NIS2 vs ISO 27001: wet versus norm

Twee begrippen die voortdurend door elkaar lopen. Het korte antwoord: NIS2 (de Cyberbeveiligingswet) is een wettelijke verplichting waar u aan móét voldoen als u eronder valt. ISO 27001 is een vrijwillige norm met een certificaat dat u kúnt halen. Ze overlappen sterk, maar het een vervangt het ander niet.

De verschillen op een rij

Geeft ISO 27001 automatisch NIS2-compliance?

Nee, maar het scheelt veel. Wie serieus ISO 27001-gecertificeerd is, heeft de meeste zorgplicht-maatregelen al staan. Wat er nog bij komt: de registratieplicht, de specifieke 24-uurs meldplicht, de bestuursverplichtingen en een aantal accenten zoals ketenbeoordeling. Andersom geldt ook: NIS2-compliance levert geen ISO-certificaat op.

Wat heeft u nodig?

• U valt onder de wet en klanten vragen niet om certificering: voldoe aan NIS2, sla het certificaat over. Dat scheelt tienduizenden euro's
• Grote klanten of aanbestedingen eisen ISO 27001: certificeer, en u dekt meteen het grootste deel van NIS2 af
• U bent toeleverancier zonder eigen plicht: een leveranciersverklaring met aantoonbare basismaatregelen is meestal voldoende en veel sneller geregeld

Waar de twee elkaar overlappen

ISO 27001 is een norm voor een managementsysteem voor informatiebeveiliging. NIS2 is een wet. Ze vragen deels hetzelfde, maar met een ander doel: de norm wil dat u een werkend systeem heeft, de wet wil dat de dienst die u levert blijft draaien.

Kort samengevat: met een actueel ISO 27001-certificaat heeft u het grootste deel van de zorgplicht al ingevuld. Wat u nog moet regelen zijn de wettelijke onderdelen: registreren, de meldprocedure met de juiste termijnen, en het formele bestuursbesluit met de training.

Waarom een certificaat niet verplicht is

De wet noemt geen enkele norm als vereiste. Dat is een bewuste keuze: certificering kost tienduizenden euro's en zou voor duizenden middelgrote organisaties een onevenredige drempel zijn. Wat de wet wel vraagt is dat uw maatregelen passend en evenredig zijn, en dat u dat kunt aantonen.

Een certificaat is dus geen doel maar een bewijsmiddel, en niet het enige. Een goed onderhouden dossier met beleid, risicoanalyse, testverslagen en bestuursbesluiten doet hetzelfde werk richting de toezichthouder, tegen een fractie van de kosten.

Wanneer certificeren toch verstandig is

• Uw klanten vragen erom. In aanbestedingen en bij grote opdrachtgevers is ISO 27001 vaak een harde eis. Dan is het een commerciële investering, geen compliance-uitgave.
• U werkt internationaal. Een certificaat is over de grens herkenbaar, uw eigen dossier niet.
• U bent groot en complex. Bij meerdere vestigingen of entiteiten geeft een managementsysteem structuur die u anders zelf moet bedenken.

Werkt u in de zorg, kijk dan naar NEN 7510 in plaats van ISO 27001: dat is de Nederlandse norm voor informatiebeveiliging in de zorg en sluit beter aan bij wat zorgpartners vragen.

De volgorde als u beide wilt

Begin met de wet, niet met de norm. De wet heeft een deadline en de norm niet. Bouw eerst het dossier dat de zorgplicht afdekt, want dat is negentig procent van wat een certificeringsaudit ook wil zien. Als u later alsnog certificeert, gebruikt u datzelfde dossier als basis en betaalt u alleen nog voor de audit en de laatste aanvullingen.

Andersom werkt slecht: een certificeringstraject duurt vaak een jaar, en in die tijd staat uw wettelijke verplichting stil.

Wat u overhoudt aan een ISO-traject

Organisaties die al gecertificeerd zijn, ontdekken vaak dat ze verder zijn dan gedacht. Wat u uit een bestaand ISO-traject direct kunt hergebruiken voor de wet:

• De risicoanalyse, mits u hem aanvult met de vraag wat uitval betekent voor de dienst die u aan de buitenwereld levert.
• Het beveiligingsbeleid en de verklaring van toepasselijkheid, vrijwel ongewijzigd.
• De leveranciersbeoordelingen, aangevuld met afspraken over melden binnen 24 uur.
• De trainingsregistratie, aangevuld met een aparte bestuurstraining.
• De interne audits, die dienen als bewijs dat u de effectiviteit meet.

Wat u nieuw moet maken is kort: de registratie, een meldprocedure met de wettelijke termijnen, en een bestuursbesluit waarin staat dat het bestuur de maatregelen heeft goedgekeurd. Dat is een middag werk, geen traject.

Wat als u al middenin een certificeringstraject zit

Loopt uw ISO 27001-traject al en verandert de wet ondertussen niets aan uw planning: rond het traject af zoals gepland, maar til de registratie en de meldroute er apart uit en regel die los. Die twee hebben een wettelijke deadline die niet wacht op uw auditdatum.

Veelgestelde vragen

Voldoe ik met ISO 27001 automatisch aan NIS2?

Nee. U heeft dan het grootste deel van de maatregelen ingevuld, maar de registratieplicht, de meldtermijnen van 24 en 72 uur en de verplichte bestuurstraining komen uit de wet en staan niet in de norm.

Wat kost ISO 27001 ten opzichte van zelf een dossier opbouwen?

Een certificeringstraject inclusief begeleiding en audit loopt voor een middelgrote organisatie al snel in de tienduizenden euro's, met jaarlijkse audits erna. Een eigen dossier opbouwen kost vooral interne uren en een fractie van dat bedrag.

Accepteert de toezichthouder een ISO-certificaat als bewijs?

Een certificaat is sterk bewijs dat uw managementsysteem werkt, maar het ontslaat u niet van de wettelijke onderdelen. De toezichthouder kijkt naar de wet, niet naar de norm, en zal alsnog vragen naar uw registratie en uw meldprocedure.

Is SOC 2 een alternatief?

SOC 2 is vooral gangbaar bij Amerikaanse afnemers en richt zich op de dienstverlening aan klanten. Voor de Nederlandse toezichthouder zegt het minder dan ISO 27001, omdat het geen managementsysteem certificeert maar een verklaring van een accountant is over een periode.

Onze auditor kent de Cyberbeveiligingswet niet goed, is dat een probleem?

Voor de certificering niet, een auditor toetst de norm. Voor de wettelijke onderdelen heeft u sowieso een eigen dossier nodig naast het certificaat.

Kunnen wij de wettelijke registratie meenemen in de ISO-audit?

Nee, dat zijn gescheiden trajecten bij gescheiden instanties. Regel de registratie apart, ongeacht waar u in het certificeringstraject zit.

Is NEN 7510 een vervanging van ISO 27001 of een aanvulling?

Voor zorgorganisaties is NEN 7510 gebaseerd op ISO 27001 met zorgspecifieke aanvullingen. Kiest u voor de zorg, dan is NEN 7510 het gangbare alternatief in plaats van los ISO 27001.