Wat moet ik extra regelen voor NIS2 als ik al ISO 27001 heb?

Als je al ISO 27001-gecertificeerd bent, heb je een stevige basis voor NIS2-compliance, maar je bent er nog niet. ISO 27001 dekt een groot deel van de technische en organisatorische beveiligingsmaatregelen die NIS2 vereist, maar de richtlijn legt ook aanvullende verplichtingen op, met name op het gebied van meldplichten, bestuursverantwoordelijkheid en ketenbeveiliging, die buiten de scope van ISO 27001 vallen. Dit artikel loopt per vraag door wat de overlap is, waar de gaten zitten en hoe je die als gecertificeerde organisatie efficiënt kunt dichten.

Wat dekt ISO 27001 al af van NIS2?

ISO 27001 dekt een substantieel deel van de NIS2-vereisten af. De norm verplicht organisaties tot risicoanalyse, het treffen van technische en organisatorische beveiligingsmaatregelen, incidentbeheer, toegangscontrole en continue verbetering. Dit zijn precies de pijlers waarop NIS2 ook is gebouwd. Organisaties met een actief ISMS hebben daarmee al een werkende beveiligingsstructuur die NIS2 grotendeels ondersteunt.

Concreet overlappen de volgende onderdelen sterk:

• Risicobeheer: ISO 27001 vereist een gedocumenteerde risicoanalyse en bijbehorende beheersmaatregelen. NIS2 stelt vergelijkbare eisen aan het identificeren en beheersen van cybersecurityrisico’s.
• Incidentbeheer: Beide kaders vragen om procedures voor het detecteren, registreren en afhandelen van beveiligingsincidenten.
• Toegangs- en identiteitsbeheer: Annex A van ISO 27001 bevat uitgebreide controls op toegangsbeveiliging, die rechtstreeks aansluiten op NIS2-maatregelen.
• Bedrijfscontinuïteit: ISO 27001 vraagt om business continuity planning, wat overeenkomt met de NIS2-eis rondom herstelcapaciteit na incidenten.
• Bewustwording en training: Beide normen vereisen dat medewerkers aantoonbaar worden getraind in informatiebeveiliging.

Heb je ISO 27001-gecertificeerd en onderhoud je je managementsysteem actief, dan is de afstand tot NIS2-compliance kleiner dan je misschien denkt. Het gaat er dan om de specifieke NIS2-verplichtingen die buiten de norm vallen, gericht aan te pakken.

Welke NIS2-verplichtingen vallen buiten ISO 27001?

Ondanks de brede overlap kent NIS2 een aantal verplichtingen die ISO 27001 niet of onvoldoende afdekt. De belangrijkste aanvullende eisen betreffen de formele meldplicht bij toezichthouders, expliciete bestuursaansprakelijkheid en verplichte ketenbeveiliging richting leveranciers en afnemers.

De meest relevante NIS2-aanvullende maatregelen ten opzichte van ISO 27001 zijn:

• Wettelijke meldplicht: NIS2 verplicht organisaties om significante incidenten binnen 24 uur te melden bij de bevoegde autoriteit, met een gedetailleerd rapport binnen 72 uur. ISO 27001 kent geen vergelijkbare wettelijke meldtermijn.
• Ketenbeveiliging: NIS2 verplicht aantoonbaar risicobeheer in de toeleveringsketen. Waar ISO 27001 leveranciersbeveiliging als control kent, gaat NIS2 verder met expliciete eisen aan contracten en toezicht op derde partijen.
• Bestuursaansprakelijkheid: Bestuurders zijn persoonlijk aansprakelijk voor NIS2-naleving. ISO 27001 vraagt om betrokkenheid van het management, maar legt geen persoonlijke juridische aansprakelijkheid op.
• Verplichte registratie: Essentiële en belangrijke entiteiten moeten zich registreren bij de nationale toezichthouder. Dit is een administratieve verplichting die buiten ISO 27001 valt.
• Sectorspecifieke eisen: NIS2 kent per sector aanvullende eisen die niet altijd binnen de generieke ISO 27001-scope vallen.

Geldt de NIS2-meldplicht ook als je ISO 27001 hebt?

Ja, de NIS2-meldplicht geldt onverkort voor alle organisaties die onder de richtlijn vallen, ongeacht of ze ISO 27001-gecertificeerd zijn. Een certificering ontslaat je niet van de wettelijke verplichting om significante incidenten tijdig te melden bij de relevante toezichthouder.

De NIS2-meldplicht werkt in drie stappen:

1. Vroegtijdige melding (binnen 24 uur): Zodra een significant incident wordt vastgesteld, moet de toezichthouder worden geïnformeerd. Dit geldt ook als het incident nog niet volledig in kaart is gebracht.
2. Incidentmelding (binnen 72 uur): Een gedetailleerdere melding met een eerste beoordeling van de ernst, de oorzaak en de getroffen maatregelen.
3. Eindrapport (binnen een maand): Een volledig rapport met een beschrijving van het incident, de impact, de oorzaak en de genomen herstelmaatregelen.

Wat ISO 27001 wél biedt, is een solide basis voor het uitvoeren van deze meldplicht. Een goed ingericht incidentbeheerproces, met duidelijke escalatieprocedures en gedocumenteerde responsstappen, maakt het aanzienlijk eenvoudiger om tijdig en volledig te melden. Het gaat er dan om de bestaande incidentprocedures expliciet te koppelen aan de NIS2-meldtermijnen en de juiste contactpersonen bij de toezichthouder te benoemen.

Wat zijn de bestuursverantwoordelijkheden onder NIS2?

Onder NIS2 zijn bestuurders persoonlijk verantwoordelijk voor de naleving van de cybersecurityverplichtingen van de organisatie. Dit gaat verder dan de managementbetrokkenheid die ISO 27001 vereist: bij NIS2 kan persoonlijke aansprakelijkheid worden vastgesteld als het bestuur aantoonbaar tekortschiet in toezicht op cybersecurityrisico’s.

Concreet betekent dit dat het bestuur:

• Aantoonbaar kennis moet hebben van de cybersecurityrisico’s waarmee de organisatie wordt geconfronteerd.
• Verantwoordelijk is voor het goedkeuren en toezicht houden op de implementatie van beveiligingsmaatregelen.
• Verplicht is om cybersecuritytraining te volgen, zodat bestuurders in staat zijn om risico’s te beoordelen en beslissingen te nemen.
• Persoonlijk aansprakelijk kan worden gesteld bij aantoonbaar nalaten, wat in ernstige gevallen kan leiden tot een tijdelijk bestuursverbod.

Voor organisaties met ISO 27001 is de stap naar het invullen van deze bestuursverantwoordelijkheid kleiner dan voor organisaties zonder enig kader. Het management is bij ISO 27001 al betrokken bij de goedkeuring van het informatiebeveiligingsbeleid en de risicobehandeling. Wat aanvullend nodig is, is het formaliseren van die betrokkenheid in NIS2-termen: gedocumenteerde bestuursbesluiten, aantoonbare trainingsdeelname en expliciete verantwoordelijkheidsverdeling op bestuursniveau.

Hoe pak je de NIS2-gaten aan als ISO 27001-gecertificeerde organisatie?

Als ISO 27001-gecertificeerde organisatie pak je de NIS2-aanvullende verplichtingen het meest efficiënt aan door een gerichte gapanalyse uit te voeren en alleen de ontbrekende elementen toe te voegen aan je bestaande managementsysteem. Je hoeft niet opnieuw te beginnen; je bouwt voort op wat al werkt.

Een praktische aanpak in stappen:

1. Voer een NIS2-gapanalyse uit: Breng in kaart welke NIS2-verplichtingen nog niet zijn gedekt door je huidige ISMS. Focus daarbij op meldprocedures, ketenbeheersing en bestuursverantwoordelijkheid.
2. Pas incidentprocedures aan: Voeg expliciete meldtermijnen en contactpersonen bij de toezichthouder toe aan je bestaande incidentresponsplan.
3. Versterk leveranciersbeheersing: Breid contractuele afspraken met leveranciers uit met NIS2-specifieke beveiligingseisen en voer risicobeoordelingen van de keten uit.
4. Formaliseer bestuursverantwoordelijkheid: Zorg voor gedocumenteerde bestuursbeslissingen over cybersecuritybeleid en plan aantoonbare trainingen voor het bestuur.
5. Registreer je organisatie: Zorg dat je als essentiële of belangrijke entiteit bent geregistreerd bij de bevoegde nationale autoriteit.

Bekijk voor een overzicht van beschikbare begeleidingsdiensten welke ondersteuning aansluit bij jouw situatie. Een interne audit is hierbij een waardevol instrument: het geeft inzicht in de actuele staat van je managementsysteem en maakt de NIS2-gaten zichtbaar voordat een externe toezichthouder dat doet.

Wanneer moet jouw organisatie aan NIS2 voldoen?

De NIS2-richtlijn is in 2022 vastgesteld door de Europese Unie en had in oktober 2024 in nationale wetgeving omgezet moeten zijn. In Nederland loopt de implementatie via de Cyberbeveiligingswet, waarvan de inwerkingtreding in 2026 wordt verwacht. Organisaties die onder de richtlijn vallen, doen er verstandig aan nu al te handelen.

NIS2 is van toepassing op organisaties in sectoren die als essentieel of belangrijk worden aangemerkt, zoals energie, transport, gezondheidszorg, digitale infrastructuur en financiële dienstverlening. De omvang van de organisatie speelt ook een rol: middelgrote en grote organisaties in deze sectoren vallen in beginsel onder de richtlijn. Kleinere organisaties kunnen ook onder NIS2 vallen als ze een kritieke rol spelen in hun sector.

Voor organisaties die al ISO 27001-gecertificeerd zijn, is 2026 een goed moment om de gapanalyse af te ronden en de aanvullende NIS2-maatregelen te implementeren. Wacht niet tot de wet formeel van kracht is: de voorbereiding vergt tijd, zeker als het gaat om het aanpassen van leverancierscontracten en het trainen van het bestuur. Meer informatie over de NIS2-norm en wat deze voor jouw organisatie betekent helpt je bij het bepalen van de juiste stappen.

Hoe Kwinzo helpt met NIS2 als je al ISO 27001 hebt

Wij begrijpen dat je als ISO 27001-gecertificeerde organisatie niet opnieuw het wiel wilt uitvinden. Onze aanpak is gericht op het benutten van wat je al hebt en het gericht aanvullen van wat NIS2 extra vraagt. Dat doen we efficiënt en praktisch, zodat je managementsysteem echt werkt en niet alleen op papier klopt.

Wat wij voor je doen:

• NIS2-gapanalyse op basis van je bestaande ISMS: We brengen precies in kaart waar de overlap zit en waar aanvulling nodig is, zonder dubbel werk te creëren.
• Aanpassing van procedures en beleidsdocumenten: We passen je incidentresponsplan, leveranciersbeleid en bestuursrapportages aan op de NIS2-vereisten.
• Begeleiding van het bestuur: We ondersteunen bij het aantoonbaar maken van bestuursverantwoordelijkheid, inclusief trainingen en gedocumenteerde besluitvorming.
• Interne audit als voorbereiding: Een interne NIS2-audit geeft je inzicht in de actuele staat van naleving en bereidt je voor op toezicht van buitenaf.
• Maandelijkse workshops voor Security Officers: Blijf up-to-date via onze sessies over NIS2, ISO 27001 en aanverwante normen, met ruimte voor praktijkvragen.

Wil je weten wat er voor jouw organisatie specifiek nog geregeld moet worden? Neem contact op voor een vrijblijvend adviesgesprek. We maken een concrete inschatting van de benodigde stappen, de doorlooptijd en de inzet die daarvoor nodig is.