ISO 27001 of NIS2: wat is het verschil en heeft u allebei nodig?

Twee verschillende dingen

ISO 27001 en de Cyberbeveiligingswet vergeleken

	ISO 27001	Cyberbeveiligingswet
Wat is het?	Een internationale norm voor een managementsysteem voor informatiebeveiliging (ISMS)	Een wet, met het Cyberbeveiligingsbesluit en ministeriële regelingen
Verplicht?	Vrijwillig, tenzij een klant of contract het vraagt	Verplicht voor essentiële en belangrijke entiteiten
Wie controleert?	Een certificerende instelling	De toezichthouder, voor telecom de RDI
Reikwijdte	Kiest u zelf	Uw netwerk- en informatiesystemen voor uw werk en diensten
Meldplicht	Geen wettelijke meldplicht	Significante incidenten binnen 24 uur, 72 uur en een maand
Bestuur	Betrokkenheid van de leiding gevraagd	Goedkeuring door het bestuur en een training met certificaat voor elk bestuurslid
Registratie	Geen	Registratie bij het NCSC
Gevolg bij tekortkoming	Afwijking, mogelijk verlies van certificaat	Aanwijzing, dwangsom of boete

Wat zegt de RDI?

De RDI beantwoordt de vraag rechtstreeks in haar veelgestelde vragen: een organisatie met een ISO 27001-certificaat voldoet daarmee niet automatisch aan de zorgplicht van de Cbw. Een normenkader kan wel houvast geven bij het beheersen van de risico's. De RDI schrijft ook dat keurmerken en certificaten niet bewijzen dat een organisatie aan de wet voldoet; alleen de toezichthouder kan dat bepalen.

De wet geeft wel enige ruimte. Bij de keuze van maatregelen houdt u rekening met "de desbetreffende Europese en internationale normen" (artikel 21, tweede lid, Cbw). En bij handhaving houdt de toezichthouder rekening met de naleving van goedgekeurde gedragscodes of goedgekeurde certificeringsmechanismen (artikel 69 Cbw). Wat precies onder een goedgekeurd mechanisme valt, staat niet in die bepaling; ga er niet zomaar van uit dat uw certificaat daaronder valt.

Waar ISO 27001 u helpt

Een werkend ISMS dekt veel van wat het Cyberbeveiligingsbesluit vraagt:

• een managementsystematiek en vastgesteld beleid (artikel 6 Cbb);
• een methode voor risicomanagement met criteria voor risicoacceptatie (artikel 7 Cbb);
• evaluatie van de doeltreffendheid (artikel 18 Cbb);
• veel beheersmaatregelen, zoals toegangsbeheer, assetbeheer, cryptografie en leveranciersbeheer.

Waar u extra werk heeft

• Reikwijdte. Een ISO-certificaat geldt soms voor een deel van het bedrijf, bijvoorbeeld alleen het kantoor of één dienst. De Cbw gaat over al uw netwerk- en informatiesystemen voor uw werk en diensten. Controleer of uw telecomnetwerk erbinnen valt.
• Meldplicht. Uw incidentproces moet de Cbw-drempels en termijnen bevatten. Zie de voorbeeldtijdlijn.
• Telecomregels. De Regeling cyberbeveiliging EZK vraagt specifieke dingen, zoals patchbeheer met gemotiveerd uitstel, segmentatie in zones en sterke authenticatie voor beheeraccounts. Zie patchbeleid.
• Bestuur. ISO vraagt betrokkenheid van de leiding. De Cbw vraagt een formele goedkeuring en een training met certificaat per bestuurslid.
• Registratie. Die staat los van ISO.
• Bewijs per onderwerp. Maak een overzicht dat per zorgplichtonderwerp laat zien welk ISO-onderdeel of document het dekt, en waar u iets toevoegde.

Moet u ISO 27001 halen?

Voor de Cbw hoeft dat niet. U mag een eigen aanpak gebruiken, zolang u de eisen aantoonbaar uitvoert. Voor sommige telecombedrijven is ISO 27001 wel zinvol, bijvoorbeeld omdat zakelijke klanten erom vragen. Begint u nu, kies dan een aanpak die beide dekt: richt uw ISMS in met de tien Cbw-onderwerpen als vaste onderdelen. Een overzicht van die onderwerpen staat in de NIS2-checklist.

Veelgestelde vragen

Voldoe ik aan NIS2 met een ISO 27001-certificaat?

Niet automatisch. Volgens de RDI betekent een eigen normenkader niet dat u aan de zorgplicht voldoet. Het kan wel een goede basis zijn.

Moet ik ISO 27001 halen voor de Cbw?

Nee. De wet schrijft geen certificering voor. U moet de eisen van de Cbw, het Cbb en de regeling aantoonbaar uitvoeren.

Telt ISO 27001 mee bij een boete?

De toezichthouder houdt volgens artikel 69 Cbw rekening met de naleving van goedgekeurde certificeringsmechanismen. Of uw certificaat daaronder valt, staat niet vast. Reken er niet op als vrijwaring.