Organisaties die zich voorbereiden op NIS2 vragen vaak of ISO/IEC 27001 dat al dekt, of dat ze het een vóór het ander moeten aanpakken. De twee verschillen van aard. ISO 27001 is een vrijwillige internationale norm voor een managementsysteem voor informatiebeveiliging. NIS2 is een EU-richtlijn, omgezet via nationaal recht, die wettelijke verplichtingen oplegt aan entiteiten die eronder vallen. Ze overlappen aanzienlijk, maar geen van beide vervangt de ander. Deze gids legt uit hoe u ze samen gebruikt. Het is algemene informatie en geen juridisch advies.
Wat het is
ISO/IEC 27001:2022 stelt eisen aan het opzetten, uitvoeren en verbeteren van een managementsysteem voor informatiebeveiliging (ISMS): context en toepassingsgebied, leiderschap, risicobeoordeling en -behandeling, ondersteuning, uitvoering, evaluatie van prestaties en verbetering. Bijlage A noemt 93 referentiebeheersmaatregelen, gegroepeerd in organisatorische, mensgerichte, fysieke en technologische thema's, die worden geselecteerd op basis van uw risicobeoordeling. Organisaties kunnen ervoor kiezen hun ISMS te laten auditen door een geaccrediteerde certificerende instelling. NIS2 verlangt daarentegen van entiteiten die eronder vallen dat ze risicobeheersmaatregelen op vastgestelde gebieden invoeren, houdt bestuursorganen verantwoordelijk en voegt strikte meldplichten aan autoriteiten, toezicht en sancties toe. De overlap is groot: risicobeoordeling, beleid, toegangsbeheer, cryptografie, leveranciersbeveiliging, incidentbeheer, continuïteit en training komen in beide voor. De verschillen doen er ook toe. NIS2 legt wettelijke meldtermijnen, expliciete verantwoordelijkheid en training van het bestuur en nationaal toezicht vast; bij ISO 27001 bepaalt u zelf het toepassingsgebied, dat mogelijk niet aansluit op de diensten waar het bij NIS2 om gaat.
Voor wie het is
Deze vergelijking is nuttig voor:
- Organisaties met een bestaand ISO 27001-programma die NIS2-tekortkomingen beoordelen
- Organisaties die onder NIS2 vallen en bepalen of ze een ISMS als kader opbouwen
- Leveranciers aan wie klanten vragen om afstemming op ISO 27001 of om NIS2-gerelateerde toezeggingen
- Directies die budget verdelen tussen kaders
Wat Het Helpt Verduidelijken
De twee naast elkaar vergelijken helpt verduidelijken:
- welke bestaande maatregelen en registraties hergebruikt kunnen worden als NIS2-bewijs
- of het toepassingsgebied van uw ISMS de diensten en systemen dekt die onder NIS2 relevant zijn
- welke NIS2-verplichtingen, zoals meldtermijnen, aanvullende procedures nodig hebben
- of formele ISO-certificering een zakelijke eis is of simpelweg een nuttig kader
Wat is inbegrepen
- Vergelijk het toepassingsgebied van uw ISMS met de diensten en systemen die onder NIS2 relevant zouden zijn
- Breng de ingevoerde maatregelen uit bijlage A in kaart tegen de maatregelgebieden van artikel 21 van NIS2
- Voeg een incidentprocedure toe voor de meldfasen na 24 uur, 72 uur en één maand
- Documenteer goedkeuring, toezicht en training door het bestuursorgaan expliciet
- Breid de leveranciersbeoordeling uit tot de ICT-leveranciers achter kritieke diensten
- Controleer de nationale omzetting op aanvullende eisen of genoemde regelingen
- Gebruik interne audits en directiebeoordelingen om aan te tonen dat maatregelen in de tijd effectief zijn
- Bewaar bewijs van technische maatregelen, niet alleen beleid
Wat is niet inbegrepen
- ISO 27001-certificering of een audit door een certificerende instelling
- Een verklaring dat ISO 27001-certificering voldoet aan de NIS2-verplichtingen
- Juridische interpretatie van nationaal NIS2-recht
- Officiële titels of accreditaties
Wanneer u het kiest
Gebruik deze vergelijking bij het plannen van uw beveiligingsprogramma voor de komende één tot twee jaar. Als klanten een ISO 27001-certificaat vereisen, plan dan een geaccrediteerde certificeringsaudit als aparte stap. Valt u onder NIS2, gebruik dan de ISMS-structuur om maatregelen te ordenen, maar voeg de richtlijnspecifieke onderdelen toe. Hebt u geen van beide, dan is een gestructureerde gap-review ten opzichte van een afgesproken referentie vaak nuttiger dan eerst beleid te schrijven. Dit artikel is algemene informatie en geen juridisch advies.
Onze Aanpak
Zie ISO 27001 als de managementstructuur en NIS2 als een reeks wettelijke eisen waaraan die structuur moet voldoen. Begin met één set maatregelen die aan beide is gekoppeld, zodat elke maatregel één eigenaar en één set bewijs heeft. Let vooral op het toepassingsgebied: een ISMS dat alleen een functie op het hoofdkantoor dekt, zegt weinig over de systemen achter een kritieke dienst. Onze Security Baseline Review kan helpen met de technische kant: een schriftelijk, naar ernst ingedeeld beeld van afgesproken assets en observaties over tekortkomingen in de voorbereiding ten opzichte van een afgesproken referentie, waar dat in de bevestigde scope is opgenomen. Het is ondersteuning bij voorbereiding en besluitvorming die u voorbereidt op het werk met geaccrediteerde certificerende instellingen, auditors en juridische adviseurs. Is certificering uw doel, kies dan voor de audit een geaccrediteerde certificerende instelling en houd het voorbereidende werk daarvan gescheiden.
Veelgestelde vragen
Gerelateerde artikelen
Aan de slag
Plant u de voorbereiding op ISO 27001 en NIS2 samen?
Deel uw huidige toepassingsgebied, maatregelen en de diensten die het belangrijkst zijn. Wij stellen een review voor die beide gesprekken ondersteunt.
Vraag een schriftelijke scope aan