Plan een oriënterend gesprek

NIS2 en ISO 27001: de perfecte match of schijnveiligheid?

Laatst bijgewerkt: september 2026 · Leestijd: 9 min

Een functionerend ISO 27001-gecertificeerd ISMS biedt een basis voor de risicobeheersing en governance die NIS2 verlangt. Het certificaat bewijst echter niet automatisch dat uw organisatie aan de Cyberbeveiligingswet voldoet. Toets vooral de bestuurlijke verplichtingen, meldtermijnen, leveranciersbeheersing, effectiviteitsbeoordeling, registratie en wettelijke reikwijdte. Verschillende van deze onderwerpen zitten al in ISO 27001; de vraag is of uw inrichting en bewijsvoering ook de concrete wettelijke eisen afdekken.

Een van de eerste vragen die organisaties stellen wanneer NIS2 op tafel komt: we zijn al ISO 27001-gecertificeerd, is dat niet voldoende?

Een gecertificeerd managementsysteem voor informatiebeveiliging (ISMS) biedt houvast: u heeft risico's beoordeeld, verantwoordelijkheden belegd en een cyclus voor evaluatie en verbetering ingericht.1 Of dat ook voldoende is voor de Cyberbeveiligingswet (Cbw), hangt af van de wettelijke eisen die op uw organisatie van toepassing zijn, de gecertificeerde scope en de werking van uw maatregelen.

De Cbw is sinds 15 augustus 2026 van kracht. Voor organisaties die eronder vallen is de aansluiting tussen hun ISMS en de wet dus een actuele nalevingsvraag.2, 3

Kern: ISO 27001-certificering beoordeelt uw ISMS binnen een omschreven scope. De Cbw stelt wettelijke eisen aan uw organisatie en de netwerk- en informatiesystemen waarop de wet ziet. Gebruik uw ISMS om die eisen te organiseren en aan te tonen, en controleer expliciet waar scope, maatregelen of bewijs nog tekortschieten.

Waar ISO 27001 en NIS2 elkaar ontmoeten

Risicogedreven werken. Beide kaders verbinden maatregelen aan risico's. ISO 27001 biedt daarvoor een proces van risicobeoordeling en risicobehandeling. NIS2 verlangt passende en evenredige maatregelen en benoemt minimale maatregelcategorieën. Wettelijke minimumeisen kunt u niet met een eigen risicoacceptatie terzijde schuiven.

Een managementsysteem. Beleid, verantwoordelijkheden, managementbetrokkenheid, evaluatie en verbetering horen al bij ISO 27001. Het Cyberbeveiligingsbesluit (Cbb) verlangt eveneens een managementsysteem en aantoonbare toepassing. Voor de specifiek aangewezen digitale entiteiten gelden de technische en methodologische eisen van Uitvoeringsverordening (EU) 2024/2690 in plaats van de artikelen 6 tot en met 18 van het Cbb.3

Overlappende beheersgebieden. Toegangsbeheer, cryptografie, incidentafhandeling, continuïteit, personele beveiliging en leveranciersbeheersing komen in beide kaders terug. Annex A van ISO 27001:2022 bevat 93 referentiemaatregelen, uitgewerkt in ISO 27002:2022 en verdeeld over vier thema's: organisatorisch, mensgericht, fysiek en technologisch.

Een certificaat betekent niet dat alle 93 maatregelen zijn ingevoerd. Uw risicobehandeling bepaalt welke maatregelen nodig zijn. In de Verklaring van Toepasselijkheid (SoA) legt u de selectie, implementatiestatus en onderbouwing van uitsluitingen vast. U toetst daarbij ook of aanvullende maatregelen en wettelijke eisen moeten worden meegenomen.

ENISA helpt bij die vergelijking met technische implementatierichtsnoeren en een mapping naar onder meer ISO 27001 en 27002. Deze richtsnoeren horen bij de specifieke entiteittypen onder Uitvoeringsverordening 2024/2690. Andere organisaties kunnen ze als hulpmiddel gebruiken. De mapping toont relaties tussen eisen; zij bewijst geen volledige naleving.4

Waar ISO 27001-certificering niet automatisch NIS2-dekking oplevert

De volgende zes punten helpen om uw bestaande ISMS aan de wet te toetsen. Het zijn geen zes onderwerpen die bij ISO 27001 ontbreken. Wel moet u per punt kunnen laten zien hoe u aan de toepasselijke Cbw-, Cbb- en sectoreisen voldoet.

1. Bestuurlijke verantwoordelijkheid en training

ISO 27001 vraagt al om betrokkenheid en sturing door het management. De Cbw concretiseert daarnaast de goedkeuring van de beveiligingsmaatregelen door het bestuur en de individuele kennis- en trainingsverplichtingen. Artikel 24 geeft bestuursleden vanaf de inwerkingtreding twee jaar om over de vereiste kennis en vaardigheden te beschikken; voor latere benoemingen loopt die termijn vanaf de benoeming. Ook moeten zij hun kennis aantoonbaar actueel houden en een certificaat van relevante training hebben. Dit is geen algemeen uitstel van de zorgplicht.2

Toets: zijn de maatregelen formeel goedgekeurd, zijn training en kennisontwikkeling vastgelegd en ontvangt het bestuur informatie waarmee het de uitvoering en risico's kan beoordelen en bijsturen?

2. Wettelijke meldtermijnen

ISO 27001 biedt aanknopingspunten voor incidentmanagement en naleving van wettelijke eisen. De concrete Cbw-termijnen moet u in dat proces verwerken. Bij significante incidenten geldt: onverwijld melden, met als uiterste termijnen een vroegtijdige waarschuwing binnen 24 uur en een incidentmelding binnen 72 uur nadat u kennis heeft gekregen van het significante incident. Het eindverslag volgt uiterlijk één maand na de incidentmelding.2

Duurt het incident dan nog voort, dan verstrekt u een voortgangsverslag en volgt het eindverslag binnen één maand na afronding van de incidentafhandeling. Voor aanbieders van vertrouwensdiensten geldt bij een significant incident dat hun vertrouwensdienst raakt ook voor de incidentmelding een termijn van 24 uur. De meldingen gaan naar het toepasselijke CSIRT en de bevoegde autoriteit.

Toets: herkent uw proces tijdig een significant incident, zijn de meldroutes en vervangers bekend en heeft u geoefend of classificatie, besluitvorming en externe melding binnen de termijnen lukken?

3. Leveranciers- en ketenrisico's

Leveranciersbeheersing hoort al bij ISO 27001 en 27002. NIS2 en de Nederlandse uitwerking vragen dat u de relevante kwetsbaarheden, beveiligingspraktijken en afhankelijkheden in uw toeleveringsketen betrekt bij uw maatregelen. Welke eisen en controles passend zijn, hangt af van de risico's en de dienst. Dit is geen onbeperkte verantwoordelijkheid voor iedere leverancier en ook geen algemene verplichting om uitsluitend gecertificeerde leveranciers te gebruiken.2, 3

Toets: sluiten contractuele eisen en periodieke beoordelingen aan op de leveranciers die uw kritieke processen raken, en zijn bevindingen verwerkt in uw risicoanalyse en verbeteracties?

4. Beoordelen of maatregelen werken

Monitoring, meting, analyse en evaluatie zijn bestaande ISO 27001-eisen. Effectiviteitsbeoordeling is dus geen nieuwe toevoeging van NIS2. De wettelijke toets is of uw aanpak ook de toepasselijke beveiligingsmaatregelen omvat en of resultaten tot aantoonbare verbetering leiden. Het Cbb verlangt een schriftelijk vastgelegde periodieke evaluatie; voor de aangewezen digitale entiteiten gelden de specifieke eisen van Uitvoeringsverordening 2024/2690.3

Toets: kunt u voor kritieke maatregelen met passende metingen, tests of evaluaties laten zien wat werkt, welke tekortkomingen zijn gevonden en wie de opvolging bewaakt?

5. Registratie en wijzigingen

De Cbw kent een eigen registratieplicht in het entiteitenregister van het NCSC. Een ISO-certificaat vervangt die registratie niet. Artikel 44 verlangt dat wijzigingen in de registratiegegevens onverwijld en uiterlijk binnen twee weken worden doorgegeven. U kunt de registratie en het onderhoud ervan opnemen in uw ISMS.2

Toets: is een eigenaar aangewezen, zijn de gegevens actueel en leidt een wijziging van bijvoorbeeld contact- of dienstgegevens tijdig tot een update van de registratie?

6. De gecertificeerde en wettelijke scope

De ISO-scope wordt bepaald vanuit de organisatiecontext, relevante eisen en afhankelijkheden. Toch kan de gecertificeerde scope beperkter zijn dan de wettelijke reikwijdte. Denk aan een certificaat voor een SaaS-platform, terwijl de Cbw ook ziet op ondersteunende netwerk- en informatiesystemen die de organisatie voor haar werkzaamheden of dienstverlening gebruikt. Een uitsluiting uit de certificeringsscope beperkt de werking van de wet niet.

Toets: leg de wettelijke reikwijdte naast uw ISMS- en certificeringsscope. Benoem welke organisatieonderdelen, diensten, systemen en afhankelijkheden nog aanvullende beheersing of bewijsvoering vragen.

Niet-certificering is geen vrijbrief

NIS2 en de Cbw bevatten geen algemene verplichting om een ISO 27001-certificaat te behalen. De zorgplicht en de eisen aan aantoonbaarheid blijven wel gelden. Controleer daarbij steeds de toepasselijke sectorregels.

Voor de overheid is de verwijzing naar ISO en BIO2 inmiddels wettelijk uitgewerkt. De Cyberbeveiligingsregeling BZK en het hoofdstuk voor overheidsorganisaties in de Cyberbeveiligingsregeling IenW verlangen toepassing van NEN-EN-ISO/IEC 27001:2023 voor het managementsysteem en de afbakening daarvan. Dit is de Nederlandse en Europese overname van ISO/IEC 27001:2022. Daarnaast gelden de aangewezen ISO 27002- en relevante BIO2-maatregelen, met de voorwaarden en uitzonderingen uit de regelingen. Deze bepalingen eisen geen ISO 27001-certificaat.5

Een certificaat kan dus helpen bij het aantonen van uw werkwijze. Zonder certificaat moet u die werkwijze en de werking van uw maatregelen eveneens kunnen onderbouwen.

Zie ook NIS2 en BIO2 voor de overheid voor de specifieke overheidscontext.

De strategische vraag: certificeren, aantoonbaar werken, of beide?

De keuze voor certificering hangt samen met uw wettelijke verplichtingen, markt en klanten. Beide routes vragen een werkend ISMS en bewijs van naleving.

Certificering kan zinvol zijn wanneer klanten, aanbestedingen of ketenpartners om onafhankelijke toetsing aan een erkende norm vragen. Een geldig certificaat binnen een relevante scope kan leveranciersbeoordelingen ondersteunen. De externe auditcyclus helpt bovendien om verbeteringen periodiek te laten toetsen.

Aantoonbaar conform werken zonder certificaat kan passend zijn wanneer wetgeving en contracten geen certificering vereisen. U moet dan wel werkelijk aan de normvereisten voldoen als u ISO-conformiteit claimt. Alleen enkele ISO-maatregelen toepassen is daarvoor onvoldoende. Interne audits, managementbeoordeling en aantoonbare verbetering blijven onderdeel van de aanpak.

Deze afweging staat centraal in ISO 27001: certificeren of aantoonbaar conform werken?, inclusief de implementatiefouten die beide routes ondermijnen.

Hoe ik uw ISMS vertaal naar NIS2-aantoonbaarheid

Bij organisaties die al met ISO 27001 werken, bouw ik voort op het bestaande ISMS. De aanpak kent drie stappen.

  1. Reikwijdte en wettelijke eisen vaststellen. Ik leg de toepasselijke Cbw-, Cbb- en sectoreisen naast uw ISMS- en certificeringsscope. Zo wordt duidelijk welke onderdelen en verplichtingen u moet afdekken.
  2. Inrichting en bewijs toetsen. De zes aandachtspunten vormen het vertrekpunt. Ik beoordeel ook uw risicobehandeling, Verklaring van Toepasselijkheid en relevante maatregelen. Bestaand bewijs gebruiken we waar het aansluit; ontbrekende maatregelen of onvoldoende werking maken we expliciet.
  3. Aanpassingen in het ISMS opnemen. Benodigde wijzigingen krijgen een plaats in uw risicoregister, procedures, bestuursrapportages en evaluatiecyclus, met een eigenaar en termijn. Daarmee blijft de uitvoering samenhangend en controleerbaar.

Zie ook NIS2 implementatie voor de bredere implementatie-aanpak.

Uw ISMS naar NIS2-aantoonbaarheid vertalen? Bekijk de dienst NIS2 en BIO2 →

Veelgestelde vragen over NIS2 en ISO 27001

Is mijn ISO 27001-certificaat automatisch voldoende voor NIS2?

Nee. Het certificaat ondersteunt de onderbouwing van uw ISMS binnen de gecertificeerde scope. Voor de Cbw moet u daarnaast aantonen dat de wettelijke reikwijdte, concrete beveiligingseisen, bestuurlijke verplichtingen, meldplicht en registratie zijn afgedekt. ENISA's mapping kan helpen bij de vergelijking, maar vervangt geen beoordeling van uw organisatie.4

Betekent certificering dat alle 93 Annex A-maatregelen zijn ingevoerd?

Nee. ISO 27001 vraagt een onderbouwde selectie van noodzakelijke maatregelen. De Verklaring van Toepasselijkheid vermeldt de gekozen maatregelen, hun implementatiestatus en de redenen voor uitsluitingen uit Annex A. Wettelijke verplichtingen blijven daarbij gelden, ook als een maatregel in uw bestaande ISMS buiten beschouwing is gelaten.

Wij zijn nog gecertificeerd tegen ISO 27001:2013, wat betekent dat?

De overgangstermijn voor geaccrediteerde ISO 27001-certificaten eindigde op 31 oktober 2025. Een certificaat op basis van de 2013-editie geldt sindsdien niet meer als geldig geaccrediteerd certificaat binnen die regeling. Controleer met uw certificerende instelling uw actuele certificaat en werk ook de onderliggende inrichting en documentatie bij. ISO/IEC 27001:2022 is de actuele internationale editie, met amendement 1:2024.1

Moeten we ISO 27001:2022 toepassen om aan de Cbw te voldoen?

De Cbw stelt geen algemene eis om ISO 27001 toe te passen of gecertificeerd te zijn. Sectorregels kunnen wel toepassing van de norm voorschrijven. Voor de overheidsorganisaties onder de BZK-regeling en het relevante hoofdstuk van de IenW-regeling is NEN-EN-ISO/IEC 27001:2023 aangewezen. Die verwijzing moet u betrekken bij uw nalevingsbeoordeling.5

Is de Cyberbeveiligingswet al van kracht?

Ja, sinds 15 augustus 2026. Organisaties die onder de wet vallen moeten de voor hen geldende verplichtingen toepassen. Houd rekening met eventuele specifieke uitzonderingen of overgangsbepalingen. De termijn van twee jaar voor de vereiste kennis en vaardigheden van bestuursleden is bijvoorbeeld geen uitstel van de overige Cbw-verplichtingen.2, 3

Werkt uw organisatie met ISO 27001 en wilt u weten of uw ISMS ook de toepasselijke Cbw- en BIO2-eisen afdekt? Plan een oriënterend gesprek.

Meer over de ISO-kant? Bekijk de dienst GRC en ISO 27001 →

Bronnen

  1. ISO, ISO/IEC 27001:2022 en amendement 1:2024. NEN, NEN-EN-ISO/IEC 27001:2023, met de beschrijving van de managementsysteemeisen. UKAS, Transition arrangements for ISO/IEC 27001:2022, over de 93 Annex A-maatregelen en de transitiedeadline van 31 oktober 2025. ↩
  2. Cyberbeveiligingswet, Staatsblad 2026, 187, in het bijzonder artikel 24 (bestuur, kennis en training), artikelen 26–29 (incidentmeldingen) en artikel 44 (registratie). Zie ook Richtlijn (EU) 2022/2555, artikelen 20, 21 en 23. ↩
  3. Cyberbeveiligingsbesluit, Staatsblad 2026, 189, artikelen 4, 6, 10 en 18 over toepasselijkheid, managementsysteem, toeleveringsketen en effectiviteitsbeoordeling; artikel 35 regelt de inwerkingtreding op 15 augustus 2026. Voor de specifiek aangewezen digitale entiteiten: Uitvoeringsverordening (EU) 2024/2690. ↩
  4. ENISA, NIS2 Technical Implementation Guidance, richtsnoeren versie 1.0 van 26 juni 2025 en de afzonderlijke mappingtabel versie 1.2. De richtsnoeren ondersteunen de toepassing van Uitvoeringsverordening 2024/2690 en bieden voorbeelden van bewijs en relaties met normen. ↩
  5. Cyberbeveiligingsregeling BZK, Staatscourant 2026, 27679, artikelen 3–5, en Cyberbeveiligingsregeling IenW, Staatscourant 2026, 24093, paragraaf 4.1 en artikelen 6–8 voor overheidsorganisaties. Deze bepalingen werken de toepassing van ISO en BIO2 uit. ↩