Het is een van de meest gehoorde uitspraken in bestuurskamers en bij IT-managers: wij zijn ISO 27001-gecertificeerd, dus met NIS2 komt het wel goed. De redenering is navolgbaar. Er is geïnvesteerd in een erkende norm, er zijn audits doorlopen en het certificaat hangt aan de muur. De werkelijkheid is echter genuanceerder, en die nuance kan kostbaar uitpakken.
Het korte antwoord: nee, ISO 27001 maakt u niet automatisch NIS2-compliant. De norm vormt een uitstekend fundament, maar NIS2 stelt aanvullende eisen die een managementsysteem doorgaans niet afdekt.
Waarom de aanname zo verleidelijk is
ISO 27001 en NIS2 delen aanzienlijke gemeenschappelijke grond: risicomanagement, toegangsbeheer, incidentafhandeling en continue verbetering. De verwarring is daarmee goed verklaarbaar. Het onderscheid zit elders: NIS2 is geen norm maar wetgeving, en wetgeving stelt verplichtingen die verder reiken dan wat een managementsysteem voorschrijft.
De 6 gaps die uw ISO 27001-certificaat niet afdekt
1 Meldplicht binnen 24 uur
NIS2 verlangt een vroegtijdige waarschuwing binnen 24 uur bij een significant incident, gevolgd door een volledige melding binnen 72 uur. ISO 27001 schrijft voor dát u over een incidentprocedure beschikt, maar stelt geen termijnen voor melding aan externe partijen.
2 Supply chain security
NIS2 verplicht u de beveiligingsrisico's in uw gehele toeleveringsketen te beoordelen en te beheersen. Annex A van ISO 27001 raakt leveranciersbeheer aan, maar niet met de reikwijdte die NIS2 vraagt: contractuele beveiligingseisen en periodieke toetsing van leveranciers horen daar uitdrukkelijk bij.
3 Bestuurdersaansprakelijkheid
NIS2 maakt bestuurders persoonlijk aanspreekbaar op cybersecurity. Zij moeten aantoonbaar betrokken zijn bij de risicobeoordeling en de goedkeuring van maatregelen. ISO 27001 verlangt betrokkenheid van de directie, maar verbindt daar geen persoonlijke juridische aansprakelijkheid aan.
4 OT-omgevingen in scope
Veel ISO 27001-certificeringen beperken zich tot de IT-omgeving. NIS2 maakt dat onderscheid niet: is uw operationele technologie essentieel voor de dienstverlening, dan valt zij binnen de reikwijdte. SCADA-systemen, PLC's en productieomgevingen horen daarmee in de risicobeoordeling thuis.
5 Business continuity en crisismanagement
NIS2 stelt uitdrukkelijke eisen aan bedrijfscontinuïteit, back-upbeheer en herstel na calamiteiten. ISO 27001 behandelt deze onderwerpen via Annex A, maar de wettelijke eisen zijn specifieker en verplichten tot het daadwerkelijk beproeven van herstelplannen.
6 Actief toezicht en handhaving
ISO 27001 berust op vrijwillige certificering. NIS2 wordt gehandhaafd door nationale toezichthouders, die audits kunnen uitvoeren, bindende aanwijzingen kunnen geven en boetes kunnen opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, vastgelegd in artikel 34 van richtlijn (EU) 2022/2555.
Wat ISO 27001 u wél biedt
Daarmee is niets afgedaan aan de waarde van de norm. Organisaties met een volwassen managementsysteem hebben een aanzienlijke voorsprong, omdat zij al beschikken over:
- een systematische benadering van risico's
- vastgelegde procedures en beleid
- een verbetercyclus die periodiek wordt doorlopen
- beheersmaatregelen voor toegang, versleuteling en logging
De opgave is dan ook niet om ISO 27001 te vervangen, maar om de onderdelen aan te vullen die de wet aanvullend verlangt.
Wat moet u nu doen?
- Voer een gap-analyse uit waarin u de reikwijdte en maatregelen van uw managementsysteem naast de wettelijke vereisten legt.
- Breid de scope uit met OT-omgevingen, de toeleveringsketen en bedrijfscontinuïteit.
- Richt de meldprocedure in zodat een vroegtijdige waarschuwing binnen 24 uur haalbaar is, ook buiten kantooruren.
- Betrek het bestuur en leg zijn rol in de governance formeel vast.
- Leg vast en beproef. De wet verlangt aantoonbare uitvoering, niet uitsluitend beleid op papier.
Tip: begin de gap-analyse op basis van uw bestaande ISO 27001-documentatie. Daarmee wordt snel zichtbaar waar de aanvullende inspanning zit, en die valt bij een volwassen managementsysteem doorgaans mee.
Wilt u weten waar uw gaps zitten?
Resotech voert NIS2-gap-analyses uit voor organisaties die al ISO 27001-gecertificeerd zijn, en benoemt per beheersmaatregel welke aanvullende eis de richtlijn stelt.
Plan een gesprek