ISO 27001 is geen wettelijke verplichting voor mkb-bedrijven in Nederland. De norm is vrijwillig, maar steeds vaker een praktische eis: opdrachtgevers, aanbestedingen en ketenpartners vragen er actief om. Voor bedrijven die onder de Cyberbeveiligingswet (NIS2) vallen, biedt ISO 27001 bovendien een solide basis om aan de wettelijke beveiligingseisen te voldoen. Dit artikel beantwoordt de meest gestelde vragen over ISO 27001 voor het mkb.
Valt jouw mkb-bedrijf verplicht onder ISO 27001?
Nee, ISO 27001-certificering is niet wettelijk verplicht voor mkb-bedrijven in Nederland. De norm is een internationale standaard die organisaties vrijwillig kunnen adopteren om hun informatiebeveiliging aantoonbaar op orde te brengen. Verplicht certificeren kan echter wel via contractuele eisen van opdrachtgevers of aanbestedende partijen.
In de praktijk wordt ISO 27001 steeds vaker een feitelijke verplichting, ook zonder wet. Denk aan overheidsaanbestedingen die certificering eisen als selectiecriterium, of grote opdrachtgevers in de zorg en industrie die van hun leveranciers verwachten dat zij aantoonbaar veilig omgaan met data. Wie in zo’n keten zit en geen certificering heeft, loopt het risico contracten te verliezen.
Daarnaast geldt voor een groeiende groep mkb-bedrijven de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Die wet verplicht geen ISO 27001-certificering, maar stelt wel vergelijkbare eisen aan risicobeheersing en aantoonbare beveiligingsmaatregelen. ISO 27001 is daarvoor een erkend en praktisch raamwerk.
| Afspraak maken |
Wat dekt ISO 27001 precies af?
ISO 27001 is een internationale norm voor informatiebeveiliging die beschrijft hoe een organisatie een Information Security Management System (ISMS) opzet, implementeert en continu verbetert. De norm dekt de beveiliging van informatie in brede zin: digitaal en fysiek, technisch en organisatorisch.
Concreet vraagt ISO 27001 van een organisatie dat zij:
- Informatiebeveiligingsrisico’s systematisch in kaart brengt en beoordeelt
- Passende technische en organisatorische maatregelen treft op basis van die risico’s
- Beleid, procedures en verantwoordelijkheden vastlegt en naleeft
- Medewerkers traint en bewust maakt van beveiligingsrisico’s
- Incidenten registreert, afhandelt en evalueert
- Het systeem periodiek auditeert en verbetert
De norm werkt met een uitgebreide set beheersmaatregelen, onderverdeeld in thema’s zoals toegangsbeheer, cryptografie, fysieke beveiliging, leveranciersrelaties en bedrijfscontinuïteit. Een security baseline vormt daarbinnen de technische fundering: de minimale beveiligingsmaatregelen die elke organisatie op orde moet hebben.
Wat is het verschil tussen ISO 27001 en NIS2?
ISO 27001 is een vrijwillige internationale norm voor informatiebeveiliging; NIS2 is Europese wetgeving die voor specifieke sectoren en bedrijfsgroottes verplichte beveiligingseisen stelt. Het verschil zit in de juridische status: ISO 27001 kies je zelf, NIS2 geldt van rechtswege zodra jouw organisatie in scope valt.
Inhoudelijk overlappen de twee sterk. Beide vragen om risicobeoordelingen, incidentresponseprocedures, technische beveiligingsmaatregelen en aandacht voor ketenbeveiliging. Wie al werkt volgens ISO 27001 heeft daarmee een groot deel van de NIS2-verplichtingen al ingevuld.
Het belangrijkste verschil naast de juridische status:
- NIS2 legt expliciete meldplichten op: incidenten moeten binnen 24 uur gemeld worden bij de toezichthouder. ISO 27001 vraagt incidentbeheer, maar schrijft geen externe meldtermijnen voor.
- NIS2 stelt bestuurders persoonlijk aansprakelijk voor nalatigheid. ISO 27001 is een organisatienorm zonder directe bestuurdersaansprakelijkheid.
- ISO 27001 leidt tot een officieel certificaat na externe audit. NIS2-compliance is geen certificaat, maar een doorlopende aantoonplicht richting toezichthouders.
Voor mkb-bedrijven die onder de Cyberbeveiligingswet vallen, is ISO 27001 geen vervanging van NIS2-compliance, maar wel de meest effectieve manier om die compliance gestructureerd te bereiken.
Wat kost ISO 27001-certificering voor een mkb-bedrijf?
De kosten van ISO 27001-certificering voor een mkb-bedrijf liggen doorgaans tussen de tienduizend en vijftigduizend euro, afhankelijk van de bedrijfsgrootte, de complexiteit van de IT-omgeving en de volwassenheid van de bestaande beveiligingsmaatregelen. Dit is een ruime bandbreedte, omdat de uitgangssituatie per organisatie sterk verschilt.
De kostenposten zijn globaal als volgt in te delen:
- Implementatiekosten: begeleiding bij het opzetten van het ISMS, risicobeoordeling, beleidsdocumentatie en technische maatregelen
- Interne tijdsinvestering: medewerkers en management zijn actief betrokken bij het traject; die tijd is een reële kostenpost
- Certificeringsaudit: een externe, geaccrediteerde certificeringsinstelling voert de audit uit; dit kost, afhankelijk van de organisatieomvang, enkele duizenden euro’s
- Jaarlijkse surveillance-audits: het certificaat heeft een looptijd van drie jaar, met jaarlijkse tussentijdse controles
Een belangrijk aandachtspunt: de certificeringskosten zijn doorgaans kleiner dan de implementatiekosten. Wie begint met een nulmeting om de huidige situatie in kaart te brengen, voorkomt dat er budget gaat naar maatregelen die al op orde zijn. TCA biedt zo’n nulmeting aan als startpunt, zodat je weet waar je staat voordat je investeert.
Hoe lang duurt het om ISO 27001 te implementeren?
Een ISO 27001-implementatie duurt voor een mkb-bedrijf gemiddeld zes tot twaalf maanden. De doorlooptijd hangt af van de startpositie van de organisatie, de beschikbare interne capaciteit en de complexiteit van de IT-omgeving. Wie al een basisniveau van beveiliging heeft ingericht, kan sneller certificeren.
Globaal verloopt het traject in drie fasen:
- Voorbereiding en nulmeting (1 tot 2 maanden): in kaart brengen wat er al is, waar de gaps zitten en welke maatregelen prioriteit hebben
- Implementatie (3 tot 8 maanden): technische maatregelen treffen, beleid schrijven, medewerkers trainen en procedures testen
- Certificeringsaudit (1 tot 2 maanden): een externe auditor beoordeelt het ISMS; bij goedkeuring volgt het certificaat
Een realistisch tijdpad is belangrijker dan een snel tijdpad. Organisaties die de implementatie te snel doorlopen, lopen het risico dat maatregelen op papier staan maar in de praktijk niet werken. Een externe IT-partner die het traject begeleidt, helpt om vaart te houden zonder in te leveren op kwaliteit.
| Afspraak maken |
Wanneer is ISO 27001 de juiste keuze voor jouw bedrijf?
ISO 27001 is de juiste keuze als jouw organisatie informatiebeveiliging structureel en aantoonbaar wil inrichten, niet als eenmalige actie maar als doorlopend managementsysteem. Dat is met name relevant als je werkt met gevoelige klantdata, opereert in een gereguleerde sector, of als opdrachtgevers of aanbestedingen certificering vragen.
Concrete situaties waarin ISO 27001 een logische stap is:
- Jouw bedrijf valt of valt mogelijk onder de Cyberbeveiligingswet en wil NIS2-compliance gestructureerd aanpakken
- Grote opdrachtgevers of overheidsinstanties stellen certificering als voorwaarde voor samenwerking
- Jouw organisatie verwerkt persoonsgegevens of bedrijfsgevoelige informatie van klanten op grote schaal
- Je wilt intern aantoonbaar maken dat beveiliging serieus genomen wordt, richting medewerkers, klanten en toezichthouders
Is ISO 27001 altijd de juiste keuze? Niet per se. Voor kleine organisaties zonder complexe IT-omgeving en zonder externe certificeringseis kan een goed ingerichte security baseline al voldoende zijn om risico’s beheersbaar te houden. Het gaat erom dat beveiliging passend en aantoonbaar is, niet dat er per se een certificaat aan de muur hangt.
TCA is zelf ISO 27001-gecertificeerd sinds 2017 en begeleidt mkb-bedrijven bij het opzetten van een beveiligingsniveau dat past bij hun situatie, of dat nu richting certificering gaat of niet. Wil je weten waar jouw organisatie nu staat? Bekijk meer over de aanpak van TCA of neem direct contact op voor een vrijblijvende nulmeting.