Hoeveel werk is de stap echt als u al een ISMS heeft?
Een veelgestelde vraag sinds de Cyberbeveiligingswet van kracht is: "We hebben ISO 27001 al, zijn we dan ook NIS2-proof?" Het eerlijke antwoord: met ISO 27001 beschikt u al over een belangrijk fundament voor de zorgplicht, maar een certificaat toont niet automatisch aan dat aan alle toepasselijke Cbw-verplichtingen is voldaan. De overlap is groot, en dat is goed nieuws. Toch zijn er aandachtspunten waar een ISMS niet vanzelf in voorziet.
ISO 27001 is een vrijwillige, certificeerbare norm. NIS2/de Cyberbeveiligingswet is wetgeving. De overheid noemt normenkaders als ISO 27001 en NEN 7510 uitdrukkelijk als hulpmiddelen die organisaties kunnen gebruiken om invulling te geven aan de zorgplicht (zie NCTV: de zorgplicht). Een ISO-certificaat is echter geen juridisch bewijs van NIS2-naleving en toont niet automatisch aan dat aan alle toepasselijke verplichtingen is voldaan. Dit artikel gaat over de technische en organisatorische overlap, niet over de juridische gelijkstelling.
Zowel ISO 27001 als de NIS2-zorgplicht zijn gebouwd op hetzelfde fundament: een risicogebaseerde aanpak van informatiebeveiliging. Beide vragen u om te begrijpen welke systemen en gegevens u heeft, welke risico's daarbij horen, en om passende maatregelen te nemen en te onderhouden.
Als u ISO 27001 (of NEN 7510) serieus heeft geïmplementeerd, heeft u dus al:
Dat is precies het hart van de NIS2-zorgplicht. Voor een gecertificeerde organisatie is NIS2 daarom geen sprong in het diepe, maar een aanvulling.
De verschillen zitten niet zozeer in de beveiligingsmaatregelen zelf, maar in de wettelijke verplichtingen die erbovenop komen. Let vooral op deze punten:
ISO 27001 vraagt om een incidentproces, maar NIS2 legt een concrete meldplicht op met wettelijke termijnen: een vroegtijdige waarschuwing zo snel mogelijk, in ieder geval binnen 24 uur na kennisname, gevolgd door verdere meldingen bij het CSIRT en de toezichthouder. Uw detectie- en escalatieproces moet daar aantoonbaar op ingericht zijn. Veel ISMS-implementaties zijn hier niet strak genoeg op.
NIS2 vereist dat u de organisatie registreert in het entiteitenregister via MijnNCSC (bij het NCSC). Dat is een puur wettelijke stap die los staat van uw ISMS.
NIS2 legt de verantwoordelijkheid nadrukkelijk bij het bestuur: het moet de maatregelen goedkeuren en toezicht houden op de uitvoering. De wet bevat bovendien een trainingsplicht voor bestuurders, zodat zij cyberrisico's en de genomen maatregelen kunnen beoordelen. ISO 27001 verwacht betrokkenheid van de directie, maar NIS2 maakt het zwaarder en persoonlijker.
NIS2 kijkt uitdrukkelijk naar de toeleveringsketen. Uw leveranciersbeheer (dat ISO 27001 al kent) moet mogelijk worden aangescherpt, en u kunt zelf als leverancier eisen doorgelegd krijgen.
Een ISO 27001-certificaat heeft een afgebakende scope (bijvoorbeeld één afdeling of dienst). De zorgplichtmaatregelen hebben betrekking op de netwerk- en informatiesystemen die worden gebruikt voor de werkzaamheden of diensten waarvoor uw organisatie onder de Cyberbeveiligingswet valt. Die wettelijke scope kan breder zijn dan die van uw ISO 27001-certificaat. Beoordeel daarom welke systemen worden gebruikt voor de diensten waarop de wet van toepassing is; systemen buiten uw ISMS-scope moeten mogelijk alsnog voldoen.
Voor een organisatie met een volwassen, goed onderhouden ISMS is de stap naar NIS2 vaak overzichtelijker dan gedacht: het aanscherpen van het incident- en meldproces, de registratie regelen, de wettelijke scope bepalen en het ketenbeheer nalopen. Een groot deel van de technische maatregelen staat dan al. Hoeveel werk het precies is, hangt af van uw sector, uw wettelijke scope en hoe aantoonbaar uw maatregelen nu zijn.
Voor een organisatie die ISO 27001 vooral op papier heeft, beleid aanwezig, maar de techniek niet aantoonbaar ingericht, is het meer werk. Dan komt hetzelfde probleem naar boven dat audits doet mislukken: de maatregelen bestaan niet echt in de systemen. Dat is precies waar wij ons op richten.
ISO 27001 geeft u een risicogebaseerd managementsysteem en beheersmaatregelen; de Cyberbeveiligingswet voegt daar specifieke wettelijke verplichtingen aan toe, waaronder registratie, incidentmelding en expliciete bestuurlijke verantwoordelijkheid. Wie de techniek op orde heeft, beschikt over een stevig fundament, maar die wettelijke stappen en de bepaling van uw wettelijke scope blijven een eigen controle vragen.
Wij pakken dit doorgaans zo aan:
Welke technische maatregelen de zorgplicht concreet vraagt, leest u in De technische maatregelen van NIS2.
Wij brengen technisch in kaart wat er nog nodig is en maken de maatregelen aantoonbaar. Neem contact op voor een vrijblijvend gesprek.