De vraag wordt vaak verkeerd gesteld. NIS2 en ISO 27001 zijn geen alternatieven voor elkaar, want ze zijn niet hetzelfde type ding.
NIS2 is een Europese richtlijn, in Nederland omgezet in de Cyberbeveiligingswet. Het is wetgeving. Je valt eronder of niet, en als je eronder valt is naleving geen keuze.
ISO 27001 is een internationale norm waarop je je vrijwillig kunt laten certificeren. Niemand verplicht je, behalve soms je klanten.
De praktische vraag is dus niet welke van de twee, maar: wat moet ik, wat wil ik, en hoeveel werk doe ik dubbel als ik het verkeerd aanpak.
Het fundamentele verschil
| Cyberbeveiligingswet (NIS2) | ISO 27001 | |
|---|---|---|
| Aard | Wetgeving | Vrijwillige norm |
| Toepassing | Bepaald door sector en omvang | Zelf gekozen scope |
| Toezicht | Toezichthouder, handhaving mogelijk | Certificerende instelling |
| Bewijs | Aantoonbaarheid richting toezichthouder | Certificaat na audit |
| Sanctie | Bestuursrechtelijk, bestuurdersaansprakelijkheid | Verlies of opschorting certificaat |
| Reikwijdte | Zorgplicht, meldplicht, registratieplicht | Managementsysteem voor informatiebeveiliging |
Het belangrijkste verschil in de praktijk: onder de wet bepaal je de scope niet zelf. Bij ISO 27001 wel.
Waar ze overlappen
Aanzienlijk, en dat is goed nieuws.
De zorgplicht onder de Cyberbeveiligingswet vraagt om risicogebaseerde maatregelen op onder meer risicoanalyse, incidentbehandeling, continuïteit, ketenbeveiliging, toegangsbeheer en beveiligingsbewustzijn. Wie een werkend ISMS volgens ISO 27001 heeft, heeft het merendeel daarvan al staan, inclusief de documentatie die nodig is om het aan te tonen.
Een certificaat is geen automatisch bewijs van naleving van de wet. Maar het scheelt in de praktijk het grootste deel van het werk, omdat de onderliggende structuur hetzelfde is: bepaal je risico’s, kies passende maatregelen, leg vast waarom, en toets periodiek of het nog klopt.
Waar ze niet overlappen
Drie punten waar ISO 27001 je niet dekt.
De registratieplicht. Organisaties in scope moeten zich melden bij het NCSC. Geen enkele norm regelt dat voor je.
De meldtermijnen. De wet kent een eigen regime voor het melden van significante incidenten, met een vroegtijdige waarschuwing binnen vierentwintig uur. ISO 27001 vraagt om een incidentproces, maar niet om deze specifieke termijnen richting deze specifieke instantie.
Bestuurdersaansprakelijkheid. De wet legt de eindverantwoordelijkheid expliciet bij het bestuur. Een certificaat verandert daar niets aan.
Omgekeerd vraagt ISO 27001 dingen die de wet niet noemt, zoals een formele directiebeoordeling, een interne auditcyclus en een Verklaring van Toepasselijkheid waarin je per control motiveert waarom die wel of niet van toepassing is.
Hoe je kiest
Val je onder de wet? Dan is dat geen keuze. Begin met de scopebepaling, de registratie en de meldstructuur. Doe de gratis NIS2 zelfevaluatie als je dat nog niet hebt vastgesteld.
Val je er niet onder maar lever je aan partijen die er wel onder vallen? Dan komt de eis via je klanten, en is ISO 27001 doorgaans het efficiëntste antwoord. Eén certificaat beantwoordt de vragenlijsten van alle klanten tegelijk.
Val je onder de wet én heb je klanten die bewijs vragen? Doe beide, maar in de juiste volgorde. Eerst de wettelijke verplichtingen die een harde deadline kennen, daarna het certificeringstraject dat daarop voortbouwt.
Val je er niet onder en vraagt niemand erom? Doe dan geen van beide om de papieren, maar wel de onderliggende maatregelen. De aanvallers maken geen onderscheid.
De volgorde die werk bespaart
Als je beide gaat doen, scheelt deze volgorde maanden.
Begin met één risicoanalyse die beide doelen dient. De grootste verspilling ontstaat als je later een tweede analyse maakt omdat de eerste niet de juiste vorm had.
Bouw daarna één set maatregelen, met per maatregel een verwijzing naar zowel de zorgplichtcategorie als de bijbehorende Annex A control. Dat is extra werk van een paar uur en bespaart een compleet parallel traject.
Houd de meldstructuur apart, want die is wettelijk en kent eigen termijnen en een eigen loket.
Meer over de aanpak: NIS2 stappenplan en ISO 27001 checklist.
Wat het kost
Een certificeringstraject is een investering met een prijskaartje dat je vooraf kunt inschatten; zie ISO 27001 kosten. Naleving van de wet kent geen certificaat en dus geen factuur van een certificerende instelling, maar wel dezelfde interne inspanning.
Wie beide doet en het slim inricht, betaalt niet twee keer. Wie het achter elkaar en los van elkaar doet, wel.
Veelgestelde vragen
Voldoe ik aan NIS2 als ik ISO 27001 gecertificeerd ben? Niet automatisch. Een certificaat dekt een groot deel van de zorgplicht, maar niet de registratieplicht, niet de wettelijke meldtermijnen en niet de bestuurlijke verantwoordelijkheid.
Is ISO 27001 verplicht onder de Cyberbeveiligingswet? Nee. De wet schrijft geen specifieke norm voor. Certificering is een manier om aantoonbaarheid te organiseren, niet de enige.
Wat doe ik eerst? De wettelijke verplichtingen met een deadline: scopebepaling, registratie en het meldproces. Certificering daarna, voortbouwend op wat er dan al staat.
Kan ik één risicoanalyse gebruiken voor beide? Ja, mits je die vanaf het begin zo inricht dat maatregelen zowel naar de zorgplichtcategorieën als naar Annex A verwijzen.
Geldt dit ook als ik een kleine MSP ben? Ook kleine dienstverleners krijgen via ketenverantwoordelijkheid met deze eisen te maken, ook als ze zelf niet in scope vallen.