NIS2 vs ISO 27001: verschil en overlap

Cybersecurityregels veranderen snel. Veel organisaties maken zich daarom zorgen over NIS2, de nieuwe Europese richtlijn die vanaf eind 2024 verplicht wordt. Vooral voor organisaties die al werken volgens ISO 27001 is het belangrijk om helder te hebben wat de verschillen en overeenkomsten zijn. Beide systemen hebben hetzelfde doel: betere bescherming van informatie. Maar terwijl ISO 27001 vrijwillig is en internationaal toegepast wordt, is NIS2 een verplichte Europese richtlijn voor specifieke sectoren. Daarom is het belangrijk om goed te begrijpen waar eventuele gaten zitten. Op basis van een analyse van top Nederlandse en Britse bronnen zetten we hier duidelijk neer wat u moet weten.

Wat is NIS2?

NIS2 is een Europese wetgeving die vanaf eind 2024 geldt en strengere cybersecurity-eisen oplegt aan essentiële sectoren zoals energie, gezondheidszorg, vervoer en financiële diensten. Middelgrote en grote organisaties in deze sectoren zijn verplicht zich eraan te houden. De gevolgen van niet-naleving kunnen stevig zijn, met boetes tot 10 miljoen euro of 2% van de jaaromzet. NIS2 vereist bijvoorbeeld dat incidenten binnen 24 uur gemeld worden, er aandacht is voor cybersecurity in de toeleveringsketen en dat topmanagers persoonlijk verantwoordelijk kunnen worden gehouden bij nalatigheid.

Wat is ISO 27001?

ISO 27001 is een internationale standaard voor het beheer van informatiebeveiliging, ook bekend als een Information Security Management System (ISMS). Organisaties passen ISO 27001 vrijwillig toe om hun informatie beter te beveiligen. De norm legt de nadruk op continu risico’s beoordelen, beveiligingsmaatregelen treffen en voortdurend verbeteren van de beveiliging. ISO 27001-certificering wordt vaak gevraagd door klanten of partners, maar het is geen wettelijke verplichting.

Toepassingsgebied en verplichting

Het toepassingsgebied van NIS2 is beperkt tot specifieke sectoren binnen de EU, met duidelijk omschreven criteria zoals het aantal medewerkers of omzet. ISO 27001 kan juist door alle organisaties wereldwijd toegepast worden, ongeacht grootte of sector. Het grote verschil is dat NIS2 wettelijk verplicht is en toezicht kent van autoriteiten, terwijl ISO 27001 vrijwillig is en audits kent door certificerende instanties. Dit betekent concreet dat organisaties zich niet kunnen onttrekken aan NIS2 zodra zij onder de criteria vallen.

Managementverantwoordelijkheid & rapportage

Een belangrijk verschil zit in de verantwoordelijkheid van het management. Bij NIS2 kunnen topmanagers persoonlijk aansprakelijk gesteld worden als er niet aan de eisen wordt voldaan. Ook verplicht NIS2 organisaties om cybersecurity-incidenten binnen 24 uur te melden aan toezichthouders. ISO 27001 kent deze snelle meldplicht en persoonlijke aansprakelijkheid niet. Wel verwacht ISO 27001 betrokkenheid van het management en regelmatige interne audits, maar zonder de externe druk van wettelijke sancties.

Aspect	ISO 27001	NIS2
Juridische status	Vrijwillige standaard	Verplichte EU-wet
Incidentmelding	Niet verplicht	Verplicht binnen 24 uur
Managementaansprakelijkheid	Indirect via ISMS	Expliciet vastgelegd
Toezicht	Certificeringsaudit	Overheidstoezicht

Focus en aanpak van beide

NIS2 richt zich vooral op praktische cybersecuritymaatregelen die organisaties helpen om snel te reageren bij incidenten en hun processen draaiend te houden. Dit gaat om zaken als noodplannen en beveiliging van leveranciers. ISO 27001 gebruikt juist een managementaanpak en kijkt vooral naar hoe risico’s structureel kunnen worden beheerst via beleid, procedures en evaluaties. Terwijl NIS2 aangeeft wat er bereikt moet worden, biedt ISO 27001 praktische controles en processen om dit daadwerkelijk te doen.

Overeenkomsten en overlap

Ondanks verschillen hebben NIS2 en ISO 27001 veel raakvlakken. Beide richten zich op risicomanagement en concrete beveiligingsmaatregelen om cyberrisico’s te verkleinen. Daarnaast vereisen ze beide betrokkenheid van het topmanagement en voortdurende verbetering. Uit onderzoek blijkt dat ongeveer 70 tot 80 procent van NIS2 al gedekt wordt door ISO 27001. Denk hierbij aan maatregelen rond toegang, incidentrespons, en bewustwording bij medewerkers. Wie al ISO 27001-gecertificeerd is, heeft dus een goede uitgangspositie voor NIS2.

Extra eisen van NIS2

Toch zijn er belangrijke punten waarop NIS2 verder gaat:

• Incidentmelding binnen 24 uur: ISO 27001 stimuleert wel incidentmanagement, maar eist geen snelle melding aan autoriteiten.
• Leveranciersrisico’s: NIS2 eist dat cybersecurityrisico’s van leveranciers contractueel worden vastgelegd.
• Bestuurlijke aansprakelijkheid: Onder NIS2 kunnen bestuurders direct worden aangesproken bij nalatigheid, met forse sancties als gevolg.
• Overheidstoezicht: In tegenstelling tot ISO 27001, kent NIS2 extern toezicht en audits door de overheid.

Organisaties met ISO 27001 moeten zich bewust zijn van deze aanvullende eisen om volledig aan NIS2 te voldoen.

ISO 27001 als hulpmiddel voor NIS2

ISO 27001 is juist nuttig als vertrekpunt voor NIS2. Experts stellen dat organisaties met ISO 27001 al ongeveer 70% compliant zijn met NIS2. De bestaande procedures, zoals risicoanalyses en plannen voor incidentenbeheer, sluiten goed aan bij NIS2. De Europese richtlijn raadt zelf het gebruik van standaarden als ISO 27001 aan, waardoor het voor organisaties eenvoudiger wordt om de laatste stapjes richting volledige compliance te zetten.

Praktische aanpak voor integratie

De beste aanpak is om te starten met een gap-analyse tussen ISO 27001 en de aanvullende eisen van NIS2. Maak daarna een plan voor de extra stappen, zoals het formeel regelen van snelle incidentmeldingen en contractuele afspraken met leveranciers. Het is belangrijk dat het management actief betrokken is, en dat alle medewerkers regelmatig getraind worden. Door tijdig te beginnen en eventueel externe ondersteuning te zoeken, kunnen organisaties soepel en efficiënt aan NIS2 voldoen.

Aan de slag – klaar voor de toekomst

Wacht niet tot het laatste moment met het aanpassen van uw beveiligingsmaatregelen. Door ISO 27001 en NIS2 te combineren, voorkomt u incidenten en boetes. Begin vandaag al met het verbeteren van uw informatiebeveiliging en wees klaar voor morgen.