ISO 27001 en NIS2: hoe passen ze samen?

ISO 27001 en NIS2 worden vaak in een adem genoemd, en dat is terecht: wie een werkend managementsysteem heeft, heeft een groot deel van de zorgplicht uit de Cyberbeveiligingswet al staan. Maar ze zijn niet hetzelfde, en een certificaat maakt u niet automatisch compliant.

Het verschil zit in de aard. ISO 27001 is een vrijwillige norm met een certificaat. De Cyberbeveiligingswet, de Nederlandse invulling van de Europese NIS2-richtlijn, is wetgeving met een toezichthouder en zonder certificaat.

Hieronder ziet u wat overlapt, wat er echt bij komt en hoe u de twee slim combineert.

Waar ze op hetzelfde fundament staan

Allebei vragen ze om beheersing op basis van risico. U bepaalt wat er kan misgaan, u kiest maatregelen die daarbij passen, en u toont aan dat het werkt.

Wie de linkerkolom op orde heeft, heeft het grootste deel van de rechterkolom ook. Dat scheelt aanzienlijk in werk.

Wat er echt bij komt

Drie dingen vraagt de wet die de norm niet zo scherp stelt.

Het eerste is de meldplicht met vaste termijnen. Waar de norm vraagt om een procedure, schrijft de wet voor binnen hoeveel tijd u een significant incident meldt en wat er in die melding hoort. Dat vraagt een ingerichte meldketen, inclusief de vraag wie buiten kantooruren mag besluiten dat er gemeld wordt.

Het tweede is de verantwoordelijkheid van de leiding. Bestuurders moeten aantoonbaar kennis hebben van de risico’s en van de maatregelen. Een directiebeoordeling van een half uur zonder besluiten volstaat daar niet voor.

Het derde is de keten. De norm vraagt om beveiliging in leveranciersrelaties, de wet benoemt ketenbeveiliging expliciet en kijkt ook naar de leveranciers van uw leveranciers waar die een kritieke functie raken.

De meldplicht vraagt meer dan een procedure

Van de drie punten die erbij komen is de meldplicht in de praktijk het lastigst, omdat hij iets vraagt wat losstaat van techniek: een besluit onder tijdsdruk.

Bij een verstoring is de eerste reflex herstellen. Begrijpelijk, en het kan bewijs vernietigen dat u nodig heeft voor de melding. Leg daarom vast wie beoordeelt of iets significant is, wie mag besluiten dat er gemeld wordt, en wat er gebeurt als dat buiten kantooruren speelt.

Oefen dat besluit ook een keer. Een cybercrisisoefening kost een dagdeel en laat vrijwel altijd zien dat de rolverdeling op papier anders is dan in de kamer. Zie de cybercrisisoefening.

Waarom een certificaat geen vrijbrief is

Dit is het punt waarop de meeste misverstanden ontstaan. Een ISO 27001-certificaat toont aan dat u een werkend systeem heeft binnen uw scope. Het zegt niets over of u aan de wet voldoet.

Twee redenen. De scope van uw certificaat hoeft niet samen te vallen met de onderdelen waarop de wet ziet. En de wet stelt eisen die buiten de norm vallen, zoals de meldtermijnen.

Omgekeerd geldt hetzelfde: voldoen aan de wet maakt u niet ISO 27001-gecertificeerd, want daarvoor is een toetsing door een geaccrediteerde instelling nodig.

Hoe u ze slim combineert

Bouw een systeem en gebruik het voor allebei. Praktisch betekent dat drie dingen.

Zorg dat uw scope de onderdelen dekt waarop de wet ziet, ook als u om commerciële redenen kleiner had willen beginnen. Vul uw incidentprocedure aan met de wettelijke termijnen en met een beslisboom voor wanneer iets significant is. En breid uw leveranciersbeoordeling uit naar de partijen die een kritieke functie raken.

Wilt u weten of de wet op u van toepassing is, dan is dat het startpunt. Zie de NIS2 gap-analyse, en voor het geheel wat is ISO 27001.

Zo laat u een systeem twee doelen dienen

De verleiding is groot om twee trajecten naast elkaar te zetten, met twee documentensets en twee overlegstructuren. Dat is dubbel werk en het loopt gegarandeerd uit de pas.

Wat wel werkt is een systeem met drie aanpassingen. Zorg dat uw scope de onderdelen dekt waarop de wet ziet, ook als u om andere redenen kleiner had willen beginnen. Een certificaat met een smalle scope is prima, maar het dekt uw wettelijke verplichting niet vanzelf.

Vul uw incidentprocedure aan met de wettelijke termijnen en met een beslisboom voor wanneer iets significant is. Dat is een uitbreiding van wat u al heeft, geen nieuw proces.

En breid uw leveranciersbeoordeling uit naar partijen die een kritieke functie raken, inclusief de vraag welke onderaannemers zij inschakelen. Dat is het onderdeel met de langste doorlooptijd, dus begin daar vroeg mee.

Waar de twee elkaar in de weg kunnen zitten

Op één punt kunnen norm en wet uit elkaar lopen, en dat is de scope. Voor het certificaat kiest u die zelf, en een smalle scope is goedkoper en sneller. De zorgplicht uit de wet geldt echter voor uw hele organisatie.

Dat levert een ongemakkelijke situatie op die vaker voorkomt dan gedacht: een organisatie met een geldig certificaat dat precies die dienst dekt waar klanten naar vragen, terwijl de wet ziet op onderdelen die erbuiten vallen.

Twee routes daaruit. U verbreedt de scope van uw certificaat zodat de twee samenvallen, wat duidelijk is maar de audit duurder maakt. Of u houdt de scope smal en documenteert apart hoe u de zorgplicht invult voor de rest, wat goedkoper is maar meer administratie kost.

Welke route past hangt af van hoe groot het verschil is. Zit er weinig licht tussen, dan is samenvallen meestal het eenvoudigst. Is de rest van uw organisatie veel groter, dan is de tweede route verstandiger.

Veelgestelde vragen over ISO 27001 en NIS2

Voldoe ik aan de Cyberbeveiligingswet als ik ISO 27001-gecertificeerd ben?

Niet automatisch. U heeft wel het grootste deel van het risicobeheer staan. Wat erbij komt is vooral de meldplicht met vaste termijnen, de aantoonbare kennis bij bestuurders en de bredere blik op de keten. Ook moet uw scope de onderdelen dekken waarop de wet ziet.

Is ISO 27001 verplicht onder de Cyberbeveiligingswet?

Nee. De wet schrijft geen norm voor. ISO 27001 is wel de handigste manier om aan te tonen dat u de zorgplicht invult, omdat het een erkend kader is met een onafhankelijke toetsing.

Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?

NIS2 is de Europese richtlijn, de Cyberbeveiligingswet is de Nederlandse wet waarin die richtlijn is omgezet. Voor uw organisatie is de Nederlandse wet leidend, want daarop wordt toegezien.

Moet mijn certificaat de hele organisatie dekken?

Voor de norm niet, u bepaalt de scope zelf. Voor de wet wel in die zin dat de zorgplicht voor uw hele organisatie geldt. Een smalle scope is dus prima voor het certificaat maar dekt niet vanzelf uw wettelijke verplichting.

Waar begin ik als ik met allebei te maken heb?

Bij de vraag of de wet op u van toepassing is, want dat bepaalt de scope. Daarna bouwt u een systeem dat allebei bedient. Dat is efficiënter dan twee trajecten naast elkaar, want het overlapt voor het grootste deel.