Question 1

Wat is het verschil tussen NIS2 en ISO 27001?

Accepted Answer

NIS2 is een EU-richtlijn, in Nederland ingevoerd als de Cyberbeveiligingswet, en voor essentiële en belangrijke entiteiten een wettelijke plicht. ISO 27001 is een vrijwillige internationale norm voor een managementsysteem voor informatiebeveiliging. NIS2 kent toezicht en boetes; ISO 27001 kent certificering door een geaccrediteerde instelling. Een NIS2-certificaat bestaat niet.

Question 2

Is ISO 27001 genoeg voor NIS2?

Accepted Answer

Niet volledig. Het Cyberbeveiligingsbesluit vraagt een gedocumenteerde managementsystematiek op basis van Plan-Do-Check-Act en noemt de ISO 27000-reeks als voorbeeld, maar verlangt geen certificaat. Een ISMS ordent dus veel van het bewijs. De registratie bij het NCSC, de meldtermijnen en de verplichtingen van het bestuur moet u daarnaast inrichten.

Question 3

Hebben we allebei nodig?

Accepted Answer

Valt uw organisatie onder de Cyberbeveiligingswet, dan is NIS2 een wettelijke plicht. ISO 27001 is dat, op één uitzondering na in de sector overheid, niet. Veel organisaties kiezen toch voor beide: de Cbw omdat het moet, ISO 27001 omdat klanten en aanbestedingen erom vragen. Eén ISMS bedient dan beide, zodat u het bewijs één keer opbouwt.

Question 4

Wie houdt toezicht?

Accepted Answer

Onder de Cyberbeveiligingswet houden sectorale inspecties toezicht, zoals de RDI, ILT, IGJ en NVWA, en voor financiële sectoren DNB en de AFM. Het NCSC beheert het meldportaal. Bij ISO 27001 is er geen toezichthouder: een certificerende instelling toetst uw ISMS, en die instelling is in Nederland geaccrediteerd door de RvA.

Question 5

Wat gebeurt er als we tekortschieten?

Accepted Answer

Onder de Cyberbeveiligingswet kan een essentiële entiteit een boete krijgen van ten hoogste 10 miljoen euro of 2% van de wereldwijde jaaromzet, het hoogste van beide, en een belangrijke entiteit 7 miljoen euro of 1,4%. Ook beveiligingsaudits en bindende aanwijzingen zijn mogelijk. Bij ISO 27001 is er geen boete: het certificaat wordt geschorst of ingetrokken.

Criterium	NIS2EU-richtlijn, Cbw	ISO 27001Vrijwillige internationale norm
Wat het is	EU-richtlijn, in Nederland ingevoerd als de Cyberbeveiligingswet (Cbw).	Een norm voor een managementsysteem voor informatiebeveiliging, een ISMS.
Voor wie het geldt	Essentiële en belangrijke entiteiten in 18 sectoren. Ruim 8.000 Nederlandse organisaties.	Elke organisatie, ongeacht type of omvang, die ervoor kiest de norm toe te passen.
Verplicht of vrijwillig	Verplicht. Registratie, zorgplicht en meldplicht, alle drie vanaf dag één.	Vrijwillig. Eén uitzondering: essentiële entiteiten in de sector overheid moeten de norm toepassen.
Van toepassing sinds	15 augustus 2026, de dag waarop de Cyberbeveiligingswet in werking trad.	Huidige versie gepubliceerd op 25 oktober 2022, met een klimaatwijziging uit 2024.
Toezichthouder of uitgevende instantie	Sectorinspecties: RDI, ILT, DNB, AFM, IGJ, NVWA. Het NCSC beheert het meldportaal.	Een certificerende instelling, in Nederland geaccrediteerd door de RvA.
Wat u moet kunnen aantonen	Tien zorgplichtelementen, letters a tot en met j, en een managementsystematiek op PDCA-basis.	Een gedocumenteerd ISMS: scope, risicomethode, Verklaring van Toepasselijkheid, auditverslagen.
Gevolg bij tekortkoming	Essentiële entiteiten: tot EUR 10 miljoen of 2% van de groepsomzet, het hoogste van beide.	Geen boete. Het certificaat wordt geschorst of ingetrokken, wat klanten en aanbestedingen zien.
Certificering mogelijk	Nee. Er bestaat geen NIS2-certificaat en de Cbw vereist er ook geen.	Ja, door een geaccrediteerde certificerende instelling.

NIS2 en ISO 27001 naast elkaar

Acht criteria naast elkaar

Welk kader geldt voor u

Wat klanten ons vragen

Begin met de toepasselijkheidscheck