ISO 27001 is in de meeste gevallen niet wettelijk verplicht, maar voor een groeiend aantal sectoren en situaties is certificering in de praktijk onvermijdelijk. De richtlijn geldt als internationale norm voor informatiebeveiliging en wordt steeds vaker geëist door opdrachtgevers, toezichthouders en wetgeving zoals de NIS2-richtlijn. In dit artikel beantwoorden we de meest gestelde vragen: van welke sectoren en bedrijfsgroottes te maken krijgen met ISO 27001, tot wat er gebeurt als je er niets mee doet.
Welke bedrijven zijn wettelijk verplicht om ISO 27001 te implementeren?
Geen enkel bedrijf is op dit moment in Nederland puur wettelijk verplicht om ISO 27001-gecertificeerd te zijn. Wel schrijft wetgeving zoals de aankomende Cyberbeveiligingswet (de Nederlandse uitwerking van de Europese NIS2-richtlijn) voor dat bedrijven in bepaalde sectoren aantoonbare beveiligingsmaatregelen moeten treffen. ISO 27001 is daarvoor de meest erkende en geaccepteerde norm.
In de praktijk betekent dit dat bedrijven in sectoren als zorg, transport, energie, drinkwater en digitale infrastructuur niet kunnen volstaan met een vage verwijzing naar “goede beveiliging”. Ze moeten kunnen aantonen dat ze systematisch werken aan informatiebeveiliging. ISO 27001 biedt daarvoor het raamwerk. Wie dat raamwerk niet volgt, heeft een serieus probleem als een toezichthouder of opdrachtgever om bewijs vraagt.
Daarnaast eisen overheidsopdrachten en aanbestedingen in toenemende mate dat leveranciers ISO 27001-gecertificeerd zijn. Formeel is het geen wet, maar in de praktijk is het voor veel bedrijven een harde eis om überhaupt mee te mogen doen.
Voor welke sectoren geldt ISO 27001 als norm of vereiste?
| Afspraak maken |
ISO 27001 geldt als erkende beveiligingsnorm in vrijwel alle sectoren waar gevoelige informatie een rol speelt, maar is het meest dwingend aanwezig in sectoren die onder de NIS2-richtlijn vallen. Dat zijn onder andere zorg, transport en logistiek, energie, drinkwater, financiële dienstverlening, digitale infrastructuur, voedselproductie en maakindustrie.
Binnen deze sectoren geldt ISO 27001 niet altijd als de enige optie, maar wel als de meest geaccepteerde. Toezichthouders, auditors en opdrachtgevers kennen de norm, begrijpen wat certificering inhoudt en accepteren het als bewijs van volwassen informatiebeveiliging. Andere normen bestaan, maar ISO 27001 heeft de breedste internationale erkenning.
Buiten de NIS2-sectoren zijn er ook sectoren waar ISO 27001 sterk wordt aanbevolen of feitelijk vereist is via contractuele weg:
- Zakelijke dienstverlening die werkt in de keten van grotere bedrijven of overheden
- IT-dienstverleners en softwarebedrijven die klantdata verwerken
- Zorginstellingen die werken met bijzondere persoonsgegevens
- Bibliotheken en semi-publieke instellingen die overheidsgeld ontvangen en verantwoording moeten afleggen
Kortom: als jouw organisatie gevoelige data verwerkt, werkt voor de overheid of opereert als schakel in een keten van grotere partijen, is ISO 27001 in 2026 geen luxe meer.
Vanaf welke bedrijfsgrootte is ISO 27001 relevant?
ISO 27001 is relevant vanaf het moment dat je als organisatie gevoelige informatie beheert, ongeacht de bedrijfsgrootte. Er is geen wettelijke ondergrens. Wel is de norm in de praktijk het meest urgent voor bedrijven met 50 of meer medewerkers, omdat zij vaker vallen onder de NIS2-richtlijn en vaker te maken krijgen met contractuele eisen van opdrachtgevers.
Voor kleinere bedrijven, zeg 10 tot 50 medewerkers, is certificering minder vaak formeel vereist, maar kan het alsnog noodzakelijk zijn als je levert aan grotere organisaties die ketenverantwoordelijkheid serieus nemen. Steeds meer grote bedrijven en overheidsinstanties stellen ISO 27001 als minimumeis aan hun leveranciers, ook als die leveranciers klein zijn.
De NIS2-richtlijn hanteert twee categorieën:
- Essentiële entiteiten: bedrijven met meer dan 250 medewerkers of een jaaromzet boven de 50 miljoen euro in aangewezen sectoren
- Belangrijke entiteiten: bedrijven met 50 tot 250 medewerkers of een omzet tussen de 10 en 50 miljoen euro in dezelfde sectoren
Beide categorieën vallen onder de verplichtingen van de Cyberbeveiligingswet. ISO 27001 is voor beide groepen de meest logische manier om aan te tonen dat je voldoet aan de beveiligingseisen. Ben je een MKB-bedrijf in een van de aangewezen sectoren? Dan is ISO 27001 voor jou concreet relevant.
Wat zijn de gevolgen als je geen ISO 27001-certificering hebt?
Als je geen ISO 27001-certificering hebt en je valt onder de NIS2-richtlijn, riskeer je boetes tot 10 miljoen euro of 2% van je wereldwijde jaaromzet. Daarnaast kunnen bestuurders persoonlijk aansprakelijk worden gesteld als blijkt dat zij onvoldoende maatregelen hebben genomen. Maar de financiële schade door het missen van contracten is in de praktijk vaak groter dan de boetes zelf.
Opdrachtgevers in de keten vragen steeds vaker om bewijs van informatiebeveiliging als voorwaarde voor samenwerking. Wie dat bewijs niet kan leveren, wordt uitgesloten van aanbestedingen en raamcontracten. Dit speelt al bij overheidsopdrachten en verspreidt zich snel naar het bedrijfsleven.
Naast juridische en commerciële gevolgen is er ook het operationele risico: een organisatie zonder gestructureerde informatiebeveiliging is kwetsbaarder voor cyberaanvallen, datalekken en verstoringen. De schade bij een incident, denk aan herstelkosten, reputatieschade en meldplicht bij de Autoriteit Persoonsgegevens, kan aanzienlijk zijn.
Wat is het verschil tussen ISO 27001 verplicht en ISO 27001 aanbevolen?
ISO 27001 is verplicht wanneer wetgeving, een toezichthouder of een opdrachtgever het expliciet eist als voorwaarde. ISO 27001 is aanbevolen wanneer er geen formele eis is, maar de norm wel de beste manier is om risico’s te beheersen en vertrouwen op te bouwen. Het onderscheid zit niet in de norm zelf, maar in de context waarin je opereert.
In de praktijk vervaagt dit onderscheid snel. Een IT-dienstverlener die levert aan zorgorganisaties zal merken dat certificering van “aanbevolen” naar “vereist” schuift zodra de zorginstellingen zelf onder de Cyberbeveiligingswet vallen en ketenverantwoordelijkheid afdwingen. Wat vandaag aanbevolen is, kan morgen een harde contracteis zijn.
Een handig onderscheid om te maken:
- Wettelijk verplicht: je valt onder NIS2 of een sectorspecifieke wet die aantoonbare beveiligingsmaatregelen eist
- Contractueel verplicht: een opdrachtgever stelt ISO 27001 als eis in een aanbesteding of raamovereenkomst
- Strategisch aanbevolen: je valt niet onder directe verplichtingen, maar certificering versterkt je positie in de markt en verlaagt je risico
Hoe begin je met ISO 27001 als je bedrijf er nog niet aan voldoet?
| Afspraak maken |
De eerste stap is een nulmeting: breng in kaart waar je organisatie nu staat op het gebied van informatiebeveiliging en wat het verschil is met wat ISO 27001 vereist. Zonder die meting weet je niet wat je nog moet doen en kun je geen realistische planning maken. Vanuit die analyse bouw je stap voor stap naar certificering toe.
Een praktisch stappenplan ziet er als volgt uit:
- Nulmeting uitvoeren: analyseer de huidige beveiligingsmaatregelen, processen en documentatie
- Scope bepalen: welke systemen, locaties en processen vallen onder het ISMS (Information Security Management System)?
- Risicobeoordeling uitvoeren: identificeer de grootste risico’s voor informatiebeveiliging in jouw organisatie
- Maatregelen implementeren: technisch (endpoint protection, back-ups, toegangsbeheer) en organisatorisch (beleid, procedures, training)
- Interne audit uitvoeren: controleer of alles werkt zoals bedoeld
- Externe certificeringsaudit: een geaccrediteerde auditor beoordeelt of je voldoet aan de norm
Voor veel MKB-bedrijven is de grootste hobbel niet de techniek, maar de organisatorische kant: beleid schrijven, procedures vastleggen, medewerkers trainen. Een IT-partner die dit traject begeleidt, maakt het verschil tussen een papieren exercitie en een werkend systeem.
TCA begeleidt organisaties door dit hele traject, van de eerste gratis nulmeting tot doorlopende compliance. De aanpak is gebaseerd op het ISO 27001-raamwerk en combineert technische maatregelen met organisatorisch beleid. TCA is zelf ISO 27001-gecertificeerd sinds 2017, wat betekent dat ze de norm niet alleen adviseren maar ook zelf leven. Als managed IT-partner blijft TCA betrokken na implementatie, zodat certificering geen eenmalig project is maar een doorlopend proces. Wil je weten waar jouw organisatie nu staat? Maak een afspraak voor een vrijblijvend gesprek en krijg binnen 48 uur inzicht in je huidige beveiligingsniveau.