. Maar voor bedrijven die ketenverantwoordelijkheid voelen of hun marktpositie willen versterken, is het een investering die zichzelf terugverdient.
Wat gebeurt er als je niets doet, voor NIS2 én ISO 27001?
Wie niets doet aan NIS2-compliance riskeert boetes, persoonlijke aansprakelijkheid van bestuurders en verlies van contracten. ISO 27001 heeft geen wettelijke sancties, maar het ontbreken van aantoonbare beveiliging kost je steeds vaker opdrachten, zeker nu opdrachtgevers dit actief gaan eisen in de keten.
De gevolgen van niet-compliance onder de Cyberbeveiligingswet zijn concreet:
- Financiële boetes: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is
- Persoonlijke aansprakelijkheid: NIS2 legt de verantwoordelijkheid expliciet bij het management, niet bij de IT-afdeling
- Reputatieschade: bij een incident dat je had kunnen voorkomen, is de vraag van toezichthouders en klanten direct: wat had je geregeld?
- Verlies van opdrachten: opdrachtgevers in sectoren als zorg, overheid en industrie gaan compliance steeds vaker als voorwaarde stellen
Het risico van niets doen is dus tweeledig: juridisch en commercieel. En de tijdsdruk is reëel, de Cyberbeveiligingswet wordt naar verwachting in 2026 van kracht. Wie nu nog niets heeft gedaan, heeft minder ruimte dan het lijkt.
| Afspraak maken |
Hoe begin je met NIS2-compliance zonder direct te certificeren?
Begin met een nulmeting: breng in kaart waar je organisatie nu staat ten opzichte van de NIS2-vereisten. Dat geeft je een concreet beeld van de gaten en een prioriteitenlijst voor de maatregelen die het eerst nodig zijn, zonder dat je direct een duur certificeringstraject hoeft op te starten.
Een praktisch stappenplan ziet er zo uit:
- Nulmeting uitvoeren: bepaal of je onder NIS2 valt en wat de huidige staat van je beveiliging is
- Risicobeoordeling opstellen: welke systemen zijn kritiek, welke risico’s zijn het grootst?
- Basismaatregelen implementeren: denk aan een security baseline, toegangsbeheer, back-upbeleid en endpoint-beveiliging
- Beleid documenteren: incidentresponseprocedures, meldplichtprotocollen en informatiebeveiligingsbeleid op papier zetten
- Medewerkers trainen: bewustzijn is een vereiste, geen bijzaak
- Leveranciers aanspreken: ketenverantwoordelijkheid betekent dat ook je toeleveranciers aan eisen moeten voldoen
Je hoeft dit niet alleen te doen. TCA begeleidt organisaties van eerste nulmeting tot doorlopende compliance, technisch, organisatorisch en strategisch. De nulmeting is gratis: je ontvangt binnen 48 uur een persoonlijk rapport met een helder beeld van waar je staat en wat de volgende stap is.
Wil je weten of jouw organisatie onder de NIS2-richtlijn valt en wat dat concreet betekent? Maak een afspraak en kom erachter zonder verplichtingen.