Is ISO 27001 verplicht? NIS2 of ISO 27001, wat heeft u nodig

Is ISO 27001 verplicht? Nee. ISO 27001 is een vrijwillige internationale norm voor informatiebeveiliging, en de wet verplicht u niet tot een certificaat. Ook de Cyberbeveiligingswet (CBW), de Nederlandse invulling van NIS2, schrijft geen certificaat voor.

Toch krijgen veel organisaties er wel mee te maken. Klanten zetten het in contracten, aanbestedingen vragen erom en in de zorg geldt een eigen norm: NEN 7510. De echte vraag is dus niet of ISO 27001 verplicht is, maar wat er in uw situatie van u gevraagd wordt.

Hieronder leest u wat de wet wel en niet vraagt. Daarna volgen vier situaties, met per situatie ons advies. Zo ziet u of u een certificaat nodig heeft, of dat aantoonbaar werken volgens de norm volstaat.

Is ISO 27001 verplicht volgens de wet?

De Cyberbeveiligingswet vraagt organisaties die eronder vallen om passende en evenredige maatregelen. Daarbij houden zij rekening met de stand van de techniek en de kosten. Ook Europese en internationale normen wegen mee, waar die van toepassing zijn. Zo staat het in artikel 21 van de Cyberbeveiligingswet.

Een norm meewegen is iets anders dan een norm voorschrijven. De wet noemt ISO 27001 niet bij naam en vraagt geen certificaat. Wel vraagt het Cyberbeveiligingsbesluit om een managementsystematiek: een vaste manier om beveiliging te plannen, uit te voeren, te toetsen en te verbeteren. ISO 27001 is daarvan de bekendste invulling.

Er staat wel een certificaat in de wet, maar een ander dan u misschien verwacht. Bestuurders moeten met een certificaat aantonen dat zij een training over de risico’s hebben gevolgd. Dat is een bewijs van opleiding, geen ISO-certificaat.

Voor de AVG geldt hetzelfde. Die vraagt passende maatregelen om persoonsgegevens te beveiligen, maar laat de keuze van het kader aan u. Hoe ISO 27001 en de zorgplicht uit de Cyberbeveiligingswet inhoudelijk overlappen, staat in ISO 27001 en NIS2.

In de zorg geldt NEN 7510

In de zorg ligt de lat wettelijk vast. Het Besluit elektronische gegevensverwerking door zorgaanbieders bepaalt dat zorgaanbieders hun informatiesystemen veilig en zorgvuldig gebruiken volgens NEN 7510 en NEN 7512. NEN 7512 gaat over veilige gegevensuitwisseling, NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, gebouwd op ISO 27001 en ISO 27002.

Valt een zorgorganisatie ook onder de Cyberbeveiligingswet, dan werkt de Cyberbeveiligingsregeling voor de zorg de zorgplicht verder uit. De maatregelen moeten aantoonbaar voldoen aan NEN 7510, aan ISO 27001 met ISO 27002, of een gelijkwaardig beschermingsniveau hebben. Volgens de toelichting is certificering daarbij geen vereiste.

Wie vraagt of ISO 27001 verplicht is in de zorg, krijgt dus een genuanceerd antwoord. U moet een norm volgen en dat kunnen aantonen, maar een certificaat eist de wet niet. Wat NEN 7510 precies vraagt, leest u in wat NEN 7510 is.

Valt u in een andere sector onder de wet, kijk dan naar de regeling voor uw sector. Die werkt de zorgplicht uit en kan een norm aanwijzen. Voor onder meer de maakindustrie noemt de regeling geen specifieke norm.

Wanneer klanten ISO 27001 verplicht stellen

Waar de wet het laat liggen, doen klanten het vaak wel. Dat gebeurt langs drie routes.

• Aanbestedingen. Het certificaat staat als harde eis of als gunningscriterium in de stukken. Zonder certificaat doet u dan niet mee, hoe goed uw beveiliging ook is.
• Contracten en leveranciersbeoordelingen. Een grote klant vraagt bij inkoop of verlenging naar uw certificaat, of stuurt een uitgebreide vragenlijst.
• De keten van de Cyberbeveiligingswet. Organisaties die onder de wet vallen, moeten ook de beveiliging in hun keten beheersen. Die eisen leggen zij contractueel bij hun leveranciers neer.

Een contractuele eis is voor die klant net zo dwingend als een wettelijke. Lees daarom precies wat er staat. Soms is een certificaat vereist. Soms volstaat het als u aantoont dat u volgens de norm werkt. En soms accepteert een klant een assurance-rapport, zoals SOC 2: een verklaring van een auditor over uw beheersmaatregelen.

Vier situaties, vier adviezen

Wat u nodig heeft, hangt af van uw situatie. U herkent zich waarschijnlijk in een van deze vier, misschien in meer dan één.

Zit u in meer dan één situatie, volg dan het zwaarste advies. Een klant die een certificaat eist, gaat voor op een wet die er geen vraagt.

Situatie 1: u valt zelf onder de Cyberbeveiligingswet

Dan is de zorgplicht uw uitgangspunt, niet de norm. Controleer eerst of u er echt onder valt. Dat hangt af van uw sector en omvang, zie voor wie de wet geldt.

Ons advies: gebruik ISO 27001 als kader om de zorgplicht in te vullen. De onderwerpen uit de wet passen grotendeels in de structuur van de norm, dus u bouwt één systeem voor allebei. Of u daarna ook certificeert, is een aparte keuze.

Een certificaat geeft een onafhankelijke toets. Dat helpt als de toezichthouder of uw klanten willen weten hoe u ervoor staat. Check daarnaast de regeling voor uw sector, want in de zorg wijst die zelf de normen aan.

Situatie 2: u levert aan een organisatie die eronder valt

Dan valt u vaak niet zelf onder de wet, maar krijgt u de eisen via het contract. Uw klant moet zijn keten beheersen. Hij vraagt u daarom om afspraken over toegang, incidentmeldingen en beveiligingsmaatregelen.

Ons advies: stel een standaardpakket samen. Een korte beschrijving van uw beveiliging, uw beleid, hoe u incidenten meldt en wie het aanspreekpunt is. Dan onderhandelt u niet met elke klant apart over dezelfde punten.

Vragen meerdere klanten om aantoonbaarheid, dan wordt certificeren interessant. Eén externe toets vervangt dan een stapel vragenlijsten.

Situatie 3: een klant of aanbesteding vraagt om een certificaat

Dan maakt uw klant ISO 27001 verplicht, en volstaat alleen een certificaat. Wel loont het om twee dingen uit te zoeken voordat u begint.

Het eerste is de scope. Vraag welke dienst of locatie de klant gecertificeerd wil zien. Een certificaat dat net niet de dienst dekt waar de vraag over gaat, levert niets op.

Het tweede is de planning. Van nulmeting tot certificaat kost maanden, dus begin ruim voor de volgende aanbesteding. Wat het traject inhoudt en kost, staat in ISO 27001 kosten en op de pagina over ISO 27001 certificering.

Situatie 4: geen wet en geen klant die erom vraagt

Dan heeft u geen certificaat nodig, en dat is een prima conclusie. Wel blijft de AVG gelden zodra u persoonsgegevens verwerkt, en dat doet vrijwel elke organisatie.

Ons advies: zorg dat de basis op orde is. Denk aan tijdige updates en meerfactorauthenticatie op accounts die van buiten bereikbaar zijn. Zorg ook voor back-ups waarvan u het herstel heeft getest, en voor heldere afspraken over toegang. Leg vast wat u doet, zodat u het kunt laten zien als iemand ernaar vraagt.

Kijk er elk jaar opnieuw naar. Een nieuwe klant, een aanbesteding of groei kan uw situatie snel veranderen. Wie de basis al heeft vastgelegd, staat dan veel sneller klaar.

Aantonen zonder certificaat of certificeren: wat kost meer werk?

Aantonen zonder certificaat lijkt goedkoper, maar dat klopt maar deels. Het inhoudelijke werk is in beide gevallen hetzelfde: risico’s beoordelen, maatregelen kiezen, vastleggen en jaarlijks toetsen.

Het verschil zit in de toetsing. Bij certificering betaalt u een certificerende instelling en krijgt u een vast ritme van controleaudits. Zonder certificaat bespaart u die kosten, maar overtuigt u elke klant zelf. Dat betekent vragenlijsten invullen, gesprekken voeren en bewijs aanleveren, telkens opnieuw.

Onze vuistregel: vragen meerdere klanten om aantoonbaarheid, of staat er een aanbesteding op de planning, dan is certificeren per saldo minder werk. Blijft het bij een enkele vraag, dan volstaat aantonen zonder certificaat vaak prima.

Veelgestelde vragen over ISO 27001 en verplichtingen

Is ISO 27001 verplicht in de zorg?

Nee. In de zorg geldt NEN 7510, die zorgaanbieders wettelijk moeten volgen. Voor de Cyberbeveiligingswet mag een zorgorganisatie ook aantonen dat zij voldoet aan ISO 27001 met ISO 27002. Een certificaat is in beide gevallen geen wettelijke eis.

Moet ik ISO 27001-gecertificeerd zijn voor NIS2?

Nee. De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, vraagt passende maatregelen en een managementsystematiek, maar geen certificaat. ISO 27001 is wel een praktische manier om de zorgplicht in te vullen en aan te tonen.

Is een SOC 2-rapport een alternatief voor ISO 27001?

Soms. SOC 2 is een assurance-rapport en geen certificaat: een auditor beoordeelt uw beheersmaatregelen en geeft daar een oordeel over. Het is vooral gangbaar bij klanten met een Amerikaanse achtergrond. Of het een vraag naar ISO 27001 vervangt, bepaalt uw klant. Zie wat een SOC 2-rapport is.

Een klant vraagt om ISO 27001, maar wij zijn niet gecertificeerd. Wat nu?

Vraag eerst wat de klant precies nodig heeft: een certificaat, of zekerheid over een aantal punten. Vaak kunt u in de tussentijd laten zien hoe u werkt en wanneer u verwacht te certificeren. Een concreet plan met een planning maakt uw antwoord geloofwaardiger dan een belofte.

Is ISO 27001 verplicht volgens de AVG?

Nee. De AVG vraagt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, maar schrijft geen norm voor. ISO 27001 helpt wel om te laten zien dat uw beveiliging systematisch is ingericht.