ISO 27001 en NIS2 zijn twee verschillende kaders voor informatiebeveiliging, maar ze vullen elkaar aan in plaats van te overlappen. ISO 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging waaraan organisaties zich vrijwillig kunnen certificeren. NIS2 is een Europese richtlijn die in Nederland via de Cyberbeveiligingswet wettelijk verplicht is voor organisaties in kritieke sectoren. Het verschil zit dus vooral in de juridische status, de doelgroep en de concrete verplichtingen die voortvloeien uit elk kader. In dit artikel beantwoorden we de meest gestelde vragen over het verschil tussen ISO 27001 en NIS2.
Welke organisaties vallen onder ISO 27001 en welke onder NIS2?
ISO 27001 is een vrijwillige internationale norm die van toepassing is op elke organisatie, ongeacht sector of omvang, die haar informatiebeveiliging structureel wil inrichten en aantoonbaar wil maken. NIS2 is een wettelijke verplichting die geldt voor organisaties in specifieke kritieke sectoren, zoals energie, transport, gezondheidszorg, digitale infrastructuur en de overheid.
Voor ISO 27001 geldt geen wettelijke verplichting. Bedrijven kiezen er zelf voor om zich te laten certificeren, vaak omdat klanten of partners daarom vragen, of omdat zij hun eigen beveiligingsniveau willen professionaliseren. De norm is geschikt voor zowel kleine mkb-bedrijven als grote multinationals.
NIS2 werkt anders. In Nederland vallen ruim 10.000 organisaties direct onder de richtlijn, en naar schatting krijgen 50.000 bedrijven die aan deze groep leveren er eveneens mee te maken. Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder de Cyberbeveiligingswet vallen. Hulpmiddelen daarvoor zijn de NIS2 zelfevaluatietool en de flowchart registratieplicht van het NCSC.
Voor de overheid geldt een aparte categorie binnen NIS2. Ministeries, provincies, gemeenten en waterschappen vallen automatisch onder de wet. Zelfstandige bestuursorganen en gemeenschappelijke regelingen moeten per geval worden beoordeeld. Alle gemeenten, provincies en waterschappen worden aangemerkt als essentiële entiteiten, wat betekent dat zij onder het zwaarste toezichtregime vallen.
Wat zijn de concrete verplichtingen van NIS2 versus ISO 27001?
ISO 27001 verplicht organisaties een Information Security Management System (ISMS) op te zetten, te onderhouden en te laten auditeren door een onafhankelijke certificerende instelling. NIS2 legt organisaties een zorgplicht, een registratieplicht, een meldplicht en een trainingsplicht voor bestuurders op, met bijbehorend toezicht vanuit de overheid.
Verplichtingen onder ISO 27001
Bij ISO 27001 draait het om het aantoonbaar inrichten van een managementsysteem voor informatiebeveiliging. Dat omvat een risicoanalyse, het vaststellen van beveiligingsdoelstellingen, het implementeren van beheersmaatregelen en een jaarlijkse interne audit. Elke drie jaar volgt een hercertificering door een externe auditor. De norm biedt veel flexibiliteit: organisaties kiezen zelf welke beheersmaatregelen zij implementeren op basis van hun risicoanalyse.
Verplichtingen onder NIS2
NIS2 is concreter en dwingender. De minimummaatregelen die de Cyberbeveiligingswet voorschrijft, zijn onder andere:
- Beleid voor risicoanalyse en beveiliging van informatiesystemen
- Maatregelen voor bedrijfscontinuïteit en crisisbeheer
- Beveiliging van de toeleveringsketen (supply chain security)
- Beleid en procedures voor cryptografie en encryptie
- Beveiligingsmaatregelen voor personeel en toegangsbeheer
- Gebruik van multifactorauthenticatie
Daarnaast moeten organisaties significante cyberincidenten binnen 24 uur melden bij het NCSC, gevolgd door een aanvullende melding binnen 72 uur en een eindverslag binnen een maand. Bestuurders zijn verplicht een training te volgen om beveiligingsrisico’s te kunnen beoordelen. Bij niet-naleving kunnen essentiële entiteiten boetes krijgen tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet.
Helpt een ISO 27001-certificering om aan NIS2 te voldoen?
Een ISO 27001-certificering helpt aanzienlijk bij het voldoen aan NIS2, maar is op zichzelf niet voldoende. De overlap tussen beide kaders is groot: veel technische en organisatorische maatregelen die ISO 27001 vereist, komen direct overeen met de zorgplicht onder NIS2. Toch zijn er specifieke NIS2-verplichtingen die buiten de scope van ISO 27001 vallen.
Het ministerie van BZK heeft een mapping gepubliceerd die inzicht geeft in welke NIS2-maatregelen verplicht, optioneel of situationeel zijn en hoe zij zich verhouden tot de ISO/IEC 27002-norm, de praktijkcode die bij ISO 27001 hoort. Hieruit blijkt dat organisaties met een goed ingericht ISMS al een stevige basis hebben voor NIS2-compliance.
Wat ISO 27001 niet dekt, zijn de specifieke wettelijke verplichtingen van NIS2: de registratieplicht bij het NCSC, de meldplicht voor cyberincidenten met vaste termijnen en de trainingsplicht voor bestuurders. Dit zijn juridische verplichtingen die voortvloeien uit de Cyberbeveiligingswet en die losstaan van certificering. Een organisatie met een ISO 27001-certificaat moet deze verplichtingen dus alsnog apart invullen.
Kortom: ISO 27001 is een uitstekend vertrekpunt voor NIS2, maar geen vervanging. Wie al gecertificeerd is, hoeft minder werk te verzetten, maar wie denkt dat certificering automatisch NIS2-compliance oplevert, onderschat de aanvullende juridische eisen.
Wat kost naleving van ISO 27001 en NIS2?
De kosten van ISO 27001-certificering en NIS2-naleving lopen sterk uiteen per organisatie en zijn afhankelijk van de omvang, de huidige volwassenheid van de informatiebeveiliging en de gekozen aanpak. Beide trajecten vragen een investering in tijd, mensen en middelen, maar de aard van die investering verschilt.
Voor ISO 27001 zijn de voornaamste kostenposten:
- Interne uren voor het opzetten en documenteren van het ISMS
- Eventuele externe begeleiding door een consultant
- De certificeringsaudit door een geaccrediteerde instelling
- Jaarlijkse surveillance-audits en hercertificering na drie jaar
Voor NIS2 zijn de kosten minder goed te standaardiseren, omdat zij afhangen van de huidige beveiligingspositie van de organisatie. Organisaties die nog weinig hebben geregeld op het gebied van risicobeheer, supply chain-beveiliging en incidentrespons, zullen aanzienlijk moeten investeren. Organisaties die al werken met een gestructureerd beveiligingsprogramma of een ISO 27001-certificering hebben, kunnen de aanvullende NIS2-verplichtingen relatief snel en kostenefficiënt invullen.
Wat de kosten van niet-naleving betreft: de financiële risico’s van NIS2 zijn aanzienlijk groter. Boetes voor essentiële entiteiten kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Bovendien kan het senior management persoonlijk aansprakelijk worden gesteld voor ernstige overtredingen. Die potentiële schade maakt de investeringskosten voor naleving in de meeste gevallen relatief beperkt.
Moet een organisatie kiezen tussen ISO 27001 en NIS2, of beide implementeren?
Er is geen keuze nodig: ISO 27001 en NIS2 sluiten elkaar niet uit en zijn voor veel organisaties het meest effectief als zij samen worden geïmplementeerd. NIS2 is een wettelijke verplichting voor organisaties in scope, ISO 27001 is een vrijwillige norm. Wie onder NIS2 valt, heeft geen keuze over de wettelijke verplichtingen, maar kan ISO 27001 gebruiken als structuur om aan die verplichtingen te voldoen.
Voor organisaties die niet onder NIS2 vallen, biedt ISO 27001 alsnog een waardevol kader om informatiebeveiliging professioneel in te richten. Klanten, partners en aanbestedende overheden stellen steeds vaker eisen aan aantoonbare beveiliging, en een ISO 27001-certificering geeft daar invulling aan.
Voor organisaties die wel onder NIS2 vallen, is de combinatie van beide kaders strategisch verstandig:
- ISO 27001 biedt structuur, methodiek en een internationaal erkend certificaat
- NIS2 stelt aanvullende juridische verplichtingen die niet door ISO 27001 worden gedekt
- Samen zorgen zij voor een robuust en aantoonbaar beveiligingsprogramma
- De overlap tussen beide kaders betekent dat gecombineerde implementatie efficiënter is dan twee losse trajecten
De praktische aanpak is om te beginnen met een gap-analyse van de huidige beveiligingspositie ten opzichte van beide kaders. Zo wordt snel duidelijk waar de grootste risico’s en lacunes zitten, en welke maatregelen de meeste impact hebben voor zowel ISO 27001-certificering als NIS2-naleving.
Hoe Q-Cyber helpt met ISO 27001 en NIS2
Wij begeleiden organisaties bij het begrijpen, implementeren en naleven van zowel ISO 27001 als de NIS2-verplichtingen onder de Cyberbeveiligingswet. Onze aanpak is pragmatisch, onafhankelijk en afgestemd op uw specifieke situatie. We zijn niet gebonden aan softwarepartijen of andere toeleveranciers, waardoor ons advies altijd in uw belang is.
Wat wij concreet voor u doen:
- Gap-analyse: We brengen in kaart waar uw organisatie staat ten opzichte van ISO 27001 en NIS2 en welke stappen prioriteit hebben
- Beleidsvorming: We schrijven beleid op maat voor risicoanalyse, toegangsbeheer, incidentrespons en supply chain-beveiliging
- Trainingen voor bestuurders: We verzorgen de wettelijk verplichte NIS2-training voor bestuurders en verhogen het bewustzijn in de boardroom
- Begeleiding bij registratie en meldplicht: We helpen bij de registratie bij het NCSC en het inrichten van een werkend meldproces
- Virtuele CISO: Via onze Continuous-Q dienst bieden we doorlopende ondersteuning door een team van specialisten, zonder de kosten van een fulltime CISO
- Technisch testen: We voeren vulnerability scans en pentests uit om kwetsbaarheden te identificeren voordat aanvallers dat doen
De Rijksoverheid adviseert organisaties om niet af te wachten totdat de Cyberbeveiligingswet in werking treedt. De risico’s zijn er nu al. Wilt u weten waar uw organisatie staat en welke stappen u het beste als eerste kunt zetten? Neem contact met ons op voor een vrijblijvend gesprek.
Gerelateerde artikelen
- Voor welke bedrijven geldt NIS2?
- Hoe stel je een informatiebeveiligingsbeleid op?
- Waarom betekent minder gevonden kwetsbaarheden niet automatisch dat je veiliger bent?
- Hoe kies je de juiste cybersecuritypartner voor je mkb?
- Hoe voorkom ik dat ik opnieuw word gehackt?
- Hoe weet ik of mijn webapplicatie veilig genoeg is voor livegang?
- Wat zijn de 3 basisprincipes van informatiebeveiliging?
- Hoe test je IoT apparaten?
- Hoe controleer ik of onze VPN-verbinding veilig is?
- Hoe test ik de beveiliging van mijn eigen website of app?