Een ISO 27001-certificaat bewijst dat je een managementsysteem voor informatiebeveiliging hebt ingericht en laat toetsen — het bewijst niet dat je op dit moment daadwerkelijk veilig bent. Compliance is geen beveiliging: het is een momentopname van je proces, geen garantie tegen aanvallers.
Veel directies denken na het behalen van hun ISO 27001-certificaat dat de kous af is. Dat is een gevaarlijk misverstand. In dit artikel leggen we uit waarom compliance is geen beveiliging, waar het verschil zit, en hoe je een certificaat vertaalt naar echte digitale weerbaarheid.
Kort samengevat
- Compliance is geen beveiliging: een certificaat toont aan dat je proces voldoet aan een norm, niet dat je aanvallen daadwerkelijk kunt stoppen.
- ISO 27001 toetst je managementsysteem (ISMS), niet je actuele weerbaarheid: de auditor kijkt naar opzet, bestaan en werking van beheersmaatregelen, meestal via steekproeven.
- Een certificaat is een momentopname: je dreigingslandschap verandert dagelijks, terwijl je audit een keer per jaar plaatsvindt.
- Papieren compliance (“papieren tijger”) is een reële valkuil: beleid dat wel op papier staat maar niet in de praktijk leeft, biedt schijnzekerheid.
- Echte weerbaarheid vraagt om aanvullend testen: pentesten, security awareness, ketenbeheersing en directiebetrokkenheid maken het verschil tussen “gecertificeerd” en “veilig”.
Wat betekent “compliance is geen beveiliging” precies?
Compliance is geen beveiliging betekent dat het voldoen aan een norm, wet of standaard (zoals ISO 27001, NIS2 of DORA) niet hetzelfde is als beschermd zijn tegen cyberaanvallen. Compliance meet of je aantoonbaar de juiste afspraken, processen en beheersmaatregelen hèbt ingericht. Beveiliging meet of die maatregelen in de praktijk daadwerkelijk een aanvaller tegenhouden. Je kunt volledig compliant zijn en tegelijk kwetsbaar, bijvoorbeeld door een verkeerd geconfigureerde server, een medewerker die op een phishinglink klikt, of een leverancier die gehackt wordt.
Het is te vergelijken met een APK-keuring: die toont aan dat de auto op het meetmoment aan de eisen voldeed, maar geeft geen garantie dat je nooit een ongeluk krijgt. Zo werkt certificering ook.
Wat toetst een ISO 27001-certificaat wel en niet?
ISO 27001 — in de huidige versie ISO/IEC 27001:2022 — is de internationale norm voor een Information Security Management System (ISMS), oftewel een managementsysteem voor informatiebeveiliging. Een certificaat toont aan dat je organisatie een systematische aanpak heeft om informatierisico’s te beheersen. Het toetst echter niet je actuele technische weerbaarheid.
Wat een ISO 27001-certificaat wèl aantoont
- Dat je risico’s systematisch identificeert, beoordeelt en behandelt.
- Dat je beleid, procedures en verantwoordelijkheden hebt vastgelegd.
- Dat je beheersmaatregelen hebt gekozen en (deels) geïmplementeerd.
- Dat een onafhankelijke auditor de opzet, het bestaan en de werking heeft getoetst — meestal via steekproeven.
Wat een ISO 27001-certificaat níet garandeert
- Dat er op dit moment geen exploiteerbare kwetsbaarheden in je systemen zitten.
- Dat je medewerkers een gerichte phishing- of social-engineeringaanval herkennen.
- Dat je leveranciers en ketenpartners even goed beveiligd zijn als jij.
- Dat je een echte aanval snel detecteert en effectief afslaat.
De auditor kijkt naar de opzet en werking van je systeem, niet naar elke server, elk endpoint of elke regel code. Daardoor blijft er ruimte tussen “voldoet aan de norm” en “is bestand tegen een aanvaller”.
Waarom is een certificaat slechts een momentopname?
Een ISO 27001-certificaat is geldig voor een bepaalde periode, met tussentijdse controle-audits. Cyberdreigingen ontwikkelen zich echter continu: er komen dagelijks nieuwe kwetsbaarheden en aanvalstechnieken bij. Tussen twee audits door kan er veel veranderen — nieuwe software, nieuwe leveranciers, personeelswisselingen of een configuratiefout. Het certificaat bevriest als het ware een moment in de tijd, terwijl je aanvalsoppervlak dagelijks meebeweegt.
Bovendien verandert ook de norm zelf, zoals de overgang van ISO 27001:2013 naar ISO/IEC 27001:2022. Wie zich uitsluitend richt op het behalen en behouden van het certificaat, loopt het risico dat de onderliggende beveiliging op de achtergrond raakt.
Hoe ontstaat een “papieren tijger” en waarom is dat gevaarlijk?
Een papieren tijger is een informatiebeveiligingssysteem dat op papier indrukwekkend oogt, maar in de praktijk niet leeft. Het beleid bestaat, de documenten zijn compleet en de audit is gehaald — maar niemand handelt er echt naar. Dat ontstaat vaak wanneer een organisatie certificering als eindpunt ziet in plaats van als startpunt.
Signalen van een papieren tijger zijn onder meer:
- Beleid dat medewerkers nog nooit gelezen of toegepast hebben.
- Een risicoanalyse die na de audit in een la verdwijnt.
- Beheersmaatregelen die “geïmplementeerd” heten, maar niet worden gehandhaafd.
- Compliance die wordt bijgehouden in verouderde Excel-lijsten in plaats van in levende processen.
Het gevaar is schijnzekerheid: de directie denkt beschermd te zijn, terwijl de werkelijke risico’s onbeheerst blijven. Wil je weten hoe je dit voorkomt? Lees dan hoe je ISO 27001 invoert zonder papieren tijger en grip houdt op echte risico’s.
Hoe verhouden ISO 27001, NIS2 en DORA zich tot elkaar?
ISO 27001 is een vrijwillige internationale norm, terwijl NIS2 en DORA wettelijke verplichtingen zijn voor specifieke sectoren. Ze versterken elkaar, maar dekken niet exact hetzelfde af:
- ISO 27001:2022: internationale norm voor een managementsysteem voor informatiebeveiliging. Certificering is een keuze, geen wettelijke plicht.
- NIS2 / Cyberbeveiligingswet: de Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn en treedt in werking op 15 augustus 2026. De wet verplicht organisaties in kritieke en belangrijke sectoren tot zorgplicht, meldplicht en toezicht.
- DORA: de Digital Operational Resilience Act is een Europese verordening voor de financiële sector die van toepassing is sinds 17 januari 2025 en direct geldt in alle EU-lidstaten.
Belangrijk: geen van deze frameworks garandeert op zichzelf dat je veilig bent. Ze schrijven voor óf je iets geregeld hebt, niet altijd hóé goed het in de praktijk werkt. Twijfel je wat jouw organisatie nodig heeft? Vergelijk dan NIS2-compliance versus ISO 27001 voor het mkb.
Hoe vertaal je een certificaat naar echte digitale weerbaarheid?
Om de kloof tussen compliance en beveiliging te dichten, moet je aantonen dat je maatregelen in de praktijk werken — tegen een echte aanvaller. Dat doe je door je certificering aan te vullen met continu testen, trainen en ketenbeheersing.
Concrete stappen om van compliant naar echt veilig te gaan
- Laat pentesten uitvoeren: laat ethische hackers je webapplicaties, interne netwerken, API’s, Active Directory en phishingweerbaarheid daadwerkelijk aanvallen om kwetsbaarheden te vinden vóór criminelen dat doen.
- Investeer in security awareness: techniek stopt niet elke aanval; getrainde medewerkers vormen een cruciale verdedigingslinie tegen phishing en social engineering.
- Beheers je supply chain: je bent medeverantwoordelijk voor de beveiliging van je leveranciers. Breng ketenrisico’s in kaart, bijvoorbeeld met een NIS2 Supply Chain-audit.
- Maak de directie securitybewust: weerbaarheid begint bij bestuurlijke betrokkenheid, niet bij een certificaat in de kast.
- Herhaal en monitor continu: behandel beveiliging als een doorlopend proces met periodieke tests, niet als een jaarlijkse audit.
Zo verander je een statisch certificaat in een levend beveiligingsprogramma waarin compliance èn weerbaarheid samengaan.
Veelgestelde vragen
Betekent ISO 27001 dat mijn organisatie niet gehackt kan worden?
Nee. ISO 27001 toont aan dat je een managementsysteem voor informatiebeveiliging hebt ingericht en laat toetsen, maar het garandeert niet dat aanvallers geen toegang krijgen. Compliance is geen beveiliging; ook een gecertificeerde organisatie kan slachtoffer worden van een cyberaanval.
Waarom is compliance geen beveiliging?
Omdat compliance meet of je de juiste processen en maatregelen hèbt vastgelegd, terwijl beveiliging meet of die maatregelen een echte aanvaller tegenhouden. Een certificaat is een momentopname van je proces; het dreigingslandschap verandert dagelijks.
Wat is een “papieren tijger” in informatiebeveiliging?
Een papieren tijger is een beveiligingssysteem dat op papier compleet lijkt — met beleid, procedures en een behaalde audit — maar in de praktijk niet wordt nageleefd. Het geeft schijnzekerheid, omdat de werkelijke risico’s onbeheerst blijven.
Hoe maak ik van mijn ISO 27001-certificaat echte veiligheid?
Vul je certificering aan met pentesten, security awareness-trainingen, supply chain-beheersing en directiebetrokkenheid. Zo toon je aan dat je maatregelen ook tegen een echte aanvaller werken, en behandel je beveiliging als een doorlopend proces.
Verplicht NIS2 of DORA een ISO 27001-certificaat?
Nee, noch de Cyberbeveiligingswet (NIS2) noch DORA verplicht expliciet een ISO 27001-certificaat. ISO 27001 kan wel helpen om aantoonbaar aan de zorgplicht te voldoen, maar wettelijke compliance en een certificaat zijn niet hetzelfde als daadwerkelijke weerbaarheid.
Van gecertificeerd naar echt weerbaar
Een certificaat is een waardevol vertrekpunt, geen eindstation. Wil je zeker weten of je maatregelen ook tegen een echte aanvaller standhouden? BOEM Cybersecurity helpt organisaties de kloof tussen compliance en beveiliging te dichten — met pentesten door de grootste ethische hackingcommunity van Nederland, security awareness en een confronterende NIS2-directietraining met live darkweb-sessie, waarin een ethisch hacker laat zien welke gegevens van jouw organisatie op het dark web te vinden zijn. Zo wordt beveiliging ècht — en niet alleen aantoonbaar op papier.
Lees ook: meer over ISO 27001-implementatie en information security frameworks.
