ISO 27001 is in Nederland niet wettelijk verplicht voor de meeste organisaties. De norm is een vrijwillige internationale standaard voor informatiebeveiliging. Toch zijn er situaties waarin een ISO 27001-verplichting in de praktijk wel degelijk geldt: via sectorwetgeving, contractuele eisen van opdrachtgevers of aanbestedingsvereisten. In dit artikel beantwoorden we de meest gestelde vragen over wanneer ISO 27001 verplicht is en wat de gevolgen zijn als je er niet aan voldoet. Heb je een specifieke vraag over jouw situatie? Neem gerust contact op en we helpen je verder.
Voor welke organisaties geldt een ISO 27001-verplichting?
Een directe wettelijke ISO 27001-verplichting geldt in Nederland voor een beperkte groep organisaties, met name aanbieders van essentiële diensten en digitale dienstverleners die onder de NIS2-richtlijn vallen. Voor de meeste andere organisaties is ISO 27001 formeel vrijwillig, maar in de praktijk kan een certificeringsverplichting ontstaan via contracten, aanbestedingen of sectorspecifieke regelgeving.
Organisaties die in de praktijk vrijwel altijd met een ISO 27001-eis worden geconfronteerd, zijn onder andere:
- IT-dienstverleners en SaaS-aanbieders die werken voor grote opdrachtgevers of overheidsinstanties
- Zorginstellingen die digitale gegevensuitwisseling verzorgen
- Bedrijven die deelnemen aan Europese of nationale aanbestedingen
- Organisaties in kritieke infrastructuur zoals energie, water en transport
- Financiële dienstverleners die onder toezicht staan van DNB of AFM
Voor startups en MKB-bedrijven geldt de verplichting vaak indirect: een grote klant of partner stelt ISO 27001 als voorwaarde voordat zij een samenwerking aangaan. In dat geval is de certificering technisch gezien niet wettelijk verplicht, maar wel noodzakelijk om zaken te kunnen doen.
Welke wet- en regelgeving verwijst naar ISO 27001?
Verschillende wet- en regelgevingskaders verwijzen expliciet of impliciet naar ISO 27001 als erkend raamwerk voor informatiebeveiliging. De belangrijkste zijn de NIS2-richtlijn, de AVG en de BIO. Geen van deze wetten maakt ISO 27001 dwingend verplicht, maar ze stellen beveiligingseisen waarvoor ISO 27001 een erkende invulling biedt.
NIS2-richtlijn
De NIS2-richtlijn, die in Nederland is omgezet in nationale wetgeving, verplicht organisaties in sectoren zoals energie, gezondheidszorg, digitale infrastructuur en transport om passende technische en organisatorische beveiligingsmaatregelen te nemen. ISO 27001 wordt breed erkend als een geschikt raamwerk om aan deze eisen te voldoen. Organisaties die onder NIS2 vallen, zullen in de praktijk merken dat ISO 27001-certificering de meest logische en aantoonbare route is.
AVG en BIO
De Algemene Verordening Gegevensbescherming verplicht organisaties tot passende beveiliging van persoonsgegevens, maar schrijft geen specifieke norm voor. ISO 27001 biedt een solide basis om aan die eis te voldoen. De Baseline Informatiebeveiliging Overheid (BIO) is het verplichte normenkader voor overheidsorganisaties in Nederland en is inhoudelijk sterk verwant aan ISO 27001. Meer over de relatie tussen deze kaders lees je op onze pagina over informatiebeveiliging.
Is ISO 27001 verplicht voor overheidsorganisaties?
Voor overheidsorganisaties in Nederland geldt niet ISO 27001, maar de BIO als verplicht normenkader. De BIO is van toepassing op de rijksoverheid, provincies, gemeenten en waterschappen. Omdat de BIO inhoudelijk grotendeels overeenkomt met ISO 27001, kiezen sommige overheidsorganisaties ervoor om aanvullend ook ISO 27001-gecertificeerd te worden, maar dit is geen wettelijke verplichting.
Overheidsorganisaties die IT-diensten inkopen, kunnen in hun aanbestedingen wel ISO 27001 als eis stellen aan hun leveranciers. Voor die leveranciers wordt de norm daarmee in de praktijk verplicht, ook al is er geen wet die dit rechtstreeks oplegt.
Wanneer stellen opdrachtgevers ISO 27001 als eis?
Opdrachtgevers stellen ISO 27001 als contractuele eis wanneer zij aantoonbare zekerheid willen dat een leverancier zorgvuldig omgaat met informatie en gegevens. Dit gebeurt met name bij aanbestedingen, bij het verwerken van gevoelige of persoonsgebonden informatie, en bij samenwerking in ketens waarbij data wordt uitgewisseld.
Situaties waarin opdrachtgevers ISO 27001-certificering verplicht stellen, zijn onder andere:
- Europese en nationale aanbestedingen waarbij informatiebeveiliging een gunningscriterium is
- Contracten met grote corporates of multinationals die hun leveranciersketen willen beveiligen
- Samenwerking met zorginstellingen die NEN 7510 of ISO 27001 vereisen van hun ICT-leveranciers
- Partnerships met financiële instellingen die strenge due diligence uitvoeren
- Cloudleveranciers en dataverwerkers die als subverwerker optreden voor gecertificeerde partijen
In de praktijk zien wij dat steeds meer organisaties ISO 27001 als standaardeis opnemen in hun inkoopbeleid. Dit maakt de ISO 27001-verplichting voor leveranciers in veel sectoren een realiteit, ongeacht wat de wet zegt.
Wat is het verschil tussen verplicht en sterk aanbevolen?
ISO 27001 is wettelijk verplicht wanneer een wet, richtlijn of overheidsregeling dit expliciet vereist. ISO 27001 is sterk aanbevolen wanneer er geen directe juridische verplichting is, maar de norm wel erkend wordt als beste manier om aan beveiligingseisen te voldoen of om marktvertrouwen op te bouwen.
Het onderscheid is in de praktijk minder zwart-wit dan het lijkt. Een contractuele eis van een opdrachtgever is technisch gezien geen wet, maar heeft voor jouw organisatie hetzelfde effect: zonder certificering kun je de opdracht niet uitvoeren. Hetzelfde geldt voor aanbestedingen waarbij ISO 27001 een knock-outcriterium is.
Voor veel organisaties is het daarom zinvoller om de vraag niet te stellen “Is het verplicht?” maar “Wat zijn de gevolgen als ik het niet heb?” Dat brengt ons bij de volgende vraag.
Wat zijn de gevolgen als ISO 27001 ontbreekt?
De gevolgen van het ontbreken van ISO 27001 hangen af van je sector en klantenkring, maar kunnen aanzienlijk zijn. Organisaties zonder certificering lopen het risico opdrachten te missen, uit aanbestedingen te worden uitgesloten of het vertrouwen van klanten en partners te verliezen.
Concrete gevolgen die wij in de praktijk zien:
- Uitsluiting van aanbestedingen: Zonder geldig ISO 27001-certificaat voldoe je niet aan de gestelde eisen en word je direct uitgesloten.
- Verlies van klanten: Bestaande klanten die hun eigen leveranciersketen willen beveiligen, kunnen besluiten de samenwerking te beëindigen.
- Reputatieschade bij incidenten: Zonder aantoonbaar beveiligingsniveau is het moeilijker om na een datalek of cyberincident het vertrouwen te herstellen.
- Hogere compliance-lasten: Zonder gestructureerd ISMS moeten beveiligingseisen per klant of per contract opnieuw worden aangetoond, wat tijd en geld kost.
- Juridische kwetsbaarheid: Bij een datalek kan het ontbreken van aantoonbare beveiligingsmaatregelen leiden tot hogere boetes onder de AVG.
ISO 27001 is dus niet alleen een keurmerk, maar ook een risicobeheersinstrument. Wil je weten of ISO 27001-certificering voor jouw organisatie de juiste stap is en wat het traject inhoudt? Bekijk ons aanbod op de certificeringspagina of neem contact op voor een vrijblijvend gesprek.
Veelgestelde vragen
Wat gebeurt er als mijn organisatie onder de NIS2-richtlijn valt maar geen ISO 27001-certificering heeft?
V: Wat gebeurt er als mijn organisatie onder de NIS2-richtlijn valt maar geen ISO 27001-certificering heeft?nA: Als je organisatie onder NIS2 valt, ben je verplicht aantoonbare beveiligingsmaatregelen te treffen en kan het ontbreken van een erkend raamwerk zoals ISO 27001 leiden tot toezichthoudende sancties en juridische aansprakelijkheid. ISO 27001-certificering is de meest praktische manier om aan de NIS2-eisen te voldoen en dit aantoonbaar te maken richting toezichthouders en opdrachtgevers.
Hoe lang duurt het om ISO 27001-certificering te behalen als het contractueel verplicht is gesteld door een opdrachtgever?
V: Hoe lang duurt het om ISO 27001-certificering te behalen als het contractueel verplicht is gesteld door een opdrachtgever?nA: Een ISO 27001-certificeringstraject duurt gemiddeld zes tot twaalf maanden, afhankelijk van de omvang van je organisatie en de volwassenheid van je huidige informatiebeveiliging. Het is verstandig om direct na het ontvangen van een contractuele eis te starten, zodat je tijdig kunt aantonen dat je aan de vereisten voldoet.
Waarom volstaat de BIO niet als vervanging voor ISO 27001 wanneer een opdrachtgever expliciet om certificering vraagt?
V: Waarom volstaat de BIO niet als vervanging voor ISO 27001 wanneer een opdrachtgever expliciet om certificering vraagt?nA: Hoewel de BIO inhoudelijk sterk overeenkomt met ISO 27001, is het een intern normenkader voor overheidsorganisaties zonder extern certificaat, terwijl ISO 27001-certificering wordt afgegeven door een onafhankelijke certificerende instelling. Opdrachtgevers die ISO 27001 eisen, willen juist die onafhankelijke, aantoonbare verificatie van je beveiligingsniveau.
Wanneer is het voor een MKB-bedrijf zinvol om proactief ISO 27001-certificering te halen, ook zonder directe verplichting?
V: Wanneer is het voor een MKB-bedrijf zinvol om proactief ISO 27001-certificering te halen, ook zonder directe verplichting?nA: Het is zinvol voor MKB-bedrijven om proactief te certificeren zodra je actief bent in sectoren zoals IT, zorg of financiële dienstverlening, of wanneer je groeiambities hebt richting grotere opdrachtgevers en aanbestedingen. Een certificaat voorkomt dat je op een cruciaal moment in een verkoopproces wordt uitgesloten en versterkt structureel het vertrouwen van klanten en partners.
