ISO 27001 certificeert een managementsysteem, geen product. Wij bepalen de scope, bouwen het ISMS, houden het draaiend en maken het bewijs gereed waar een onafhankelijke, geaccrediteerde certificerende instelling om vraagt. Het certificaat wordt door die instelling verstrekt, niet door ons.
Bijgewerkt op 25 september 2026
Vrijwel geen Nederlandse wet verplicht ISO 27001. De Cyberbeveiligingswet noemt de norm niet en NIS2 evenmin. Eén uitzondering: voor essentiële entiteiten in de sector overheid maakt de Cyberbeveiligingsregeling sector overheid NEN-EN-ISO/IEC 27001:2023 wel verplicht. Voor alle andere organisaties komt de vraag van klanten, van aanbestedingen en van de directie. Dat maakt het een commerciële afweging, geen juridische, en het is de schoonste manier om uw bewijslast te ordenen.
Een geaccrediteerd certificaat met een actuele verklaring van toepasselijkheid is het document dat de meeste Nederlandse inkoopteams accepteren zonder eigen aanvullende audit. Zonder dat beantwoordt u dezelfde vraag bij elke inschrijving opnieuw.
Onder de zorgplicht van artikel 21, derde lid, onder d, van de Cyberbeveiligingswet moet elke essentiële en belangrijke entiteit de beveiliging van haar leveranciers beheersen. Een geaccrediteerd certificaat is het bewijsstuk dat uw klanten daarvoor het snelst accepteren.
Hoofdstuk 9 vereist monitoring, interne audit en een directiebeoordeling op geplande momenten. Dat geeft de directie een terugkerend, onderbouwd beeld van hoe informatiebeveiliging feitelijk presteert, in plaats van een mening.
De Cyberbeveiligingswet en leveranciersbeoordelingen vragen om overlappend bewijs van dezelfde maatregelen. Eén ISMS met een heldere scope bedient beide, waarbij wij de aanvullende verplichtingen bewust apart beleggen.
Bijlage A is een normatieve referentielijst, geen checklist die u volledig moet uitvoeren. Clausule 6.1.3 vraagt u uw eigen selectie ertegen af te zetten en elke opname en elke uitsluiting te verantwoorden in de verklaring van toepasselijkheid. Het aantal maatregelen per thema zegt niets over de hoeveelheid werk: dat bepaalt uw scope, niet de norm.
Governance, beleid, rollen, assetregistratie, leveranciersrelaties, incidentbeheer, wettelijke en contractuele verplichtingen en onafhankelijke beoordeling. Het grootste thema, en het deel dat het dichtst bij uw bestaande managementsysteem ligt.
maatregelen
Screening, arbeidsvoorwaarden, bewustwording en training, het disciplinaire proces, verantwoordelijkheden na functiewijziging, geheimhoudingsafspraken, thuiswerken en het melden van gebeurtenissen. Acht maatregelen, alle over mensen.
maatregelen
Beveiligingszones, fysieke toegang, beveiligde ruimten en faciliteiten, fysieke bewaking, bescherming tegen fysieke en omgevingsdreigingen, apparatuur buiten het pand, opslagmedia, nutsvoorzieningen en veilige afvoer. Voor een organisatie zonder eigen serverruimte is dit meestal het kleinste deel van de verklaring van toepasselijkheid.
maatregelen
Endpoints, bevoorrechte toegang, authenticatie, bescherming tegen malware, kwetsbaarheden- en configuratiebeheer, back-up, logging, bewaking, cryptografie, veilig programmeren en wijzigingsbeheer.
maatregelen
Wij bouwen het managementsysteem en bereiden de certificering voor. De certificeringsbeslissing ligt bij een onafhankelijke, geaccrediteerde certificerende instelling, die ons niet kan zijn en ook niet hoort te zijn. Hoe lang dit duurt hangt af van de scope en van wat er al ligt. Bij een organisatie van vijftig tot tweehonderd mensen met een werkend managementsysteem rekent u indicatief op een half jaar tot een jaar tot het certificaat. Dat is geen toezegging: het ISMS moet vóór Stage 1 aantoonbaar hebben gedraaid, en de instelling bepaalt haar eigen planning en haar eigen oordeel.
Scope, gap-analyse en de methodiek voor risicobeoordeling. De scope bepaalt de kosten, want de auditinspanning wordt onder ISO/IEC 27006-1:2024 berekend op het aantal mensen dat binnen die scope werkt.
Het ISMS bouwen: beleid, doelstellingen, risicobehandeling, de verklaring van toepasselijkheid en de maatregelen die u noodzakelijk acht. Op risico geselecteerd, want elke opgenomen maatregel is bewijs dat u bij elke audit levert.
Vóór Stage 1 moeten een interne audit en een directiebeoordeling zijn uitgevoerd en vastgelegd. De interne audit doet een collega die niet aan de opbouw heeft gewerkt, of uw eigen interne auditor onder ISO 9001. De directiebeoordeling is van uw directie; wij leveren de input van clausule 9.3.2 aan.
Het certificaat opent een cyclus van drie jaar: controle-audits in jaar één en twee, hercertificering in jaar drie. Elke audit bemonstert een ander deel van het systeem, dus het ISMS moet tussen de bezoeken door blijven draaien.
Een RvA-geaccrediteerde instelling voert Stage 1 uit (documentatie en gereedheid) en daarna Stage 2 (werking, via steekproeven en interviews). Een grote afwijking moet gesloten zijn voordat het certificaat wordt afgegeven; dat gebeurt weken na Stage 2, na een besluit door iemand die niet in het auditteam zat. Wij hebben geen invloed op dat oordeel. Wij helpen u wel een instelling te kiezen en de auditdagen te begroten, die onder ISO/IEC 27006-1 worden berekend op het aantal mensen binnen de scope.
ISO/IEC 27001:2022 benoemt de gedocumenteerde informatie die u moet hebben. Ontbreekt een deel, dan is dat een bevinding. Wij leveren deze als werkende documenten, die actueel blijven tussen audits en niet pas in de maand ervoor worden samengesteld.
Een audit is een momentopname. Beide kaders vragen meer dan dat: NIS2 eist beleid om de effectiviteit van maatregelen te beoordelen, ISO 27001 maakt dreigingsinformatie een eigen beheersmaatregel. Daarom zoeken wij doorlopend het dark web, criminele chatkanalen, ransomware-leaksites, paste-sites en openbare code-opslagplaatsen af naar wat over uw organisatie naar buiten is gekomen.
Wat er wordt bewaakt
Wat wij ermee doen
Onze monitoring verzamelt en signaleert vrijwel realtime. Wij beoordelen elke melding, bepalen de ernst en zetten die om in de actie die het kader vraagt: wachtwoord-reset, intrekken van sessies, een melding binnen de termijn of een correctie in het dossier. Elke bevinding en elke opvolging wordt gedateerd vastgelegd, zodat de effectiviteitstoets niet één keer per jaar plaatsvindt maar doorlopend wordt onderbouwd.
Waar het in het kader landt
NIS2Art. 21 lid 2, onder a, b, d en f
Risicoanalyse, incidentbehandeling, beveiliging van de toeleveringsketen en de beoordeling van de effectiviteit van maatregelen.
ISO 27001Bijlage A 5.7, 5.19 tot 5.22 en 8.16
Dreigingsinformatie, leveranciersrelaties en monitoringactiviteiten.
Wat het niet is
Deze monitoring is geen security operations center. Zij kijkt naar wat buiten uw netwerk over u is uitgelekt, niet naar het verkeer binnen uw netwerk. Detectie in uw eigen omgeving en incidentrespons zijn een afzonderlijke afspraak.
Twee kaders die regelmatig door elkaar worden gehaald. Het ene is wet, het andere een norm die u zelf kiest. Deze tabel zet uiteen wat elk kader is, voor wie het geldt en wat u moet kunnen aantonen.
Wat het is
Voor wie het geldt
Verplicht of vrijwillig
Van toepassing sinds
Toezichthouder of uitgevende instantie
Wat u moet kunnen aantonen
Gevolg bij tekortkoming
Certificering mogelijk
| Criterium | NIS2EU-richtlijn, Cbw | ISO 27001Vrijwillige internationale norm |
|---|---|---|
| Wat het is | EU-richtlijn, in Nederland ingevoerd als de Cyberbeveiligingswet (Cbw). | Een norm voor een managementsysteem voor informatiebeveiliging, een ISMS. |
| Voor wie het geldt | Essentiële en belangrijke entiteiten in 18 sectoren. Ruim 8.000 Nederlandse organisaties. | Elke organisatie, ongeacht type of omvang, die ervoor kiest de norm toe te passen. |
| Verplicht of vrijwillig | Verplicht. Registratie, zorgplicht en meldplicht, alle drie vanaf dag één. | Vrijwillig. Eén uitzondering: essentiële entiteiten in de sector overheid moeten de norm toepassen. |
| Van toepassing sinds | 15 augustus 2026, de dag waarop de Cyberbeveiligingswet in werking trad. | Huidige versie gepubliceerd op 25 oktober 2022, met een klimaatwijziging uit 2024. |
| Toezichthouder of uitgevende instantie | Sectorinspecties: RDI, ILT, DNB, AFM, IGJ, NVWA. Het NCSC beheert het meldportaal. | Een certificerende instelling, in Nederland geaccrediteerd door de RvA. |
| Wat u moet kunnen aantonen | Tien zorgplichtelementen, letters a tot en met j, en een managementsystematiek op PDCA-basis. | Een gedocumenteerd ISMS: scope, risicomethode, Verklaring van Toepasselijkheid, auditverslagen. |
| Gevolg bij tekortkoming | Essentiële entiteiten: tot EUR 10 miljoen of 2% van de groepsomzet, het hoogste van beide. | Geen boete. Het certificaat wordt geschorst of ingetrokken, wat klanten en aanbestedingen zien. |
| Certificering mogelijk | Nee. Er bestaat geen NIS2-certificaat en de Cbw vereist er ook geen. | Ja, door een geaccrediteerde certificerende instelling. |
Stand van zaken september 2026. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden en de sectorale drempelwaarden die bepalen wanneer een incident meldplichtig is, worden nog uitgewerkt in ministeriële regelingen. Het bepalen welk kader op uw organisatie van toepassing is, blijft uw eigen wettelijke verantwoordelijkheid; deze tabel is een samenvatting, geen advies.
Een gecertificeerd ISMS draagt een aanzienlijk deel van wat de Cyberbeveiligingswet vraagt. Niet alles, en geen enkel certificaat maakt een organisatie juridisch compliant met de wet. Wij vullen het ontbrekende bewust aan in plaats van het weg te redeneren.
Kaders vergelijkenVertel ons uw sector, uw omvang en wat er van u gevraagd wordt. Binnen 24 uur ontvangt u een schriftelijke eerste inschatting van hoe een ISO 27001-scope er voor uw organisatie uitziet, en waar NIS2-verplichtingen daarnaast staan.