NIS2 vs ISO 27001 is geen keuze tussen twee alternatieven. NIS2 is een wet die sinds 15 augustus 2026 geldt voor ongeveer 8.000 organisaties; ISO 27001 is een vrijwillige norm met 93 beheersmaatregelen. De echte keuze is hoe je naleving aantoont, en daarvoor zijn drie routes: het CBW-framework (26 maatregelen, geen certificaat), NIS2 Supply Chain (Nederlands certificaat) of ISO 27001 (internationaal certificaat, gemiddeld 15.000 euro).
In het kort
- NIS2 is verplicht als je sector en omvang dat bepalen; ISO 27001 is altijd vrijwillig.
- De Cyberbeveiligingswet geldt sinds 15 augustus 2026, voor ongeveer 8.000 organisaties.
- Er zijn drie routes: het CBW-framework (de wet, zonder certificaat), NIS2 Supply Chain (een Nederlands certificaat) en ISO 27001 (een internationaal certificaat).
- Geen certificaat neemt de registratie bij het NCSC, de meldtermijnen of de verantwoordelijkheid van je bestuur van je over.
- De risicoanalyse is voor elke route vrijwel gelijk. Je kunt dus beginnen voordat je kiest.
Wat is het verschil tussen NIS2 vs ISO 27001 in één zin?
NIS2 zegt dát je je informatiebeveiliging op orde moet hebben, ISO 27001 zegt hóe je dat aantoonbaar organiseert.
NIS2 is een Europese richtlijn, in Nederland uitgewerkt in de Cyberbeveiligingswet. Die wet is op 15 augustus 2026 in werking getreden, nadat de Eerste Kamer er op 7 juli 2026 mee instemde. Sindsdien geldt voor ongeveer 8.000 Nederlandse organisaties een zorgplicht, een meldplicht, een registratieplicht en toezicht met sancties.
ISO 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging. Niemand verplicht je die in te voeren. Je doet het omdat klanten erom vragen, omdat je in aanbestedingen wilt meedoen, of omdat je zelf structuur wilt in plaats van losse maatregelen.
Val je onder NIS2?
Dat hangt af van je sector en je omvang. Bijlage 1 van de wet bevat de sectoren van hoog kritiek belang, zoals energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur en het beheer van ICT-diensten. Bijlage 2 bevat andere kritieke sectoren, zoals post, afvalbeheer, chemie, levensmiddelen, industrie en digitale aanbieders. Grote organisaties in bijlage 1 zijn essentiële entiteiten, de rest is belangrijk. Het verschil zit vooral in het toezicht: bij essentiële entiteiten is dat actief, bij belangrijke entiteiten achteraf en naar aanleiding van signalen.
Dit is de stap die het vaakst wordt overgeslagen, en de enige die je echt eerst moet zetten. In ons artikel over of jouw organisatie onder NIS2 valt loop je die toets stap voor stap door. Val je er niet onder, dan is de rest van dit artikel alsnog relevant: klanten die er wél onder vallen, leggen hun eisen aan jou door.
Drie routes, niet twee
Wie NIS2 vs ISO 27001 vergelijkt, ziet vaak de route ertussen over het hoofd. In de praktijk liggen er drie op tafel, en in onze gesprekken komen ze alle drie geregeld langs.
- Het CBW-framework. Opgesteld door de Auditdienst Rijk en NOREA, met beheersmaatregelen die rechtstreeks uit de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit komen. Je toont zelf aan dat je voldoet, aan de hand van een volwassenheidsmodel met vijf niveaus. Er komt geen certificaat aan te pas.
- NIS2 Supply Chain. Een Nederlands certificaat in drie niveaus: SC10, SC20 en SC30. Het is bedoeld voor leveranciers die aan de keteneisen van NIS2-plichtige klanten moeten voldoen. Lichter dan ISO 27001, maar wel met een audit en een certificaat.
- ISO 27001. De internationale norm, met 93 beheersmaatregelen in de bijlage, een certificeringsaudit en jaarlijkse controle-audits om het certificaat te houden.
| CBW-framework | NIS2 Supply Chain | ISO 27001 | |
|---|---|---|---|
| Wat je krijgt | aantoonbaar voldoen aan de wet | Nederlands certificaat | internationaal certificaat |
| Wie toetst | jijzelf; de toezichthouder kan controleren | certificerende instelling | certificerende instelling |
| Begeleiding bij BOEM | 7000 tot 14.000 euro | 1800 tot 6000 euro, per niveau | gemiddeld circa 15.000 euro |
| Wat er nog bij komt | geen certificeringskosten | certificeringsaudit | certificeringsaudit en jaarlijkse audits |
Meer over de niveaus lees je bij NIS2 Supply Chain; de wettelijke route staat uitgewerkt bij het CBW-framework.
Dekt ISO 27001 je NIS2-verplichting af?
Dit is bij NIS2 vs ISO 27001 de vraag die we het vaakst krijgen. Het antwoord: voor een groot deel wel, en daarom worden de twee zo vaak in één adem genoemd. Maar een certificaat stelt je niet vrij. Wat ISO 27001 wél invult van de zorgplicht:
- Risicobeheer. Het hart van de norm, en het hart van de zorgplicht.
- Beleid en verantwoordelijkheden. Vastgelegd, goedgekeurd en periodiek herzien.
- Incidentafhandeling. Een procedure die is getest in plaats van bedacht.
- Bedrijfscontinuïteit. Inclusief back-up en herstel.
- Leveranciersbeheer. Sluit direct aan op wat NIS2 over de keten vraagt.
- Toegangsbeheer, versleuteling en awareness. Allemaal expliciet benoemd.
Wat er niet in zit, en waar je dus zelf iets voor moet regelen. Dat geldt net zo voor NIS2 Supply Chain:
- Registratie bij het NCSC. Een wettelijke handeling, geen beheersmaatregel. Hoe dat gaat, lees je bij de NIS2-registratieplicht.
- De wettelijke meldtermijnen. Een procedure die zegt “we melden onverwijld” voldoet niet; lees de meldtermijnen bij een incident.
- De verantwoordelijkheid van je bestuur. Bestuurders moeten de risico’s kennen, de maatregelen goedkeuren en scholing volgen. Dat is persoonlijk en niet te delegeren; zie waar de directie op aanspreekbaar is.
Wat we in de praktijk zien
Sinds het voorjaar spraken we tientallen organisaties die voor de afweging NIS2 vs ISO 27001 stonden, en we begeleiden trajecten langs alle drie de routes. Een paar patronen komen steeds terug.
De vraag komt van buiten
Bijna nooit begint het bij de wet zelf. Een klant stuurt een vragenlijst, een opdrachtgever zet eisen in het contract, of een aanbesteding vraagt om een certificaat. Ook organisaties die net onder de drempel vallen, krijgen zo met NIS2 te maken. Wie die vragenlijsten steeds met de hand invult, merkt hoeveel tijd dat kost. Een certificaat beantwoordt ze in één keer.
De techniek is zelden het probleem
In de GAP-analyses die we uitvoeren, is het beeld opvallend vaak hetzelfde: de maatregelen bestaan, maar ze staan nergens. Back-ups draaien, toegang is geregeld, de IT-partner patcht. Wat ontbreekt, zijn het beleid, de vastlegging en het bewijs. Daarom voelt ISO 27001 voor sommige organisaties als papierwerk. Dat is het deels ook, maar juist die vastlegging wil een auditor, een klant of een toezichthouder zien. Wat zo’n analyse oplevert, lees je bij de GAP-analyse informatiebeveiliging.
ISO 27001 voelt zwaar, maar dat is geen reden om te wachten
Een terugkerende zorg is dat ISO 27001 te veel vraagt naast het gewone werk. Dan helpt het om te weten dat de eerste stap voor elke route vrijwel gelijk is: een risicoanalyse. Met de uitkomst schat je per route in hoeveel werk het wordt, en pas daarna kies je. Die keuze kan zonder bezwaar een paar maanden wachten.
Eerst de wet, dan het certificaat
Een aanpak die we ook uitvoeren: eerst het CBW-framework, om aan de wet te voldoen, en daarna doorbouwen naar een managementsysteem volgens ISO 27001. Certificeren is dan geen doel, maar het kan later zonder dat je opnieuw begint. Andersom werkt het minder goed. Wie met NIS2 Supply Chain begint en een paar jaar later toch ISO 27001 nodig heeft, doet een deel van het werk opnieuw.
De registratie wordt vergeten
In meerdere trajecten die na 15 augustus begonnen, bleek de registratie bij het NCSC nog niet gedaan. Dat is een wettelijke verplichting, en geen enkele norm regelt hem voor je. Het is ook de snelste actie van het hele traject. Doe die dus eerst.
Bij een groep is de eerste vraag: welke bv?
Bij holdings en groepen komt er een vraag bij: valt de groep eronder, of alleen bepaalde werkmaatschappijen? Soms heeft het moederbedrijf al een certificaat of een vaste partij, en sluit je daarop aan. Soms begin je bij de grootste werkmaatschappij en rol je het daarna uit. Leg die afbakening vast voordat je een route kiest, want ze bepaalt de scope van alles wat volgt.
NIS2 vs ISO 27001: welke route past bij jouw situatie?
Vijf situaties dekken vrijwel alles af.
- Je valt onder NIS2 en niemand vraagt om een certificaat. Het CBW-framework is dan de kortste weg naar aantoonbaar voldoen. Je bespaart de kosten van een certificerende instelling en van jaarlijkse audits.
- Je valt onder NIS2 en klanten vragen om ISO 27001. Doe het in één traject. Je bouwt hetzelfde systeem, en de certificering is de bevestiging naar buiten.
- Je verwerkt gevoelige gegevens, zoals bijzondere persoonsgegevens. Dan adviseren we meestal ISO 27001, ook als niemand erom vraagt. Een openbaar certificaat laat zien dat je zorgvuldig bent geweest, en dat weegt zwaar als er ooit iets misgaat.
- Je valt er niet onder, maar je klanten wel. Dan komt de eis via het contract binnen; lees wat je in leverancierscontracten vastlegt. Bedien je vooral Nederlandse klanten, dan is NIS2 Supply Chain vaak voldoende. Werk je internationaal, of verwacht je dat klanten later om ISO 27001 vragen, dan is ISO 27001 de investering die je maar één keer doet.
- Je valt er niet onder en niemand vraagt erom. Doe het dan omdat je het zelf wilt, of doe het niet. Maar maak die keuze bewust en leg vast waarom, want de vraag komt vroeg of laat terug.
Wat kost het en hoe lang duurt het?
De prijs is bij de afweging NIS2 vs ISO 27001 vaak doorslaggevend, dus concreet. Een ISO 27001-implementatie kost bij ons gemiddeld ongeveer 15.000 euro, met een bandbreedte van circa 9000 tot 20.000 euro. Daar komt de certificerende instelling bij; die is onafhankelijk en factureert apart. Een implementatie via het CBW-framework kost doorgaans 7000 tot 14.000 euro. De begeleiding bij NIS2 Supply Chain ligt tussen 1800 en 6000 euro, afhankelijk van het niveau, plus de certificeringsaudit.
Wat het bij jou wordt, hangt vooral af van je scope en van de vraag of je het werk zelf doet onder begeleiding of laat doen. Een scope die de hele organisatie omvat, kost een veelvoud van een scope rond één dienst of één locatie. Hoe je die afbakening maakt zonder jezelf later klem te zetten, staat in ISO 27001-scope bepalen. Je kiest voor een vaste prijs vooraf, of voor ons dagtarief van 1200 euro waarmee je per stap bijstuurt.
We starten meestal met een GAP-analyse voor een vaste prijs van 3000 euro. Verplicht is dat niet, maar zonder dat beeld is elke offerte een schatting. De opbouw van de kosten staat in ons artikel over wat een ISO 27001-implementatie kost.
Reken voor ISO 27001 op vier tot negen maanden tot certificering, afhankelijk van je startpunt en van hoe snel je organisatie beslissingen neemt. Die tweede factor wordt consequent onderschat.
Waar begin je?
Met de toets of je onder de wet valt, en dan met de registratie als dat zo is. Pas daarna kies je de route. Bij NIS2 vs ISO 27001 komt de wet dus altijd eerst. Die volgorde is niet willekeurig: als je onder NIS2 valt, heb je een deadline die niet van jou is, en dan bepaalt de wet je tempo. Certificeren kan altijd nog.
Zet daarna drie dingen op papier. Je scope: wat doet wel en niet mee. Je uitgangssituatie: wat staat er al aan beleid, maatregelen en bewijs. En je bewijslast: welke documenten heb je nodig om aan te tonen dat het werkt, waaronder de Verklaring van Toepasselijkheid.
Wil je gestructureerd langs alle punten, gebruik dan de NIS2-compliance checklist. Wil je het uitbesteden, dan doen we het via ISO 27001-implementatie of via NIS2-implementatie. Zoek je iemand die het structureel bewaakt in plaats van één project, dan past een security partner beter.
Nog één ding dat vaak vergeten wordt: de scholing van je bestuur is een wettelijke eis, geen aanbeveling. Daar is onze NIS2-directietraining voor bedoeld.
Veelgestelde vragen
Vervangt ISO 27001 de NIS2-verplichting?
Nee. Een certificaat maakt je niet vrijgesteld. ISO 27001 vult wel het grootste deel van de zorgplicht in: risicobeheer, beleid, incidentafhandeling, continuïteit en leveranciersbeheer zitten er allemaal in. Wat het niet regelt, zijn de registratie bij het NCSC, de wettelijke meldtermijnen en de verantwoordelijkheid van je bestuurders.
Wat is het verschil tussen het CBW-framework en NIS2 Supply Chain?
Met het CBW-framework toon je zelf aan dat je aan de Cyberbeveiligingswet voldoet, zonder certificaat. NIS2 Supply Chain is een Nederlands certificaat in drie niveaus, bedoeld voor leveranciers die aan de keteneisen van NIS2-plichtige klanten moeten voldoen. Daar hoort een audit door een certificerende instelling bij.
Kan ik de keuze NIS2 vs ISO 27001 uitstellen?
Ja. De risicoanalyse waarmee elk traject begint, is voor het CBW-framework en ISO 27001 vrijwel gelijk. Je kunt daarmee beginnen en de keuze voor de route een paar maanden later maken, als je weet hoeveel werk elke route voor jouw organisatie betekent.
Wat kost een ISO 27001-implementatie?
Bij BOEM gemiddeld ongeveer 15.000 euro, met een bandbreedte van circa 9000 tot 20.000 euro. Daar komen de kosten van de certificerende instelling en de jaarlijkse audits bij. Een implementatie via het CBW-framework kost doorgaans 7000 tot 14.000 euro, zonder certificeringskosten.
Kun je aan allebei tegelijk werken?
Dat is meestal de verstandigste route als je onder NIS2 valt en ook een certificaat wilt. Je bouwt één managementsysteem en gebruikt dat om zowel de zorgplicht aan te tonen als het certificaat te halen. Dubbel werk ontstaat alleen als je er twee projecten van maakt.
Is ISO 27001 verplicht als je onder NIS2 valt?
Nee. De Cyberbeveiligingswet schrijft geen certificaat voor. Je moet aantoonbaar aan de zorgplicht voldoen, en dat kan met het CBW-framework zonder certificaat. ISO 27001 is de route die kiest wie ook klanten of aanbestedingen een internationaal erkend bewijs wil laten zien.
Wat vraagt NIS2 dat niet in ISO 27001 zit?
Drie dingen die geen enkel certificaat regelt: de registratie bij het NCSC, de meldtermijnen van 24 uur, 72 uur en een maand, en de persoonlijke verantwoordelijkheid en scholing van het bestuur. Die regel je naast het managementsysteem, ook als je ISO 27001-gecertificeerd bent.
