NIS2 en ISO 27001 worden vaak in één adem genoemd, maar het zijn wezenlijk verschillende dingen. Kort gezegd: NIS2 is een wettelijke verplichting, ISO 27001 is een vrijwillige norm. Wie het onderscheid begrijpt, weet welke van de twee — of allebei — voor de eigen organisatie relevant is.
Wat is NIS2?
NIS2 is een Europese richtlijn (2022/2555) die de digitale weerbaarheid van essentiële en belangrijke organisaties in de EU moet verhogen. Nederland heeft die richtlijn vertaald naar de Cyberbeveiligingswet. Deze wet stelt eisen aan risicobeheer, incidentmelding en bestuurlijke verantwoordelijkheid, en geldt voor organisaties in aangewezen sectoren (zoals energie, transport, gezondheidszorg, digitale infrastructuur en overheid). Val je onder de wet, dan is voldoen géén keuze maar een plicht, met toezicht en mogelijke handhaving.
Wat is ISO 27001?
ISO/IEC 27001 is de internationale norm voor informatiebeveiliging. De norm beschrijft hoe je een managementsysteem voor informatiebeveiliging (ISMS) opzet: een gestructureerde manier om risico’s rond de vertrouwelijkheid, integriteit en beschikbaarheid van informatie te beheersen. Certificering is vrijwillig, maar wordt door klanten en opdrachtgevers steeds vaker gevraagd als bewijs dat je beveiliging op orde is.
De belangrijkste verschillen
| NIS2 (Cyberbeveiligingswet) | ISO 27001 | |
|---|---|---|
| Karakter | Wettelijke verplichting | Vrijwillige norm |
| Reikwijdte | Aangewezen sectoren | Elke organisatie |
| Bewijs | Toezicht door de overheid | Certificaat via audit |
| Focus | Zorgplicht + meldplicht | Managementsysteem (ISMS) |
Elkaar aanvullend, geen concurrenten
Het goede nieuws: NIS2 en ISO 27001 bijten elkaar niet — ze versterken elkaar. Een groot deel van de maatregelen die NIS2 verlangt (risicoanalyse, beleid, incidentprocessen, leveranciersbeheer) zit al in het ISO 27001-raamwerk. Organisaties die ISO 27001 hebben ingevoerd, hebben daardoor een flinke voorsprong bij het aantoonbaar voldoen aan NIS2. Andersom kan NIS2 juist de aanleiding zijn om structuur aan te brengen via ISO 27001.
Wat betekent dit voor jou?
- Val je onder NIS2? Dan is compliance verplicht. Gebruik ISO 27001 als praktisch fundament om er gestructureerd aan te voldoen.
- Val je niet onder NIS2? Dan is ISO 27001 nog steeds waardevol — voor vertrouwen bij klanten en als voorbereiding, want ketenverplichtingen kunnen je alsnog raken via je opdrachtgevers.
Twijfel je of je onder de Cyberbeveiligingswet valt? Een GAP-analyse maakt in korte tijd duidelijk waar je staat en wat er nog nodig is.
FAQ
Is ISO 27001 verplicht onder NIS2?
Nee. ISO 27001 is niet wettelijk verplicht, ook niet onder NIS2. Wél helpt de norm om aantoonbaar aan de NIS2-eisen te voldoen, omdat veel maatregelen overlappen.
Voldoe ik automatisch aan NIS2 als ik ISO 27001-gecertificeerd ben?
Niet automatisch. ISO 27001 dekt een groot deel af, maar NIS2 stelt aanvullende eisen, zoals specifieke meldplichten en bestuurlijke verantwoordelijkheid. Een aanvullende toets is nodig.
Hoe weet ik of mijn organisatie onder NIS2 valt?
Dat hangt af van je sector en omvang. De overheid heeft sectoren en drempels aangewezen; een GAP-analyse of quickscan geeft snel uitsluitsel.
Wat kan ik nu al doen?
Begin met een risicoanalyse en breng je huidige beveiliging in kaart. Dat is nuttig voor zowel ISO 27001 als NIS2.
*Interne links: pillar NIS2 (/nis2-cyberbeveiligingswet-cbw/), pillar ISO 27001 (/iso27001-implementatie/), GAP-analyse (/gap-analyse-informatiebeveiliging…/).*
