Is ISO 27001 genoeg voor NIS2 en de Cyberbeveiligingswet?

Organisaties met een ISO 27001-certificaat stellen sinds augustus 2026 allemaal dezelfde vraag: wij zijn toch al gecertificeerd, zijn we daarmee niet gewoon klaar?

Het antwoord is genuanceerd en het loont om het precies te hebben. Een certificaat brengt u een heel eind – waarschijnlijk verder dan u denkt op het punt van de zorgplicht – en het brengt u nergens op drie verplichtingen die volledig buiten de norm vallen.

Waar we het over hebben

ISO/IEC 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging. U stelt vast wat u wilt beschermen, beoordeelt de risico’s, kiest beheersmaatregelen en toont aan dat het systeem werkt en verbetert. Certificering gebeurt door een certificerende instelling die daarvoor is geaccrediteerd – in Nederland door de Raad voor Accreditatie.

De Cyberbeveiligingswet is de Nederlandse invulling van de Europese NIS2-richtlijn. De wet is op 15 augustus 2026 in werking getreden en raakt ongeveer 8.000 organisaties. Naast de wet geldt voor de fysieke kant de Wet weerbaarheid kritieke entiteiten.

Het verschil in aard is belangrijk: ISO 27001 is een norm waaraan u zich vrijwillig bindt en waarvoor u een certificaat kunt halen. De Cyberbeveiligingswet is wetgeving, met toezicht en handhaving, die van toepassing is of niet – daar kiest u niet voor.

Wat de Cyberbeveiligingswet van u vraagt

Vier verplichtingen, en het loont om ze los te bekijken:

• registratieplicht – u registreert uw organisatie in het entiteitenregister via mijn.ncsc.nl;
• zorgplicht – u voert een risicoanalyse uit en neemt op basis daarvan passende en evenredige maatregelen;
• meldplicht – een significant incident meldt u zo snel mogelijk en in elk geval binnen 24 uur bij het CSIRT en de toezichthouder;
• bestuurlijke verantwoordelijkheid – het bestuur is aanspreekbaar, en bestuurders moeten een cyberbeveiligingstraining volgen.

Toezicht is per sector belegd; voor de digitale infrastructuur is de Rijksinspectie Digitale Infrastructuur (RDI) de toezichthouder, en het NCSC treedt op als CSIRT.

Waar ISO 27001 en de wet elkaar overlappen

Op de zorgplicht is de overlap groot, en dat is goed nieuws als u al gecertificeerd bent.

De zorgplicht vraagt om een risicoanalyse en om maatregelen die passend en evenredig zijn. Dat is vrijwel letterlijk wat een ISO 27001-managementsysteem organiseert: een risicobeoordeling, een verklaring van toepasselijkheid, gekozen beheersmaatregelen, en een verbetercyclus met interne audits en directiebeoordeling.

Op onderwerpniveau raken de art. 21 NIS2-maatregelen en Annex A elkaar op vrijwel alle punten: risicobeheer, incidentbehandeling, continuïteit, leveranciersketen, toegangsbeveiliging, cryptografie, bewustwording.

Twee beheersmaatregelen zijn hier bijzonder relevant, omdat ze direct om technisch testen vragen:

• A.8.8 – beheer van technische kwetsbaarheden. Kwetsbaarheden tijdig kennen en opvolgen. Een terugkerende kwetsbaarheidsscan is hier de gebruikelijke invulling.
• A.8.29 – beveiligingstesten tijdens ontwikkeling en acceptatie. Testen vóór ingebruikname. Een pentest op een nieuwe of ingrijpend gewijzigde applicatie is hier de logische invulling.

Als u die twee serieus invult, staat u er op het technische deel van de zorgplicht goed voor.

Waar ISO 27001 ophoudt

Nu het deel dat organisaties verrast. Drie verplichtingen uit de Cyberbeveiligingswet vallen volledig buiten ISO 27001, en geen enkele hoeveelheid certificering vult ze in.

1. De registratieplicht

U moet zich registreren in het entiteitenregister. ISO 27001 kent zo’n plicht niet en kan die niet kennen – het is een norm, geen register. Een gecertificeerde organisatie die zich niet registreert, voldoet niet.

2. De meldplicht met een termijn van 24 uur

ISO 27001 vraagt om een proces voor incidentbehandeling. De wet vraagt om iets specifiekers: een melding bij het CSIRT en de toezichthouder, zo snel mogelijk en in elk geval binnen 24 uur.

Dat is geen procesvraag maar een klokvraag. In de praktijk betekent het dat er buiten kantoortijden iemand bereikbaar is die de afweging kan maken, en dat vooraf duidelijk is wie meldt en waar. Een certificaat garandeert dat niet.

3. De bestuurderstraining

De wet verplicht bestuurders van entiteiten die eronder vallen om een cyberbeveiligingstraining te volgen, en maakt het bestuur aanspreekbaar. ISO 27001 vraagt om betrokkenheid van de directie bij het managementsysteem – dat is iets anders dan een trainingsverplichting voor bestuurders persoonlijk.

Voor de volledigheid: voor de aanbieder van die training bestaat geen accreditatie, registratie of vergunning. Het Cyberbeveiligingsbesluit stelt eisen aan de inhoud en aan het certificaat, niet aan wie het geeft.

Is een certificaat dan waardeloos voor de wet?

Beslist niet – maar de status ervan wordt vaak verkeerd voorgesteld.

De Cyberbeveiligingswet kent geen bepaling die certificering gelijkstelt aan naleving. Er is geen artikel dat zegt: wie ISO 27001 heeft, wordt geacht aan de zorgplicht te voldoen. Een toezichthouder beoordeelt of uw maatregelen passend en evenredig zijn, niet of u een certificaat heeft.

Wat een certificaat wél doet: het levert precies het soort bewijs waar een toezichthouder om vraagt. Een risicobeoordeling met een datum, een verklaring van toepasselijkheid, auditverslagen, afwijkingen en herstelacties – dat is een dossier dat het gesprek aanzienlijk korter maakt.

Vergelijk het met een APK: het bewijst dat de auto op een moment is gekeurd. Het ontslaat u niet van de plicht om verantwoord te rijden.

En als u onder DORA valt?

Belangrijk onderscheid, en de markt gaat hier vaak de mist in. Financiële entiteiten vallen op grond van artikel 7 van de Cyberbeveiligingswet buiten die wet. Voor hen is DORA het kader – een Europese verordening die rechtstreeks werkt en die eigen eisen stelt aan testen, waaronder voor de zwaarste vorm eisen aan wie de test mag uitvoeren.

Aan een Nederlandse bank of verzekeraar “NIS2-compliance” verkopen is dus simpelweg het verkeerde regime aanwijzen.

Wat u concreet kunt doen

Een praktische volgorde: controleer eerst of u onder de wet valt en registreer u. Kijk daarna of de scope van uw certificaat de diensten dekt waar de wet over gaat – dat is de meest voorkomende blinde vlek, want een certificaat met een smalle scope dekt een breed wettelijk bereik niet. Regel vervolgens de meldketen en de bestuurderstraining, en gebruik uw bestaande managementsysteem voor de rest.

Wat wij hierin doen, en wat niet

Wij zijn geen certificerende instelling. Een ISO 27001-certificaat wordt afgegeven door een certificerende instelling die daarvoor is geaccrediteerd; wij geven geen certificaten af en voeren geen certificeringsaudits uit.

Wat wij leveren is de technische onderbouwing: een pentest gericht op de beheersmaatregelen uit Annex A – in het bijzonder 8.8 en 8.29 – met een rapport dat uw auditor kan gebruiken, en een hertest die aantoont dat de bevindingen zijn opgevolgd. Voor de wettelijke kant is dat hetzelfde bewijs: zie NIS2-pentest.

Wilt u nagaan waar uw certificaat ophoudt en de wet begint? Bespreek het in een gratis adviesgesprek.

Gerelateerde diensten van Haxoris: pentesten ter voorbereiding op ISO 27001-certificering · pentesten ter voorbereiding op NIS2 en de Cyberbeveiligingswet · security audit van de IT-omgeving