- NIS2 is verplichte EU-wetgeving. ISO 27001 is een vrijwillige internationale norm. Het zijn verschillende instrumenten met verschillende doeleinden.
- ISO 27001 heeft betrekking op alle 10 NIS2 artikel 21-beveiligingsmaatregelen, waardoor het een effectief middel is voor NIS2-naleving
- Een ISO 27001-gecertificeerde organisatie heeft nog steeds NIS2-specifieke lacunes: meldingstermijnen voor incidenten, aansprakelijkheid van het management en registratieverplichtingen
- Als u van nul begint, is een lacuneanalyse de juiste eerste stap, niet kiezen voor één kader en het andere uitstellen
- De meest efficiënte aanpak is het opbouwen van één geïntegreerd programma in plaats van twee afzonderlijke nalevingsprojecten
Twee kaders, één postvak
Compliance officers bij middelgrote en grote Europese bedrijven krijgen tegelijkertijd vragen over NIS2 en ISO 27001. Het is begrijpelijk dat teams de twee door elkaar halen: beide gaan over cyberbeveiliging, beide vereisen risicobeoordelingen en gedocumenteerde controles, en beide leiden tot audits. Maar het zijn fundamenteel andere instrumenten, en ze als uitwisselbaar behandelen laat echte nalevingslacunes open.
NIS2 (Richtlijn 2022/2555) is EU-wetgeving. Als uw organisatie actief is in een van de 18 kritieke sectoren en aan de omvangsdrempel voldoet, valt u in het toepassingsgebied en moet u naleven. Er is geen opt-out. Niet-naleving is handhaafbaar door nationale autoriteiten en leidt tot boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten. NIS2 is van kracht sinds oktober 2024.
ISO/IEC 27001:2022 is een internationale norm voor informatiebeveiligingsbeheersystemen (ISMS). Certificering is vrijwillig. Elke organisatie kan deze nastreven, in elke sector, op elke schaal. De norm schrijft niet precies voor welke beveiligingscontroles u moet implementeren; ze vraagt u een risicogebaseerd beheersysteem te bouwen dat systematisch bedreigingen identificeert, proportionele controles selecteert en continu verbetert. Onafhankelijke certificeringsinstanties beoordelen u aan de hand van de norm en geven een certificaat af.
Waar ze overlappen
NIS2 artikel 21 specificeert 10 verplichte beveiligingsmaatregelen. ISO 27001 bijlage A bevat 93 controles in vier domeinen. Alle 10 NIS2-maatregelen komen overeen met ISO 27001-controlegebieden:
Een organisatie met een volwassen, goed gedocumenteerd ISO 27001-ISMS heeft voor negen van de tien NIS2 artikel 21-vereisten controles op zijn plaats. Het tiende punt (MFA) vereist slechts een gerichte aanvulling. ISO 27001 is het efficiëntste middel om NIS2-conforme beveiligingscontroles te bouwen.
Waar ze van elkaar afwijken
De overlap kent echte beperkingen. ISO 27001 is ontworpen als een managementsysteemnorm, niet als een regelgevend nalevingskader, en NIS2 gaat op drie gebieden verder.
De drie lacunes die in de praktijk het meeste tellen zijn incidentmelding, aansprakelijkheid van het management en registratie. ISO 27001 zegt niets over het binnen 24 uur melden aan een overheidsinstantie na ontdekking van een incident. Het zegt niets over het persoonlijk verantwoordelijk houden van uw bestuur voor cyberbeveiligingsbeleid. En het vereist geen registratie bij een nationaal orgaan. Dit zijn NIS2-specifieke verplichtingen die een ISO 27001-programma, hoe volwassen ook, niet afdekt.
Veel organisaties gaan ervan uit dat ISO 27001-certificering NIS2-naleving betekent. Dat is niet zo. Toezichthouders zoeken naar gedocumenteerde procedures voor incidentmelding, bewijs van managementtraining, door het bestuur goedgekeurde cyberbeveiligingsrisicomaatregelen en registratie. Een ISO 27001-certificaat alleen voldoet niet bij een audit op deze punten.
Als u al ISO 27001-certificering heeft
U staat er sterk voor, maar u bent er nog niet. Op basis van waar de meeste gecertificeerde organisaties staan, vallen de resterende NIS2-specifieke lacunes doorgaans in vier categorieën:
- Procedure voor incidentmelding. Uw incidentresponsplan omvat vrijwel zeker niet de drietraps NIS2-meldingsvolgorde. U moet een stap voor regelgevende melding toevoegen met benoemde personen die verantwoordelijk zijn voor de vroegtijdige waarschuwing binnen 24 uur, en dit in een table-top oefening testen.
- Managementtraining en documentatie. NIS2 artikel 20 vereist training op bestuursniveau over identificatie van cyberbeveiligingsrisico's en de impact ervan op bedrijfsvoering. Notulen van het bestuur en gestructureerde trainingsregistraties moeten dit expliciet aantonen.
- Registratie. Entiteiten in het toepassingsgebied moeten zich registreren bij de relevante nationale bevoegde autoriteit. In Nederland coördineert het NCSC dit proces. ISO 27001 vraagt niet om deze stap.
- MFA-toepassing. ISO 27001 bijlage A behandelt beheer van bevoorrechte toegang maar verplicht MFA niet zo expliciet als NIS2 artikel 21. Bekijk uw Verklaring van Toepasselijkheid en sluit de lacune als MFA nog geen gedocumenteerde controle is.
Voor een gecertificeerde organisatie is het dichten van deze lacunes een gerichte taak, geen transformatieproject. Een gefocuste lacuneanalyse kan binnen enkele weken precies aanwijzen wat er ontbreekt en een herstelplan opleveren.
Als u van nul begint
Uw instinct kan zijn om één kader te kiezen, dat af te ronden en dan het andere aan te pakken. Die volgorde verspilt substantiële inspanning. De documentatie, risicobeoordelingen, beleidsregels en controlebewijs die u voor NIS2 bouwt, zijn direct van toepassing op ISO 27001. Ze als afzonderlijke projecten draaien betekent hetzelfde werk twee keer doen.
ISO 27001-certificering bovenop een goed gestructureerd NIS2-programma toevoegen kost ongeveer 20-30% meer inspanning. Ze als twee afzonderlijke programma's van nul starten verdubbelt dit doorgaans: u bouwt dezelfde risicobeoordelingen, beleidsregels en controlebewijs twee keer.
Als u in het toepassingsgebied van NIS2 valt, is die verplichting al actief. Begin daar. Maar structureer uw NIS2-programma van de eerste dag af aan via de managementsysteemaanpak van ISO 27001: een gedefinieerd toepassingsgebied, een formele risicobeoordeling, een Verklaring van Toepasselijkheid die uw controles in kaart brengt, en een gedocumenteerde verbeteringscyclus. Deze aanpak zorgt ervoor dat wanneer u klaar bent om ISO 27001-certificering na te streven, de certificeringsinstantie een programma beoordeelt dat al in volwassen vorm bestaat.
Een ISO 27001-programma gebouwd zonder NIS2 in gedachten laat nalevingslacunes open die herwerk vereisen. NIS2-eerst bouwen, met een ISO 27001-conforme structuur van het begin af, voorkomt dat.
Waar te beginnen: de lacuneanalyse
De eerste stap voor elke organisatie, ongeacht of ze bestaande controles, bestaande certificeringen of niets heeft, is een gestructureerde lacuneanalyse. Zonder één maakt u beslissingen op basis van aannames over uw eigen positie die zelden kloppen.
Een goede lacuneanalyse dekt drie zaken:
- Bevestiging van toepassingsgebied. Valt u binnen het bereik van NIS2? Welke categorie bent u (essentieel of belangrijk)? Heeft u zich geregistreerd bij de relevante nationale autoriteit? Dit is niet altijd vanzelfsprekend, met name voor gediversifieerde groepen die in meerdere sectoren actief zijn.
- Controle-mapping. Waar sluiten uw huidige controles, documentatie en processen aan op NIS2 artikel 21 en ISO 27001 bijlage A? Dit geeft een duidelijk beeld van wat u heeft, wat geformaliseerd moet worden en wat van de grond af moet worden gebouwd.
- Geprioriteerde herstelroadmap. Niet alles hoeft tegelijk te gebeuren. De lacuneanalyse moet een risicogesorteerde lijst van acties opleveren, met realistische tijdlijnen en resourceramingen, zodat u weloverwogen beslissingen kunt nemen over de volgorde.
Met die roadmap in handen kunt u één geïntegreerd programma bouwen dat u gelijktijdig naar zowel NIS2-naleving als ISO 27001-certificering beweegt, zonder inspanning te dupliceren of conflicterende documentatie te creëren.
Organisaties die met een voltooide lacuneanalyse en een gedocumenteerd herstelplan bij een NIS2-regelgevingsaudit komen, staan fundamenteel anders dan organisaties die zonder iets komen. Toezichthouders zoeken naar bewijs dat het management de verplichtingen serieus neemt. Een geloofwaardige roadmap is precies dat bewijs.