- Cyber Essentials controleert vijf technische maatregelen. ISO 27001 certificeert een managementsysteem voor informatiebeveiliging, waarbij de maatregelen worden gekozen op basis van uw eigen risicobeoordeling.
- Indien een contract met de Britse overheid of defensie Cyber Essentials vereist, zorg dan dat u dat eerst verkrijgt. Indien een klant om ISO 27001-certificering vraagt, kan Cyber Essentials hier niet voor in de plaats komen.
- Sinds 27 april 2026 gelden voor nieuwe Cyber Essentials-beoordelingen de vereisten van versie 3.3: het ontbreken van MFA bij een clouddienst die dit aanbiedt, of het langer dan 14 dagen uitstellen van belangrijke en kritieke updates, leidt nu tot het niet slagen voor de beoordeling.
- ISO 27001-certificering omvat geen Cyber Essentials, en een afnemer zal deze niet automatisch als gelijkwaardig accepteren.
- Geen van beide certificaten bewijst naleving van de AVG, en beide hebben uitsluitend betrekking op het toepassingsgebied dat erop is vermeld.
Cyber Essentials bestaat niet in Nederland en de Nederlandse overheid vraagt er niet om. Dit artikel is geschreven voor Nederlandse bedrijven met een Britse dochteronderneming, bedrijven die leveren aan Britse (overheids)klanten die Cyber Essentials eisen, of bedrijven die overwegen uit te breiden naar de Britse markt. ISO 27001 blijft daarnaast relevant voor elk bedrijf, ongeacht land, dat aan klanten en toezichthouders wil aantonen dat informatiebeveiliging serieus wordt genomen.
Wat is Cyber Essentials?
Cyber Essentials is een door de Britse overheid gesteund cyberbeveiligingscertificeringsprogramma, opgezet door het National Cyber Security Centre (NCSC) en gelanceerd in 2014. IASME (het consortium Information Assurance for Small and Medium Enterprises) beheert het en accrediteert de certificeringsinstanties die organisaties beoordelen en certificaten afgeven.
Het schema kent twee niveaus. Cyber-essentials is de instapoptie. U vult een zelfbeoordelingsvragenlijst in en een door de IASME geaccrediteerde certificeringsinstantie beoordeelt uw antwoorden en bevestigt dat uw controles aan de norm voldoen. Het proces is op documentatie gebaseerd en er zijn geen externe tests nodig. Cyber Essentials Plus voegt daar nog geverifieerde technische tests aan toe: een beoordelaar voert een externe kwetsbaarheidsscan uit van uw internetgerichte systemen en praktische interne tests van een aantal apparaten, waarbij wordt bevestigd dat de door u beschreven controles werken zoals aangegeven. CE Plus biedt meer zekerheid en is een vereiste voor sommige overheidscontracten.
Beide niveaus beoordelen dezelfde vijf technische controlegebieden:
- Firewalls: grensfirewalls en internetgateways die zijn geconfigureerd om ongeautoriseerd inkomend en uitgaand verkeer te blokkeren
- Veilige configuratie: apparaten en software die zijn geconfigureerd om kwetsbaarheden te verminderen die verder gaan dan de standaardinstellingen
- Gebruikerstoegangscontrole: gebruikersaccounts zijn beperkt tot de rechten die ze nodig hebben, waarbij beheerdersaccounts streng worden gecontroleerd
- Bescherming tegen malware: anti-malwaresoftware of applicaties zijn op de toelatingslijst geplaatst en up-to-date
- Software- en patchbeheer: software wordt actueel gehouden, beveiligingspatches worden onverwijld toegepast en niet-ondersteunde software wordt verwijderd
Het NCSC stelt zich op het standpunt dat deze vijf controles, mits goed uitgevoerd, zo'n 80% van de meest voorkomende cyberaanvallen kunnen voorkomen. Dat is de reden om CE als basis te gebruiken in plaats van als volledige standaard: het richt zich op de aanvallen waarmee organisaties het vaakst te maken krijgen.
Kosten en tijdlijnen
De kosten voor de certificeringsinstantie voor de zelfbeoordeling van Cyber Essentials bedragen tussen de £300 en £500, hoewel het exacte bedrag varieert. Cyber Essentials Plus voegt daar de kosten voor het scannen van externe kwetsbaarheden en het testen van interne apparaten aan toe, waardoor het totaal op ongeveer £1.500 tot £3.500 komt, afhankelijk van de grootte en complexiteit van de organisatie. De meeste bedrijven ontvangen hun certificaat binnen twee tot zes weken na aanvang van het vragenlijstproces.
Wie heeft het nodig
Cyber Essentials is verplicht voor elk contract van de Britse centrale overheid waarbij persoonlijke gegevens worden verwerkt of IT-producten en -diensten worden geleverd. De toeleveringsketen van het Ministerie van Defensie heeft zijn eigen vereisten die CE Plus verplicht stellen voor het hele niveau. Veel commerciële aanbestedingskaders verwijzen nu naar CE als minimumnorm, zelfs buiten de overheid. Het certificaat heeft een looptijd van twaalf maanden; u moet elk jaar verlengen via een volledige herbeoordeling.
Wat is Cyber Essentials?
Cyber Essentials is een door de Britse overheid gesteund certificeringsprogramma dat wordt beheerd door het National Cyber Security Centre (NCSC), met IASME als uitvoerende partner. IASME verleent licenties aan de certificeringsinstanties die organisaties beoordelen en certificaten afgeven.
Er zijn twee niveaus. Voor Cyber Essentials vult u een online zelfbeoordelingsvragenlijst in, waarna een ondertekenaar op directieniveau of een gelijkwaardige functionaris de antwoorden bevestigt en een certificeringsinstantie deze beoordeelt. Er vinden geen technische tests plaats. Cyber Essentials Plus hanteert dezelfde vereisten, maar deze worden door een beoordelaar gecontroleerd: een externe kwetsbaarheidsscan, plus interne tests van een steekproef van uw apparaten en cloudaccounts. U moet eerst in het bezit zijn van een basiscertificaat voor Cyber Essentials, en de Plus-audit moet binnen drie maanden daarna worden afgerond.
Beide niveaus beoordelen dezelfde vijf technische controlegebieden:
- Firewalls: grensfirewalls en internetgateways die ongeautoriseerde inkomende verbindingen blokkeren
- Veilige configuratie: standaardwachtwoorden gewijzigd, ongebruikte software en accounts verwijderd, automatisch starten uitgeschakeld
- Beheer van beveiligingsupdates: uitsluitend ondersteunde software, waarbij belangrijke en kritieke updates binnen 14 dagen na release worden geïnstalleerd
- Toegangscontrole voor gebruikers: accounts beperkt tot wat elke persoon nodig heeft, afzonderlijke beheerdersaccounts en MFA voor clouddiensten
- Bescherming tegen malware: antimalwaresoftware of het opstellen van een lijst met toegestane applicaties op de betreffende apparaten
Wat is er veranderd in 2026
Beoordelingsaccounts die op of na 27 april 2026 zijn aangemaakt, maken gebruik van versie 3.3 van de vereisten, die IASME de Danzell-vragenlijst noemt. Drie punten vormen een struikelblok voor organisaties. Meervoudige authenticatie moet zijn ingeschakeld voor elke clouddienst die deze mogelijkheid biedt, ook wanneer MFA een betaalde uitbreiding is, en een antwoord waarin wordt aangegeven dat dit ontbreekt, leidt automatisch tot een onvoldoende. Het langer dan 14 dagen uitstellen van belangrijke of kritieke updates leidt eveneens automatisch tot een onvoldoende. En clouddiensten die u voor zakelijke doeleinden gebruikt, mogen niet buiten het toepassingsgebied worden gehouden: als uw medewerkers Microsoft 365, Google Workspace of een SaaS-tool gebruiken voor bedrijfsgegevens, valt die dienst onder de beoordeling.
Kosten en tijd
IASME hanteert een vast tarief voor Cyber Essentials op basis van de omvang van de organisatie, exclusief btw: £ 320 voor micro-organisaties (0 tot 9 medewerkers), £ 440 voor kleine organisaties (10 tot 49), £ 500 voor middelgrote organisaties (50 tot 249) en £ 600 voor grote organisaties (250 of meer). Raadpleeg de website van IASME voordat u uw begroting opstelt, aangezien de tarieven van tijd tot tijd kunnen veranderen. Voor Cyber Essentials Plus geldt geen vast tarief. Elke certificeringsinstantie stelt een offerte op basis van het aantal locaties, apparaten en clouddiensten dat getest moet worden.
De doorlooptijd hangt af van het aantal tekortkomingen dat u heeft. Als uw beveiligingsmaatregelen al zijn geïmplementeerd, kan het invullen van de vragenlijst enkele dagen in beslag nemen en de beoordeling kort daarna plaatsvinden. Als u eerst MFA moet invoeren, niet-ondersteunde laptops moet vervangen of beheerdersrechten moet aanscherpen, moet u rekening houden met een doorlooptijd van enkele weken. Beschouw elke tijdsindicatie als een schatting voor uw planning, niet als een belofte.
Wie vraagt hierom
De belangrijkste drijfveer is de aanbestedingspraktijk in de Britse publieke sector. In Procurement Policy Note 014, gepubliceerd in februari 2025, wordt aan inkopers van de centrale overheid voorgeschreven om Cyber Essentials te eisen, of Cyber Essentials Plus wanneer het risico dit rechtvaardigt, in contracten met bepaalde risicokenmerken, zoals de verwerking van persoonsgegevens of de levering van ICT-diensten. Inkopers wordt gevraagd een risicogebaseerde benadering te hanteren in plaats van de eis op elk contract toe te passen, en een leverancier kan in plaats daarvan gelijkwaardige maatregelen aantonen. De richtlijn van het NCSC luidt dat een ander certificaat, waaronder ISO 27001, niet standaard als gelijkwaardig wordt beschouwd: de leverancier moet aantonen hoe de reikwijdte en maatregelen ervan voldoen aan de Cyber Essentials-vereisten.
De defensiesector volgt een eigen traject. Via het Defence Cyber Certification-programma heeft het Ministerie van Defensie alle defensieleveranciers verzocht om uiterlijk op 31 december 2026 DCC-niveau 0 te bereiken, wat inhoudt dat zij beschikken over een geldig Cyber Essentials-certificaat dat bedrijfskritische systemen dekt en een ingevulde vragenlijst inzake leveranciersgarantie. Cyber Essentials Plus is van toepassing op DCC-niveaus 2 en 3, en het niveau voor elk contract wordt bepaald op basis van de risicobeoordeling.
Buiten de overheid vragen veel grotere Britse klanten en verzekeraars in leveranciersvragenlijsten om Cyber Essentials. Een certificaat is 12 maanden geldig, dus u moet zich elk jaar opnieuw laten certificeren.
Wat is ISO 27001?
ISO/IEC 27001:2022 is de internationale norm voor een informatiebeveiligingsbeheersysteem (ISMS). Deze norm biedt u geen vaste checklist. U bepaalt zelf de reikwijdte, beoordeelt uw informatiebeveiligingsrisico's, kiest maatregelen om deze aan te pakken en voert vervolgens het systeem uit: interne audits, managementbeoordelingen, corrigerende maatregelen en voortdurende verbetering. Twee organisaties in dezelfde sector kunnen uiteindelijk verschillende sets van maatregelen hanteren en toch beide gecertificeerd zijn.
Bijlage A bevat 93 referentiemaatregelen, ingedeeld in vier thema's: organisatorisch, personeel, fysiek en technologisch. U vergelijkt de maatregelen die u nodig hebt met Bijlage A en legt het resultaat vast in een toepassingsverklaring (SoA): welke maatregelen u opneemt, waarom, en waarom u eventuele maatregelen uitsluit. Geen enkele maatregel uit Bijlage A is standaard verplicht. Uw risicobeoordeling is bepalend. Twee data zijn van belang: certificaten op basis van de editie van 2013 moesten uiterlijk op 31 oktober 2025 zijn omgezet naar de editie van 2022, en in wijziging 1:2024 is de eis toegevoegd om te beoordelen of klimaatverandering een relevant onderwerp is voor uw ISMS.
Hoe certificering werkt
Een certificeringsinstantie voert een audit in twee fasen uit. In fase 1 worden het ontwerp en de gereedheid van uw ISMS beoordeeld: reikwijdte, risicobeoordelingsmethode, SoA en belangrijke documenten. In fase 2 wordt gecontroleerd of het ISMS is geïmplementeerd en functioneert. Afhankelijk van de certificeringsinstantie en uw bedrijfsopzet kan elke fase ter plaatse, op afstand of in een combinatie daarvan plaatsvinden. Na de certificering volgen toezichtaudits, doorgaans eenmaal per jaar, en een hercertificeringsaudit om de drie jaar.
Kies een certificeringsinstantie die is geaccrediteerd voor ISO 27001, in Nederland door de Raad voor Accreditatie (RvA), in het Verenigd Koninkrijk door UKAS, of door een andere accreditatie-instantie die deel uitmaakt van de internationale regelingen voor wederzijdse erkenning. Sinds januari 2026 vallen deze regelingen onder Global Accreditation Cooperation Incorporated, ontstaan uit de fusie van IAF en ILAC. Er bestaan certificaten van niet-geaccrediteerde instanties, maar veel afnemers zullen deze niet accepteren.
Kosten en tijdschema's
Er is geen standaardprijs voor ISO 27001. De certificeringsinstantie berekent de kosten van haar audits in auditorsdagen, die zij vaststelt op basis van uw personeelsbestand, vestigingen en reikwijdte volgens de accreditatieregels. De grootste kostenpost is doorgaans uw eigen inspanning om het ISMS op te zetten en de geconstateerde tekortkomingen te verhelpen. In de kostentabel verderop staan de onderdelen vermeld waarmee u rekening moet houden bij het opstellen van uw begroting.
Als ruwe schatting geldt dat een organisatie die al over enige beveiligingspraktijken beschikt, vaak zes tot achttien maanden nodig heeft vanaf de start van het project tot het behalen van het certificaat. Een beperkte reikwijdte en volwassen beheersmaatregelen verkorten deze termijn. Een brede reikwijdte, weinig documentatie of veel herstelwerkzaamheden verlengen deze termijn.
Wie vraagt erom
ISO 27001 komt aan bod in inkoopvragenlijsten van ondernemingen, due diligence-onderzoeken in de financiële dienstverlening, beoordelingen van leveranciers in de gezondheidszorg en contracten met grotere technologiebedrijven. Veel cloud- en SaaS-klanten vragen erom, hoewel sommigen in plaats daarvan genoegen nemen met een SOC 2-rapport of een ingevulde beveiligingsvragenlijst; vraag dit dus na voordat u aannames doet. Organisaties die betaalkaartgegevens verwerken, moeten tevens voldoen aan PCI DSS; deze norm geldt naast deze certificeringen en wordt er niet door vervangen. Omdat ISO 27001 internationaal is, heeft het ook gewicht bij klanten in Nederland, de rest van Europa en daarbuiten.
Vergelijking naast elkaar
De tabel geeft een overzicht van de verschillen die het belangrijkst zijn bij het bepalen welke certificeringen u nastreeft en in welke volgorde.
Wat elk van deze maatregelen u kost
Certificaatkosten vormen voor de meeste organisaties de kleinste kostenpost. Reken voor deze onderdelen met het volgende budget:
Welke moet u als eerste aanschaffen?
Ga uit van wat uw klanten en contracten vereisen. Het aantal medewerkers alleen is niet doorslaggevend: een bedrijf met tien medewerkers dat aan een bank levert, heeft wellicht ISO 27001 nodig, terwijl een bedrijf met tweehonderd medewerkers dat uitsluitend aan consumenten verkoopt, wellicht geen van beide nodig heeft.
Als u zich richt op de zakelijke markt, biedt Cyber Essentials inkoopteams een geloofwaardige uitgangsbasis terwijl u toewerkt naar ISO 27001. Hiermee doorloopt u vele basisbeoordelingen van leveranciers, maar niet een aanbesteding waarin ISO 27001-certificering expliciet wordt genoemd.
Indien uw organisatie nog geen gedocumenteerd beleid of risicobeheerders heeft, zal ISO 27001 meer tijd in beslag nemen, omdat de norm een functionerend managementsysteem met vastgelegde verantwoordelijkheden vereist. Dat is een reden om meer tijd in te plannen, niet een drempel op basis van omvang.
Het werk voor Cyber Essentials sluit aan bij ISO 27001. De vijf controlegebieden hebben betrekking op verschillende controles uit bijlage A, voornamelijk binnen het technologische thema (A.8), zoals bescherming tegen malware, beheer van technische kwetsbaarheden en veilige configuratie. ISO 27001 voegt daar vervolgens risicobeheer, governance, leverancierscontroles, bedrijfscontinuïteit en de bijbehorende documentatie aan toe.
Overlappen deze elkaar?
Gedeeltelijk. De controlegebieden van Cyber Essentials komen overeen met controles die in de meeste ISO 27001-implementaties zijn opgenomen. Dat betekent niet dat een ISO 27001-gecertificeerde organisatie voldoet aan Cyber Essentials. Met ISO 27001 kunt u uw controlemaatregelen zelf kiezen en onderbouwen, waardoor uw patching-venster, MFA-dekking of apparaatbereik mogelijk niet overeenkomt met de vaste regels van Cyber Essentials. Het is ook mogelijk dat uw ISMS-toepassingsgebied systemen uitsluit die Cyber Essentials wel zou meenemen.
In de andere richting is de kloof groter. Cyber Essentials heeft uitsluitend betrekking op technische beheersmaatregelen en vereist geen:
- Gedocumenteerd informatiebeveiligingsbeleid en betrokkenheid van het management
- Een risicobeoordelings- en risicobeheersingsproces met vastgelegde beslissingen
- Beveiligingsmaatregelen voor leveranciers en derde partijen
- Fysieke beveiliging van kantoren en faciliteiten
- Regelingen voor bedrijfscontinuïteit en incidentbeheer
- Een intern auditprogramma en managementbeoordelingen
- Een risicoregister met genoemde verantwoordelijken en de status van de risicobeheersing
ISO 27001 omvat al deze aspecten, binnen de door u gedefinieerde reikwijdte en de beveiligingsmaatregelen die uit uw risicobeoordeling naar voren komen.
IASME beheert tevens IASME Cyber Assurance, een norm die zich tussen Cyber Essentials en ISO 27001 bevindt. Deze norm voegt governance, risicobeheer, personeelsbeveiliging en gegevensverwerking toe aan de technische beheersmaatregelen. Niveau 1 is een geverifieerde zelfbeoordeling en niveau 2 voegt daar een audit aan toe. U moet over Cyber Essentials beschikken voordat u zich kunt laten certificeren. Deze norm omvat enkele praktijken op het gebied van gegevensbescherming, maar het bezit ervan betekent niet dat u voldoet aan de AVG.
Controleer het toepassingsgebied op elk certificaat
Een certificaat heeft alleen betrekking op wat erop staat vermeld. Een Cyber Essentials-certificaat kan betrekking hebben op de gehele organisatie of op een bepaald deel daarvan, en een ISO 27001-certificaat heeft betrekking op het toepassingsgebied zoals vermeld in de toepassingsgebiedsverklaring. Wanneer u vertrouwt op het certificaat van een leverancier, controleer dan of het toepassingsgebied de diensten en systemen omvat die u afneemt, of het certificaat actueel is en, in het geval van ISO 27001, of het is afgegeven door een geaccrediteerde instantie. Via IASME kunt u online zoeken naar Cyber Essentials-certificaten.
Volgende stappen
Voor Cyber Essentials dient u de actuele vereisten op de websites van het NCSC en IASME te raadplegen en vervolgens een certificeringsinstantie te kiezen uit de lijst van IASME. Veel kleine bedrijven vullen de vragenlijst zonder hulp van een consultant in, mits zij een duidelijk beeld hebben van hun apparaten, accounts en clouddiensten.
Voor ISO 27001 begint u met een gap-analyse voordat u budget vastlegt. Hieruit blijkt wat u al in huis hebt dat meetelt voor de norm, wat geformaliseerd moet worden en wat nog moet worden opgezet. Op basis daarvan kunt u een realistische tijdlijn opstellen en voorkomen dat u elke controle uit bijlage A met dezelfde urgentie behandelt.
Indien u nog niet in kaart heeft gebracht waar Cyber Essentials en ISO 27001 in uw bredere programma passen, biedt een cyberbeveiligingsroadmap een volgorde van certificeringen in combinatie met technische controlemaatregelen die zijn afgestemd op uw sector en risicoprofiel.
Cyvra werkt in beide fasen samen met Nederlandse bedrijven. Wij helpen organisaties met Britse klanten of een Britse dochteronderneming bij het implementeren van Cyber Essentials wanneer een contract dit vereist, en wij begeleiden ISO 27001-implementaties van de definitie van de reikwijdte tot ondersteuning bij audits. Mocht u twijfelen over de prioriteiten, neem dan contact met ons op voor een gesprek over uw uitgangssituatie.