--- title: "Cyber security ISO 27001: van normeis naar weerbaarheid" description: "Cyber security en ISO 27001 combineren? Ontdek hoe je normeisen vertaalt naar échte digitale weerbaarheid, meetbare KPI's en geteste maatregelen." canonical: https://boemcybersecurity.nl/cyber-security-iso-27001-weerbaarheid/ url: https://boemcybersecurity.nl/cyber-security-iso-27001-weerbaarheid/ last_updated: 2026-10-09T07:35:27+00:00 lang: nl source: BOEM Cybersecurity --- # Cyber security en ISO 27001: hoe je normeisen vertaalt naar échte digitale weerbaarheid - 24/07/2026 - [ISO 27001](https://boemcybersecurity.nl/category/iso-27001/) **Cyber security en ISO 27001 gaan samen wanneer je de normeisen niet als afvinklijst behandelt, maar vertaalt naar concrete beveiligingsmaatregelen, meetbaar gedrag en aantoonbare risicoreductie.** ISO 27001 levert het managementsysteem; échte digitale weerbaarheid ontstaat pas als dat systeem dagelijks werkt in techniek, processen en mensen. In dit artikel lees je hoe je die vertaalslag maakt. Veel organisaties halen een certificaat maar blijven kwetsbaar, omdat cyber security en ISO 27001 losstaan van de praktijk. Hieronder leggen we uit hoe de norm is opgebouwd, hoe je eisen omzet naar weerbaarheid en welke stappen daarbij horen. ## Kort samengevat - **ISO 27001 is een managementstandaard** , geen technische beveiligingsgarantie: het beschrijft hoe je informatiebeveiliging structureel organiseert via een ISMS (Information Security Management System). - De actuele versie is **ISO/IEC 27001:2022** , met in Annex A **93 beveiligingsmaatregelen (controls)** verdeeld over vier thema’s: organisatorisch, mensgericht, fysiek en technologisch. - Weerbaarheid ontstaat door normeisen te vertalen naar **concrete maatregelen, meetbare KPI’s en getest gedrag** — niet door documenten alleen. - Toets je maatregelen met **pentesten, phishing-simulaties en incidentoefeningen** ; alleen dan weet je of ze werken. - ISO 27001 en de **NIS2/Cyberbeveiligingswet** versterken elkaar: een goed ISMS dekt een groot deel van de NIS2-zorgplicht af. ## Wat is ISO 27001 en wat regelt de norm precies? ISO 27001 is de internationale standaard voor een **managementsysteem voor informatiebeveiliging (ISMS)** . De norm beschrijft niet welke firewall je moet kopen, maar hoe je informatiebeveiliging systematisch inricht, uitvoert, meet en verbetert. De actuele versie is **ISO/IEC 27001:2022** . Het hart van de norm bestaat uit verplichte eisen (hoofdstukken 4 tot en met 10) rondom context, leiderschap, risicomanagement, uitvoering, evaluatie en verbetering. Daarnaast bevat **Annex A** een referentieset van **93 beveiligingsmaatregelen** , ingedeeld in vier categorieën: organisatorisch, mensen, fysiek en technologisch. Deze maatregelen zijn geen verplichte checklist: je bepaalt op basis van je risicoanalyse welke van toepassing zijn en legt dit vast in een **Verklaring van Toepasselijkheid (Statement of Applicability)** . De norm werkt volgens de **Plan-Do-Check-Act-cyclus** , gericht op continue verbetering. ## Waarom is een ISO 27001-certificaat geen garantie voor veiligheid? Een ISO 27001-certificaat bewijst dat je een managementsysteem hebt ingericht en onderhoudt — het bewijst niet dat je aanvallen kunt weerstaan. Een auditor toetst vooral of processen aantoonbaar aanwezig en beheerst zijn, niet of je netwerk bestand is tegen een echte aanvaller. Zo kun je een certificaat behalen terwijl een verouderde webapplicatie of zwak wachtwoordbeleid nog steeds een openstaande deur vormt. Het verschil zit in *compliance* versus *weerbaarheid* . Compliance is aantonen dat je aan eisen voldoet; weerbaarheid is daadwerkelijk voorkomen, detecteren en herstellen van incidenten. Meer hierover lees je in ons artikel over [waarom een ISO 27001-certificaat geen garantie is dat je echt beveiligd bent](https://boemcybersecurity.nl/compliance-is-geen-beveiliging-iso-27001/) . Wie beide combineert, gebruikt de norm als fundament én toetst voortdurend of de maatregelen in de praktijk standhouden. ## Hoe vertaal je ISO 27001-normeisen naar échte digitale weerbaarheid? Je vertaalt cyber security en ISO 27001 naar echte weerbaarheid door elke normeis te koppelen aan een concrete maatregel, een verantwoordelijke en een meetbare uitkomst. Volg hiervoor deze stappen: 1. **Begin bij risico’s, niet bij documenten.** Voer een risicoanalyse uit op je belangrijkste informatie en processen. De uitkomst bepaalt welke Annex A-maatregelen echt nodig zijn. 2. **Vertaal maatregelen naar techniek en processen.** Een control als “toegangsbeveiliging” wordt pas weerbaarheid als je multifactorauthenticatie, least-privilege en logging daadwerkelijk inricht. 3. **Beleg eigenaarschap.** Elke maatregel krijgt een verantwoordelijke die rapporteert over werking en afwijkingen. 4. **Maak het meetbaar.** Definieer KPI’s zoals patch-doorlooptijd, phishing-klikpercentage en detectietijd. Zie ook onze uitleg over [digitale weerbaarheid meten met metrics die echt iets zeggen](https://boemcybersecurity.nl/digitale-weerbaarheid-meten-metrics-risicoprofiel/) . 5. **Toets in de praktijk.** Gebruik pentesten, phishing-simulaties en incidentoefeningen om te bewijzen dat maatregelen werken. 6. **Verbeter continu.** Voed audituitkomsten en incidenten terug in de Plan-Do-Check-Act-cyclus. Een gestructureerde [ISO 27001-implementatie](https://boemcybersecurity.nl/iso27001-implementatie/) die vanaf het begin op weerbaarheid stuurt, voorkomt dat je certificaat en werkelijkheid uit elkaar lopen. ## Hoe test je of je ISO 27001-maatregelen echt werken? Je test de werking van je maatregelen door ze aan te vallen en te meten, in plaats van er alleen over te documenteren. Drie beproefde methoden: - **Pentesten:** ethische hackers proberen je webapplicaties, interne netwerk, API’s en Active Directory binnen te dringen. Onze [uitleg over de soorten pentesten](https://boemcybersecurity.nl/soorten-pentesten-uitgelegd/) laat zien wat elk type precies toetst. De bevindingen vertaal je vervolgens naar risicoreductie. - **Phishing-simulaties:** hiermee meet je de menselijke factor — hoeveel medewerkers klikken, melden of gegevens invoeren. Dit is direct gekoppeld aan de mensgerichte controls uit Annex A. - **Incident- en hersteloefeningen:** je test niet alleen preventie, maar ook detectie, respons en herstel, inclusief communicatie richting klanten en toezichthouders. De uitkomsten van deze tests horen terug te komen in je managementreview, zodat de PDCA-cyclus daadwerkelijk stuurt op verbetering. ## Hoe verhouden ISO 27001 en NIS2 zich tot elkaar? ISO 27001 en NIS2 versterken elkaar: ISO 27001 biedt het beheerframework waarmee je een groot deel van de NIS2-zorgplicht aantoonbaar invult. NIS2 is de Europese richtlijn voor netwerk- en informatiebeveiliging; in Nederland wordt deze omgezet in de **Cyberbeveiligingswet** . De EU-implementatiedeadline voor lidstaten was **17 oktober 2024** , maar Nederland heeft die niet gehaald. De Eerste Kamer nam de Cyberbeveiligingswet op 7 juli 2026 aan, waarmee de wet **vanaf 15 augustus 2026 geldt** . Organisaties die onder de wet vallen, krijgen dan te maken met een zorgplicht, een registratieplicht en een meldplicht bij incidenten. Twijfel je of je onder de wet valt, lees dan [hoe je bepaalt of je een essentiële of belangrijke entiteit bent](https://boemcybersecurity.nl/valt-mijn-organisatie-onder-nis2/) . Een goede vergelijking staat in ons artikel [NIS2 vs ISO 27001: wat heeft jouw organisatie nodig?](https://boemcybersecurity.nl/nis2-vs-iso-27001-wat-heeft-jouw-organisatie-nodig/) ## Veelgestelde vragen over cyber security en ISO 27001 ### Wat is het verschil tussen ISO 27001 en cyber security? Cyber security is het geheel van technische en organisatorische maatregelen om digitale dreigingen af te weren. ISO 27001 is de norm die beschrijft hoe je die maatregelen structureel organiseert, meet en verbetert via een managementsysteem (ISMS). ISO 27001 is dus het raamwerk; cyber security is de uitvoering. ### Hoeveel maatregelen kent ISO 27001:2022? ISO/IEC 27001:2022 kent in Annex A 93 beveiligingsmaatregelen, verdeeld over vier thema’s: organisatorisch, mensen, fysiek en technologisch. Dit is een consolidatie van de 114 controls uit de vorige versie (2013). Welke maatregelen op jou van toepassing zijn, bepaal je via je risicoanalyse en leg je vast in de Verklaring van Toepasselijkheid. ### Betekent een ISO 27001-certificaat dat mijn organisatie veilig is? Nee. Een certificaat toont aan dat je een managementsysteem voor informatiebeveiliging hebt ingericht en onderhoudt, maar niet dat je bestand bent tegen concrete aanvallen. Toets de werking daarom altijd met pentesten, phishing-simulaties en incidentoefeningen. ### Voldoe ik met ISO 27001 automatisch aan NIS2? Niet automatisch, maar een goed ingericht ISMS volgens ISO 27001 dekt een groot deel van de NIS2-zorgplicht af. NIS2 stelt aanvullende eisen, onder meer rond meldplicht, ketenverantwoordelijkheid en bestuurdersaansprakelijkheid, die je apart moet borgen. ### Wanneer treedt de Nederlandse NIS2-wetgeving in werking? De Cyberbeveiligingswet (de Nederlandse implementatie van NIS2) treedt op 15 augustus 2026 in werking; de Eerste Kamer nam de wet op 7 juli 2026 aan. De EU-deadline voor omzetting was 17 oktober 2024, die Nederland niet heeft gehaald. Wat er in de norm staat en hoe certificering werkt, lees je op onze pagina over [ISO 27001](https://boemcybersecurity.nl/normen/iso-27001/) . Verder lezen - [Wat is de Cyber Escape Truck? Een verrassende manier om security awareness écht te laten beklijven](https://boemcybersecurity.nl/wat-is-cyber-escape-truck/) - [CISO-werkzaamheden: wat doet een Chief Information Security Officer precies?](https://boemcybersecurity.nl/ciso-chief-information-security-officer-werkzaamheden/) [Christian Boertje](https://boemcybersecurity.nl/christian-boertje/) CEO & Founder · BOEM Cybersecurity en AVG Juristen ### Klaar om je cybersecurity écht op orde te krijgen? In een vrijblijvend kennismakingsgesprek kijken we samen wat er voor jouw organisatie nodig is, concreet en zonder verplichtingen. [Plan een kennismakingsgesprek in](https://meetings-eu1.hubspot.com/yannick-boertje) Direct naar een dienst: [NIS2 Supply Chain](https://boemcybersecurity.nl/nis2-supply-chain/) · [ISO 27001](https://boemcybersecurity.nl/iso27001-implementatie/) · [Pentest](https://boemcybersecurity.nl/pentest-laten-uitvoeren/) · [Security Partner](https://boemcybersecurity.nl/security-partner/) ## Deel dit bericht: [VorigeVorigePenetratietest laten uitvoeren: zo kies je de juiste partij en aanpak](https://boemcybersecurity.nl/penetratietest-laten-uitvoeren/) [VolgendeWat is de Cyber Escape Truck? Een verrassende manier om security awareness écht te laten beklijvenVolgende](https://boemcybersecurity.nl/wat-is-cyber-escape-truck/) ## Meer nieuwtjes ### [Toegangsbeheer: wie mag wat, en hoe leg je dat vast](https://boemcybersecurity.nl/toegangsbeheer-autorisatiematrix/) 12 november 2026 ### [Pentest uitstellen: wanneer wachten verstandig is, en wanneer niet](https://boemcybersecurity.nl/pentest-uitstellen/) 11 november 2026