Is ISO 27001 voldoende om aan NIS2 te voldoen?

ISO 27001 is niet voldoende om volledig aan NIS2 te voldoen, maar het biedt wel een uitstekende basis. De NIS2-richtlijn stelt aanvullende eisen op het gebied van meldplichten, bestuurlijke verantwoordelijkheid en sectorspecifieke verplichtingen die buiten de scope van ISO 27001 vallen. Hieronder beantwoorden we de meest gestelde vragen over het verschil tussen beide kaders.

Wat dekt NIS2 dat ISO 27001 niet verplicht stelt?

NIS2 stelt een aantal specifieke verplichtingen die in ISO 27001-certificering niet expliciet zijn opgenomen. Het gaat met name om wettelijke meldplichten bij incidenten, directe aansprakelijkheid van bestuurders en verplichte samenwerking met nationale toezichthouders. Dit zijn juridische en bestuurlijke vereisten die buiten het technisch-organisatorische kader van ISO 27001 vallen.

De belangrijkste elementen die NIS2 toevoegt ten opzichte van ISO 27001:

• Incidentmeldplicht: Significante beveiligingsincidenten moeten binnen 24 uur worden gemeld bij de bevoegde autoriteit, met een volledig rapport binnen 72 uur.
• Bestuurdersaansprakelijkheid: Het bestuur is persoonlijk aansprakelijk voor het niet naleven van de NIS2-verplichtingen. Dit gaat verder dan wat ISO 27001 van het management vraagt.
• Ketenveiligheid: NIS2 verplicht organisaties expliciet om de beveiliging van hun toeleveringsketen te beoordelen en te borgen, inclusief contractuele afspraken met leveranciers.
• Registratieplicht: Organisaties die onder NIS2 vallen, moeten zich registreren bij de nationale toezichthouder.
• Sancties en toezicht: NIS2 introduceert een formeel toezichtsregime met aanzienlijke boetes waarvan de hoogte afhankelijk is van onder meer de omvang van de organisatie en de ernst van de overtreding.

ISO 27001 richt zich op het inrichten van een goed managementsysteem voor informatiebeveiliging. De NIS2-richtlijn gaat een stap verder door dit te koppelen aan concrete wettelijke verplichtingen met externe handhaving.

Hoeveel van NIS2 wordt al gedekt door ISO 27001?

Een aanzienlijk deel van de NIS2-vereisten wordt al gedekt door een goed geïmplementeerde ISO 27001-certificering. Schattingen uit de industrie suggereren dat organisaties met een volwassen ISO 27001-implementatie al voor 60 tot 80 procent voldoen aan de technische en organisatorische maatregelen die NIS2 vereist. Het resterende deel betreft met name de juridische en bestuurlijke verplichtingen.

Wat ISO 27001 al goed dekt in relatie tot NIS2:

• Risicobeoordeling en risicobeheer
• Toegangsbeveiliging en identiteitsbeheer
• Continuiteitsplanning en herstelmaatregelen
• Beveiliging van netwerken en systemen
• Bewustwording en training van medewerkers
• Incidentbeheer en respons (intern)
• Fysieke en omgevingsbeveiliging

De overlap is dus substantieel. Wie al heeft geïnvesteerd in ISO 27001, staat er beduidend beter voor dan een organisatie die nog geen formeel informatiebeveiligingskader heeft ingericht. De stap naar volledige NIS2-conformiteit is dan ook kleiner dan vaak wordt gedacht.

Welke aanvullende maatregelen zijn nodig naast ISO 27001?

Naast de ISO 27001-implementatie zijn er gerichte aanvullende maatregelen nodig om volledig aan NIS2 te voldoen. Deze maatregelen richten zich voornamelijk op bestuurlijke inbedding, externe communicatie en wettelijke naleving, terreinen die buiten het primaire doel van ISO 27001 vallen.

Concrete aanvullende stappen:

• Meldprocedures formaliseren: Stel een gedocumenteerde procedure op voor het melden van incidenten aan de bevoegde autoriteit, inclusief tijdlijnen en verantwoordelijkheden.
• Bestuursverantwoordelijkheid vastleggen: Zorg dat het bestuur aantoonbaar betrokken is bij het cybersecuritybeleid en documenteer dit in besluitvorming en verslaglegging.
• Leveranciersbeveiliging versterken: Voer een expliciete beoordeling uit van de beveiligingspositie van kritieke leveranciers en leg afspraken contractueel vast.
• Registratie bij toezichthouder: Bepaal of en bij welke autoriteit uw organisatie zich moet registreren.
• NIS2-specifieke risicoanalyse: Voer een aanvullende risicoanalyse uit gericht op de sectoren en dreigingen die NIS2 specifiek benoemt.
• Trainingen voor bestuurders: NIS2 vereist dat ook het bestuur voldoende kennis heeft van cybersecurityrisico’s. Dit vraagt om gerichte trainingen voor leidinggevenden.

Geldt NIS2 voor mijn organisatie?

NIS2 geldt voor organisaties die actief zijn in sectoren die de Europese Unie als kritiek beschouwt en die boven bepaalde drempelwaarden voor omvang vallen. In Nederland is de richtlijn omgezet in nationale wetgeving. Zowel middelgrote als grote organisaties in aangewezen sectoren vallen onder de richtlijn, en in sommige gevallen ook kleinere organisaties die een cruciale rol spelen in de keten.

Welke sectoren vallen onder NIS2?

NIS2 onderscheidt twee categorieën: essentiële entiteiten en belangrijke entiteiten. Essentiële sectoren zijn onder meer energie, transport, bankwezen, drinkwater, digitale infrastructuur en gezondheidszorg. Belangrijke sectoren omvatten onder andere post- en koeriersdiensten, afvalstoffenbeheer, chemische industrie, voedselproductie en digitale aanbieders.

Welke omvangsdrempels gelden er?

Als vuistregel geldt dat organisaties met meer dan 50 medewerkers en een jaaromzet of balanstotaal boven een bepaalde drempel in aanmerking komen. Organisaties met meer dan 250 medewerkers of een hogere omzet vallen doorgaans in de categorie essentiële entiteiten. Twijfelt u of uw organisatie onder NIS2 valt? Raadpleeg de relevante normen en kaders of neem contact op met een specialist.

Wat zijn de gevolgen als je niet voldoet aan NIS2?

Niet voldoen aan de NIS2-richtlijn kan leiden tot aanzienlijke sancties. De hoogte van de boetes verschilt per categorie organisatie en is afhankelijk van factoren zoals de ernst van de overtreding, de omvang van de organisatie en de mate waarin schade is ontstaan. Voor essentiële entiteiten gelden hogere maxima dan voor belangrijke entiteiten, waarbij de sanctie wordt berekend op basis van wat in de specifieke situatie van toepassing is. Naast financiële sancties zijn er ook reputatierisico’s en mogelijke aansprakelijkheid van individuele bestuurders.

Andere gevolgen bij niet-naleving zijn:

• Dwangmaatregelen en corrigerende opdrachten van de toezichthouder
• Tijdelijk verbod op het uitoefenen van leidinggevende functies voor bestuurders
• Reputatieschade door publieke bekendmaking van overtredingen
• Verhoogde aansprakelijkheid bij incidenten waarbij klanten of partners schade lijden

Het is belangrijk te beseffen dat NIS2 niet alleen een papieren oefening is. Toezichthouders hebben de bevoegdheid om actief te controleren, ook voordat er een incident heeft plaatsgevonden. Proactief werken aan compliance is dan ook verstandiger dan wachten tot er een handhavingstraject volgt.

Hoe Kwinzo helpt met ISO 27001 en NIS2

Wij helpen organisaties om de stap van ISO 27001 naar volledige NIS2-conformiteit efficiënt en gestructureerd te zetten. Onze aanpak is praktisch en afgestemd op uw specifieke situatie, niet op een standaardsjabloon.

Wat wij concreet bieden:

• Nulmeting en gap-analyse: We brengen in kaart waar uw huidige ISO 27001-implementatie al voldoet aan NIS2 en waar de hiaten zitten.
• Implementatiebegeleiding: Via ons implementatietraject helpen we u de aanvullende maatregelen stap voor stap in te richten.
• Interne audits: Onze interne audits geven u inzicht in de volwassenheid van uw managementsysteem en bereiden u voor op extern toezicht.
• Trainingen voor bestuurders en Security Officers: We verzorgen gerichte sessies zodat ook uw leiderschap voldoet aan de NIS2-bewustzijnsvereisten.
• Eigen ISMS-tool: Met onze digitale tool houdt u grip op uw informatiebeveiligingsbeheer, ook na certificering.

Wilt u weten wat NIS2 concreet betekent voor uw organisatie en hoe u dit slim combineert met uw ISO 27001-traject? Neem contact op voor een vrijblijvend adviesgesprek.