Nee, noch de NIS2-richtlijn noch de Cyberbeveiligingswet (CBW) verplicht organisaties expliciet om een ISO 27001 certificering te behalen. Beide wetgevingen schrijven voor dat organisaties passende technische en organisatorische maatregelen nemen om hun informatiebeveiliging op orde te hebben, maar laten de keuze van het middel vrij. Wil je weten hoe jouw organisatie hieraan kan voldoen of heb je direct een vraag? Neem gerust contact op en we helpen je graag verder. In dit artikel beantwoorden we de meest gestelde vragen over NIS2, CBW en de rol van ISO 27001.
Wat verplichten NIS2 en CBW organisaties precies?
De NIS2-richtlijn en de Nederlandse implementatie daarvan via de Cyberbeveiligingswet (CBW) verplichten organisaties in aangewezen sectoren om aantoonbaar risicobeheer toe te passen op het gebied van cybersecurity. Dit omvat maatregelen op het vlak van incidentbeheer, continuïteit, beveiliging van de toeleveringsketen, toegangsbeheer en encryptie. Organisaties moeten incidenten melden en kunnen worden gecontroleerd door toezichthouders.
De wetgeving maakt onderscheid tussen essentiële en belangrijke entiteiten. Essentiële entiteiten vallen onder strenger toezicht en worden actief gecontroleerd, terwijl belangrijke entiteiten reactief worden gecontroleerd. Beide categorieën moeten echter kunnen aantonen dat zij structureel en aantoonbaar werken aan informatiebeveiliging. De nadruk ligt op risicogericht denken: niet een vaste lijst van maatregelen, maar een aanpak die past bij de aard en omvang van de organisatie.
Voor veel organisaties is dit een flinke opgave, zeker als informatiebeveiliging tot nu toe ad hoc werd aangepakt. De CBW geeft toezichthouders de bevoegdheid om audits uit te voeren, boetes op te leggen en in ernstige gevallen bestuurders persoonlijk aansprakelijk te stellen.
Is ISO 27001 certificering expliciet verplicht onder NIS2 of CBW?
Nee, een ISO 27001 certificering is niet expliciet verplicht onder de NIS2-richtlijn of de CBW. De wetgeving schrijft geen specifieke norm of certificering voor. Wat wel verplicht is, is dat organisaties kunnen aantonen dat zij passende beveiligingsmaatregelen hebben getroffen en dat zij risico’s structureel beheersen.
Dit is een belangrijk onderscheid. De NIS2 en CBW zijn doelregelgeving: ze beschrijven het gewenste resultaat, niet de weg ernaartoe. Een organisatie mag zelf bepalen hoe zij dat resultaat bereikt, zolang zij dit maar aantoonbaar kan maken tegenover een toezichthouder. ISO 27001 is daarbij één van de meest erkende en bruikbare instrumenten, maar het is geen wettelijke eis.
Waarom kiezen veel NIS2-plichtige organisaties toch voor ISO 27001?
Veel organisaties die onder de NIS2 of CBW vallen, kiezen toch voor een ISO 27001 certificering omdat het de meest praktische en erkende manier is om aantoonbaar te voldoen aan de eisen. ISO 27001 biedt een gestructureerd managementsysteem voor informatiebeveiliging dat direct aansluit op wat de wetgeving vraagt: risicoanalyse, beleid, procedures, monitoring en continue verbetering.
Er zijn een aantal concrete redenen waarom organisaties deze keuze maken:
- Aantoonbaarheid: Een certificaat van een geaccrediteerde instelling is een objectief bewijs dat je informatiebeveiliging op orde is. Dit is eenvoudig te overleggen aan toezichthouders, opdrachtgevers of klanten.
- Structuur: ISO 27001 dwingt organisaties om informatiebeveiliging systematisch aan te pakken, wat precies is wat NIS2 beoogt.
- Marktvoordeel: In aanbestedingen en zakelijke relaties is een ISO 27001 certificaat steeds vaker een verwachting of zelfs een harde eis.
- Overlap met NIS2-eisen: De maatregelen uit de ISO 27001 norm dekken een groot deel van de NIS2-vereisten, waardoor je twee doelen met één aanpak bereikt.
Wat zijn alternatieven voor ISO 27001 bij NIS2-compliance?
Organisaties die niet kiezen voor ISO 27001 kunnen ook via andere wegen aantonen dat zij voldoen aan de NIS2 en CBW. Er zijn meerdere erkende informatiebeveiligingsnormen en kaders die hierbij kunnen helpen, afhankelijk van de sector en de aard van de organisatie.
Sectorspecifieke normen
Voor zorginstellingen is de NEN 7510 de meest relevante norm. Deze norm is specifiek ontwikkeld voor informatiebeveiliging in de zorg en heeft een directe wettelijke verankering in de Nederlandse zorgregelgeving. Voor overheidsorganisaties geldt de Baseline Informatiebeveiliging Overheid (BIO), die verplicht is voor alle overheidslagen.
Eigen risicoanalyse en aantoonbare maatregelen
Organisaties kunnen ook zonder een externe norm werken, mits zij een gedegen risicoanalyse uitvoeren, maatregelen documenteren en deze periodiek evalueren. Dit vereist echter veel interne expertise en discipline. Toezichthouders zullen kritischer kijken naar organisaties die geen erkende norm hanteren, omdat de aantoonbaarheid dan minder eenvoudig is.
Hoe toont een organisatie zonder certificering toch NIS2-compliance aan?
Een organisatie zonder ISO 27001 certificering kan NIS2-compliance aantonen door gedegen interne documentatie, een aantoonbare risicoaanpak en een duidelijk beleid voor informatiebeveiliging. De sleutel is aantoonbaarheid: toezichthouders willen zien dat de organisatie bewust en gestructureerd met risico’s omgaat, niet alleen dat er maatregelen zijn genomen.
Concrete elementen die een organisatie hiervoor nodig heeft:
- Een actuele risicoanalyse die aansluit op de specifieke dreigingen voor de organisatie
- Gedocumenteerd beleid voor informatiebeveiliging, toegangsbeheer en incidentrespons
- Aantoonbare processen voor het melden van incidenten aan de bevoegde autoriteit
- Periodieke evaluatie en bijstelling van de genomen maatregelen
- Bewijs van bewustwording en training bij medewerkers
Het nadeel van deze aanpak is dat het veel vraagt van de interne organisatie. Zonder externe toetsing is het moeilijker om blinde vlekken te ontdekken en toezichthouders snel en overtuigend te informeren.
Wanneer is ISO 27001 certificering wél de verstandigste keuze?
ISO 27001 certificering is de verstandigste keuze wanneer een organisatie structureel en aantoonbaar wil voldoen aan NIS2, CBW of andere beveiligingseisen, en tegelijkertijd vertrouwen wil opbouwen bij klanten, partners en toezichthouders. Hoe groter de organisatie, hoe complexer de informatiestromen en hoe hoger de verwachtingen van externe partijen, des te meer waarde een certificering heeft.
In het bijzonder is ISO 27001 certificering een verstandige keuze in de volgende situaties:
- Je organisatie valt onder de NIS2 als essentiële entiteit en verwacht actief toezicht
- Klanten of opdrachtgevers vragen om een certificering als bewijs van betrouwbaarheid
- Je organisatie verwerkt gevoelige persoonsgegevens of bedrijfskritische informatie
- Je wilt een duurzame, herhaalbare aanpak voor informatiebeveiliging in plaats van een eenmalige exercitie
- Je wilt als organisatie groeien in sectoren waar informatiebeveiliging een drempeleis is
Een certificering is geen eindbestemming, maar een vertrekpunt voor continue verbetering. Wij begeleiden organisaties door het hele traject, van de eerste risicoanalyse tot en met de certificeringsaudit. Neem contact op om te bespreken wat de beste aanpak is voor jouw organisatie.
Veelgestelde vragen
Wat gebeurt er als mijn organisatie niet voldoet aan de NIS2 of CBW?
Als je organisatie niet aantoonbaar voldoet aan de NIS2 of CBW, kunnen toezichthouders audits uitvoeren, boetes opleggen en in ernstige gevallen bestuurders persoonlijk aansprakelijk stellen. Het is daarom belangrijk om tijdig te beginnen met het structureel inrichten van je informatiebeveiliging, ongeacht welke aanpak je kiest.
Hoe weet ik of mijn organisatie onder de NIS2 of CBW valt?
Of je organisatie onder de NIS2 of CBW valt, hangt af van de sector waarin je actief bent en de omvang van je organisatie. De wetgeving onderscheidt essentiële en belangrijke entiteiten in aangewezen sectoren; een eerste stap is nagaan of jouw sector op de lijst staat en of je aan de drempelwaarden voor grootte voldoet.
Waarom is ISO 27001 zo populair als middel om NIS2-compliance aan te tonen?
ISO 27001 is populair omdat het een internationaal erkend en gestructureerd kader biedt dat direct aansluit op wat NIS2 vraagt, zoals risicoanalyse, beleid en continue verbetering. Bovendien levert een certificaat van een geaccrediteerde instelling objectief bewijs richting toezichthouders, klanten en opdrachtgevers, wat het aantonen van compliance aanzienlijk eenvoudiger maakt.
Wanneer is het slim om te kiezen voor een alternatief voor ISO 27001, zoals NEN 7510 of BIO?
Een sectorspecifiek alternatief zoals NEN 7510 of de BIO is slim wanneer jouw organisatie actief is in de zorg of bij de overheid, omdat deze normen wettelijk verankerd zijn in die sectoren en direct aansluiten op de specifieke eisen die daar gelden. In dat geval biedt een sectorspecifieke norm vaak meer relevantie en herkenbaarheid bij toezichthouders dan een generieke norm.
Gerelateerde artikelen
- Hoe voorkom je verval van je ISO 27001 certificaat tijdens de heraudit?
- ISO 27001 of SOC 2 certificering: wat is het verschil?
- Wat is een open en eerlijk auditproces en hoe herken je dat?
- Wat zijn de kwalificaties van een goede ISO 27001 auditor?
- Waarom is ISO 27001 certificering belangrijk voor bedrijven?
