Waarom is ISO 27001 niet voldoende om aan NIS2 te voldoen?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-richtlijn, van kracht. Een deel van de organisaties die onder deze wet vallen, heeft een ISO 27001-certificaat.

De meest gestelde vraag door organisaties die ISO 27001 hebben, is: als we ISO 27001-gecertificeerd zijn, voldoen we dan aan de NIS2 Cyberbeveiligingswet?

Het antwoord is nee.

ISO 27001 vormt een basis voor informatiebeveiliging en kan een organisatie helpen bij het voldoen aan de Cyberbeveiligingswet. Maar een ISO 27001-certificaat is geen bewijs dat aan alle wettelijke verplichtingen van NIS2 en de Cyberbeveiligingswet wordt voldaan. ISO 27001 certificeert een managementsysteem. De Cyberbeveiligingswet legt wettelijke verplichtingen op aan de organisatie. De volgende zaken spelen:

1. ISO 27001 is een norm, NIS2 is wetgeving

Het eerste verschil is fundamenteel.

ISO 27001 is een internationale norm voor het opzetten, uitvoeren, onderhouden en continu verbeteren van een Information Security Management System (ISMS). De Cyberbeveiligingswet is wetgeving. Een ISO-auditor beoordeelt of het managementsysteem voldoet aan de eisen van ISO 27001 en aan de scope die voor de certificering is vastgesteld. Een toezichthouder kijkt vanuit een andere invalshoek. Die beoordeelt of de organisatie daadwerkelijk voldoet aan de verplichtingen die uit de Cyberbeveiligingswet voortvloeien. Een organisatie kan daarom ISO 27001-gecertificeerd zijn en tegelijkertijd op onderdelen niet aan de Cyberbeveiligingswet voldoen.

2. De scope van het ISO-certificaat kan veel kleiner zijn dan de NIS2-verantwoordelijkheid

Dit is in de praktijk een van de belangrijkste aandachtspunten.

Een ISO 27001-certificering heeft altijd een bepaalde scope. Die kan bijvoorbeeld betrekking hebben op één dienst, één bedrijfsonderdeel, één locatie, een specifieke IT-omgeving of een gedeelte van de organisatie. De Cyberbeveiligingswet redeneert niet vanuit de scope die een organisatie zelf voor haar ISO-certificering heeft gekozen. De wettelijke verantwoordelijkheid wordt bepaald door de activiteiten, diensten, systemen, risico’s en afhankelijkheden van de entiteit die onder de wet valt. Een ISO-certificaat kan

dus volledig geldig zijn, terwijl belangrijke onderdelen van de organisatie buiten de certificeringsscope vallen.

3. De Cyberbeveiligingswet kent verplichtingen die een ISO-certificaat niet overneemt

Onder de Cyberbeveiligingswet gelden verschillende zelfstandige wettelijke verplichtingen. Zo moeten organisaties die onder de wet vallen zich registreren in het entiteitenregister bij het NCSC. ISO 27001 kent geen Nederlandse NIS2-registratieplicht. Een organisatie kan dus perfect ISO 27001-gecertificeerd zijn en toch haar wettelijke registratieplicht niet hebben uitgevoerd. Hetzelfde geldt voor andere specifieke wettelijke verplichtingen.

4. De wettelijke meldplicht is iets anders dan ISO-incidentmanagement

ISO 27001 besteedt uitgebreid aandacht aan incidentmanagement. Maar de Cyberbeveiligingswet voegt daar een wettelijke meldplicht aan toe. Significante incidenten moeten binnen de daarvoor geldende wettelijke termijnen worden gemeld bij de bevoegde instanties. De eerste melding moet in bepaalde gevallen al binnen 24 uur plaatsvinden. Een ISO-gecertificeerd incidentmanagementproces betekent niet automatisch dat deze wettelijke meldprocedure correct is ingericht.

5. NIS2 legt nadrukkelijk verantwoordelijkheid bij het bestuur

NIS2 maakt cybersecurity nadrukkelijk tot een bestuurlijke verantwoordelijkheid. Bestuursleden moeten de maatregelen op het gebied van cyberbeveiligingsrisicobeheer goedkeuren en toezicht houden op de uitvoering daarvan. Daarnaast geldt een opleidingsverplichting voor bestuurders. Dat gaat verder dan het hebben van een goed functionerend ISMS.

6. NIS2 kijkt nadrukkelijk naar de gehele toeleveringsketen

Een van de grootste veranderingen is de aandacht voor leveranciers en de toeleveringsketen. Organisaties zijn tegenwoordig voor hun bedrijfscontinuïteit afhankelijk van grote aantallen externe partijen. Denk aan MSP’s, cloudproviders en SaaS-leveranciers, maar ook aan machinebouwers, onderhoudsbedrijven, telecomleveranciers, logistieke dienstverleners, installateurs en andere partijen die toegang hebben tot kritieke processen, systemen, locaties of informatie.

De Cyberbeveiligingswet verlangt dat organisaties de risico’s in hun toeleveringsketen beoordelen en passende en evenredige maatregelen nemen.

Dat betekent in de praktijk dat een organisatie moet kunnen aantonen:

1. welke leveranciers relevant zijn;
2. welke risico’s deze leveranciers veroorzaken;
3. welke leveranciers invloed hebben op kritieke processen en Te Beschermen Belangen;
4. welke beveiligingseisen passend en proportioneel zijn;
5. hoe deze eisen schriftelijk zijn vastgelegd;
6. hoe wordt gecontroleerd of leveranciers daadwerkelijk aan de afspraken voldoen;
7. hoe leveranciersrisico’s periodiek opnieuw worden beoordeeld.

Een ISO 27001-certificaat van de organisatie geeft op zichzelf geen antwoord op deze vragen. Aan leveranciers zelf zal vaak om het aanleveren van certificering worden gevraagd. Vanwege de proportionaliteitseis binnen de NIS2 is ISO 27001 dan juist vaak te zwaar en past een getrapte norm met meerdere niveauss, zoals NIS2 Supply chain-certificering, vaak beter.

7. Alleen kijken naar IT-leveranciers is te beperkt

Bij cybersecurity wordt de leveranciersketen nog vaak vrijwel automatisch vertaald naar ICT. Dat is te beperkt. Een leverancier kan ook een groot continuïteits- of beveiligingsrisico veroorzaken zonder zelf een klassieke IT-leverancier te zijn. Denk bijvoorbeeld aan een koeltechnisch bedrijf waarvan uitval een productieproces stillegt, een onderhoudsbedrijf met toegang tot een fabriek, een machinebouwer met remote toegang tot machines, een bewakingsbedrijf met toegang tot beveiligde locaties of een logistieke dienstverlener waarvan een kritieke grondstoffenstroom afhankelijk is. Voor NIS2 moet daarom vanuit risico en bedrijfscontinuïteit worden geredeneerd, niet uitsluitend vanuit de traditionele ICT-supply-chain.

8. NIS2 hanteert een all-hazards-benadering

Dit is een tweede belangrijk verschil in perspectief. De zorgplicht beperkt zich niet uitsluitend tot klassieke digitale cyberrisico’s. Ook de fysieke omgeving van netwerk- en informatiesystemen moet worden beschermd. Daarmee ontstaat een bredere risicobenadering.

Denk bijvoorbeeld aan:

• fysieke toegang;
• stroomuitval;
• brand;
• water;
• koelingsproblemen;
• sabotage;
• diefstal;
• uitval van telecom;
• uitval van kritieke leveranciers;
• verstoring van gebouwen of technische installaties.

Een organisatie die haar ISO 27001-omgeving vooral vanuit informatiebeveiliging en digitale risico’s heeft ingericht, moet daarom beoordelen of de vereiste bredere all-hazards-benadering voldoende is meegenomen.

9. NIS2 stelt expliciete eisen aan risicobeheersing

De Cyberbeveiligingswet schrijft tien gebieden voor waarop organisaties ten minste maatregelen moeten treffen. Daaronder vallen onder andere risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, cyberhygiëne, beveiliging bij aanschaf en ontwikkeling van systemen, personeels- en toegangsbeveiliging, cryptografie en het beoordelen van de effectiviteit van maatregelen. De organisatie zal dus een gap-analyse tussen de bestaande ISO-inrichting en de concrete Cbw-verplichtingen moeten uitvoeren.

10. NIS2 verlangt aantoonbare effectiviteit

Het hebben van een beleid, procedure of technische maatregel is niet automatisch voldoende. De Cyberbeveiligingswet verlangt ook aandacht voor het beoordelen van de effectiviteit van de getroffen risicobeheersmaatregelen. Daarmee wordt de vraag steeds vaker: “Werkt het aantoonbaar?” Dat vraagt om bewijs.

Bijvoorbeeld resultaten van controles, audits, tests, oefeningen, incidentanalyses, monitoring, leveranciersbeoordelingen en verbetermaatregelen. Een ISO-certificaat is daarbij waardevol bewijs, maar het is slechts één onderdeel van de totale onderbouwing.

Conclusie

ISO 27001 is een uitstekende basis voor NIS2, maar het is niet hetzelfde als voldoen aan NIS2.

• ISO 27001 is geen NIS2-certificaat.
• ISO 27001 geeft geen vrijstelling van de Cyberbeveiligingswet.
• ISO 27001 neemt de registratieplicht niet over.
• ISO 27001 neemt de wettelijke meldplicht niet over.
• ISO 27001 bewijst niet automatisch dat de governanceverplichtingen zijn ingevuld.
• ISO 27001 bewijst niet automatisch dat de volledige wettelijke scope is afgedekt.
• ISO 27001 bewijst niet automatisch dat alle relevante leveranciers risicogebaseerd zijn beoordeeld en gecontroleerd.
• ISO 27001 bewijst niet automatisch dat de vereiste all-hazards-benadering volledig is toegepast.

Van “we hebben ISO” naar “we kunnen aantonen dat we aan NIS2 voldoen”. De juiste benadering voor een ISO 27001-gecertificeerde organisatie is daarom niet om opnieuw te beginnen. Gebruik wat er al is. Heb je ISO 27001? Prima. Heel goed zelfs. Breng vervolgens systematisch in kaart welke verplichtingen uit de Cyberbeveiligingswet al aantoonbaar door het bestaande ISMS worden afgedekt en waar aanvullingen nodig zijn.

De relevante vraag is:

Kan de organisatie aantonen dat zij de risico’s voor haar dienstverlening begrijpt, passende en evenredige maatregelen heeft genomen, haar kritieke afhankelijkheden en leveranciers beheerst, de wettelijke verplichtingen heeft ingericht en controleert of dit alles in de praktijk daadwerkelijk werkt?

Daar draait NIS2 om.