Wat is het verschil tussen ISO 27001 en de NIS2-richtlijn?

ISO 27001 en de NIS2-richtlijn zijn twee verschillende kaders voor informatiebeveiliging die elkaar overlappen maar niet hetzelfde zijn. ISO 27001 is een vrijwillige internationale norm voor een managementsysteem voor informatiebeveiliging, terwijl NIS2 een Europese wettelijke verplichting is die specifieke sectoren dwingt tot aantoonbare cyberbeveiliging. Wie al ISO 27001-gecertificeerd is, heeft een sterke voorsprong op NIS2-compliance, maar een directe gelijkstelling is er niet. Dit artikel beantwoordt de meest gestelde vragen over het verschil tussen beide kaders en wat dat betekent voor jouw organisatie.

Moet je aan beide voldoen als je al ISO 27001-gecertificeerd bent?

Ja, als jouw organisatie onder de NIS2-richtlijn valt, moet je aan beide voldoen. ISO 27001-certificering is geen vrijstelling van de wettelijke NIS2-verplichtingen. De Nederlandse Cyberbeveiligingswet, die naar verwachting medio 2026 van kracht wordt, stelt zelfstandige eisen aan bedrijven in aangewezen sectoren, ongeacht welke normen ze al hanteren.

Dat gezegd hebbende: een bestaande ISO 27001-certificering geeft je een aanzienlijke voorsprong. Veel van de processen die ISO 27001 vereist, zoals risicoanalyses, beveiligingsbeleid en incidentbeheer, sluiten direct aan op wat NIS2 verwacht. Je hoeft het wiel dus niet opnieuw uit te vinden, maar je zult bestaande processen wel moeten aanpassen en aanvullen om volledig aan de wettelijke eisen te voldoen.

Een concreet voorbeeld: NIS2 vereist dat incidenten binnen 24 uur worden gemeld bij de toezichthouder. ISO 27001 vraagt om een incidentresponsproces, maar stelt geen specifieke meldtermijnen aan externe autoriteiten. Dat is een aanvulling die je los van je certificering moet regelen.

Wat zijn de belangrijkste inhoudelijke verschillen tussen beide kaders?

Het fundamentele verschil tussen ISO 27001 en de NIS2-richtlijn zit in de aard en reikwijdte van beide kaders. ISO 27001 is een managementnorm die beschrijft hoe je informatiebeveiliging organiseert. NIS2 is wetgeving die voorschrijft wat je minimaal moet doen, met toezicht en sancties als stok achter de deur.

• Vrijwillig versus verplicht: ISO 27001-certificering is een keuze. NIS2-compliance is voor aangewezen organisaties een wettelijke verplichting.
• Scope: ISO 27001 richt zich op het beschermen van informatie in brede zin. NIS2 focust specifiek op de weerbaarheid van netwerk- en informatiesystemen in kritieke sectoren.
• Toezicht: Bij ISO 27001 toetst een onafhankelijke certificerende instelling je. Bij NIS2 houden nationale autoriteiten toezicht en kunnen zij boetes opleggen.
• Bestuurdersverantwoordelijkheid: NIS2 legt expliciet aansprakelijkheid bij het bestuur van de organisatie. ISO 27001 spreekt over betrokkenheid van het management, maar kent geen persoonlijke aansprakelijkheid.
• Meldplicht: NIS2 schrijft specifieke meldtermijnen voor bij incidenten. ISO 27001 vereist een intern incidentproces, maar geen externe meldplicht aan toezichthouders.

Welke bedrijven vallen onder NIS2 maar niet onder ISO 27001?

Alle organisaties die onder de NIS2-richtlijn vallen maar geen ISO 27001-certificering hebben, zijn verplicht aan NIS2 te voldoen zonder de voordelen van een bestaand informatiebeveiligingsmanagementsysteem. Dit zijn in de praktijk de meeste MKB-bedrijven in aangewezen sectoren, want ISO 27001-certificering is relatief zeldzaam buiten de ICT-sector.

NIS2 geldt voor organisaties met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro in sectoren zoals zorg, transport en logistiek, voedselproductie, maakindustrie, afvalbeheer en digitale dienstverlening. Veel van deze bedrijven hebben nooit bewust gekozen voor een formeel informatiebeveiligingskader, maar worden via de Cyberbeveiligingswet alsnog verplicht hun beveiliging aantoonbaar op orde te brengen.

Voor deze organisaties is de opgave groter: ze moeten niet alleen technische maatregelen treffen, maar ook beleid, processen en documentatie opbouwen die ze tot nu toe niet hadden. Dat is precies de groep waarvoor een vrijblijvend gesprek met een IT-partner het meeste verschil maakt.

Wat zijn de gevolgen als je niet aan NIS2 voldoet?

Organisaties die niet voldoen aan de NIS2-richtlijn riskeren aanzienlijke boetes: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Maar de financiële sancties zijn niet het enige risico. NIS2 introduceert ook persoonlijke aansprakelijkheid voor bestuurders bij aantoonbare nalatigheid.

Naast de directe sancties spelen er praktische gevolgen die minstens zo zwaar wegen voor MKB-bedrijven. Opdrachtgevers in de keten, zeker grotere organisaties en overheidsinstanties, gaan compliance steeds vaker eisen als voorwaarde voor samenwerking. Wie niet kan aantonen dat zijn beveiliging op orde is, verliest contracten. Dat maakt NIS2-compliance niet alleen een wettelijke kwestie, maar ook een commercieel belang.

Daarnaast geldt: een cyberincident bij een niet-compliant organisatie kan leiden tot aanvullende handhaving, reputatieschade en aansprakelijkheidsclaims van getroffen partijen. De combinatie van boetes, bestuurdersaansprakelijkheid en ketendruk maakt afwachten een kostbare strategie.

Hoe verhouden de technische maatregelen van ISO 27001 en NIS2 zich tot elkaar?

De technische maatregelen van ISO 27001 en NIS2 overlappen sterk, maar NIS2 is specifieker en strikter op een aantal punten. ISO 27001 biedt een uitgebreide catalogus van beheersmaatregelen die je zelf prioriteert op basis van je risicoanalyse. NIS2 schrijft een minimumset voor die je sowieso moet implementeren, ongeacht je eigen risicoafweging.

Beide kaders vereisen onder meer toegangsbeheer, encryptie, patchbeheer, back-upbeleid en netwerksegmentatie. Waar ze van elkaar afwijken, zit het hem vooral in de nadruk die NIS2 legt op aantoonbaarheid en snelheid. Denk aan verplichte monitoring, vastgelegde incidentresponseprocedures en de eis om leveranciers in de keten te toetsen op hun beveiligingsniveau.

Een goed startpunt voor beide kaders is een security baseline: een basisniveau van technische beveiligingsmaatregelen dat aansluit op de eisen van zowel ISO 27001 als NIS2. Wie die baseline al op orde heeft, hoeft bij een formele audit of compliance-check minder bij te sturen.

Wat is de beste volgorde: eerst ISO 27001 of eerst NIS2?

Als jouw organisatie onder de NIS2-richtlijn valt, is de prioriteit helder: zorg eerst dat je aan de wettelijke NIS2-verplichtingen voldoet. NIS2 is geen keuze, ISO 27001-certificering wel. Begin dus met de verplichte compliance en gebruik dat traject als fundament voor een eventuele ISO 27001-certificering later.

In de praktijk loont het om beide trajecten parallel te plannen, omdat de inspanningen elkaar versterken. De nulmeting die je doet voor NIS2, de risicoanalyse, het beveiligingsbeleid en de incidentprocedures, zijn dezelfde bouwstenen die je nodig hebt voor ISO 27001. Wie slim plant, doet het werk maar één keer.

Voor organisaties die nog nergens mee begonnen zijn, is de meest praktische aanpak: start met een nulmeting om de actuele situatie in kaart te brengen. Dat geeft direct inzicht in de kloof tussen waar je nu staat en wat NIS2 vereist, en vormt de basis voor een realistisch stappenplan. TCA begeleidt MKB-bedrijven en organisaties in sectoren zoals zorg, transport en maakindustrie door dit traject, van eerste beoordeling tot doorlopende compliance. Als managed IT-partner blijft TCA betrokken na de implementatie, zodat je niet alleen compliant wordt, maar ook compliant blijft.

Wil je weten waar jouw organisatie nu staat ten opzichte van de NIS2-eisen? Maak een afspraak voor een vrijblijvende nulmeting en ontvang binnen 48 uur een persoonlijk rapport. Geen verplichtingen, wel direct inzicht.

Gerelateerde artikelen

• Wat is het verschil tussen Microsoft 365 en een cloudwerkplek?
• Hoe begin je met ISO 27001 zonder interne compliance-kennis?
• Wat zijn de minimale beveiligingsmaatregelen die NIS2 vereist?
• Is werken in de cloud veilig voor mijn bedrijfsdata?
• Wat is het verschil tussen OneDrive en SharePoint voor bestandsbeheer?