De vraag ‘voldoe ik met ISO 27001 aan NIS2?’ klinkt logisch, maar is te kort door de bocht. Sinds 15 augustus 2026 is de Nederlandse Cyberbeveiligingswet (Cbw) van kracht. Die wet implementeert de Europese NIS2-richtlijn en legt wettelijke verplichtingen op aan organisaties die binnen het toepassingsbereik vallen.
ISO/IEC 27001 kan veel van de benodigde governance en risicobeheersing structureren. Een certificaat is echter geen juridisch bewijs dat alle verplichtingen van de Cbw automatisch zijn afgedekt. De praktische aanpak is daarom: benut wat je al hebt en voer een gerichte GAP-analyse uit op de wet.
Direct antwoord: voldoe je met ISO 27001 automatisch aan NIS2/Cbw?
Nee. ISO/IEC 27001 kan een sterke basis vormen voor risicogestuurde informatiebeveiliging, maar de Cyberbeveiligingswet kent eigen verplichtingen. Denk aan registratie, incidentmeldingen, toezicht en expliciete bestuurlijke verantwoordelijkheid. Certificering is niet wettelijk verplicht; aantoonbare passende en evenredige beveiligingsmaatregelen wel.
Eerst het actuele kader: de Cyberbeveiligingswet geldt sinds 15 augustus 2026
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden en vervangt de oude Wbni. De wet geldt voor organisaties die essentiële of belangrijke diensten leveren binnen de aangewezen sectoren. Organisaties moeten zelf bepalen of zij binnen het toepassingsbereik vallen.
Voor organisaties die onder de wet vallen gelden onder meer een registratieplicht, een zorgplicht op basis van risicoanalyse, een incidentmeldplicht en bestuurlijke verantwoordelijkheid. Het NCSC benadrukt dat cyberbeveiliging daarmee niet alleen een IT-vraagstuk is, maar onderdeel van integraal risicomanagement en bestuur.
Waar sluit ISO/IEC 27001 goed aan?
ISO/IEC 27001 vraagt dat je risico’s systematisch identificeert en behandelt, verantwoordelijkheden vastlegt, de werking van het ISMS evalueert en verbetert. Onderwerpen als toegangsbeheer, leveranciers, incidentmanagement, continuïteit, awareness en interne audits kunnen daarmee in één beheerscyclus worden georganiseerd.
Dat is precies waarom een bestaand ISMS veel werk kan besparen. Je hoeft voor de Cbw niet vanaf nul een los complianceproject naast je ISO-systeem te bouwen. Gebruik het ISMS als besturingsmechanisme en voeg de wettelijke eisen toe.
Waar gaat de Cyberbeveiligingswet verder?
De Cbw kent verplichtingen die niet worden vervangen door een ISO-certificaat. Een organisatie die onder de wet valt moet zich bijvoorbeeld registreren. Incidenten moeten volgens het NCSC zo snel mogelijk en in ieder geval binnen 24 uur worden gemeld bij het relevante CSIRT en de toezichthouder wanneer zij aan de criteria voldoen.
Ook de rol van bestuurders is expliciet: het bestuur moet maatregelen goedkeuren en toezicht houden op de uitvoering. Dit vraagt om aantoonbare governance die verder gaat dan alleen een technisch beveiligingsplan.
ISO 27001-certificering is geen wettelijke voorwaarde
De Cbw schrijft geen specifiek ISO-certificaat voor. Een normenkader kan wel helpen om maatregelen aantoonbaar en herhaalbaar te organiseren. Het NCSC benoemt ISO 27001 expliciet als een mogelijk nuttig kader in de relatie met toeleveranciers, maar waarschuwt ook dat een certificaat niet garandeert dat ieder concreet ketenrisico is afgedekt.
Dat onderscheid is belangrijk voor verkoop en communicatie: zeg niet dat ISO 27001 ‘NIS2-certificering’ is. Zeg dat het ISMS een praktische basis kan vormen voor aantoonbare risicobeheersing.
Hoe voer je een GAP-analyse uit?
- Bepaal eerst of en op welke onderdelen jouw organisatie onder de Cbw valt.
- Leg de wettelijke verplichtingen naast het bestaande ISMS, inclusief governance, risicoanalyse, incidentproces, continuïteit en leveranciersbeheer.
- Markeer wat al aantoonbaar werkt, wat alleen op papier staat en wat nog ontbreekt.
- Maak acties risicogestuurd en wijs per actie een eigenaar, deadline en bewijs toe.
- Toets de werking via interne audit en bespreek de uitkomsten in de directiebeoordeling.
Keten en leveranciers verdienen extra aandacht
De Cyberbeveiligingswet verlangt dat Cbw-organisaties ook risico’s in de toeleveringsketen meenemen. In de praktijk betekent dit dat kritische leveranciers beveiligingseisen kunnen krijgen, ook als die leverancier zelf niet rechtstreeks onder de wet valt.
Maak daarom onderscheid tussen leveranciers die toegang hebben tot netwerk- en informatiesystemen of kritieke diensten leveren en partijen die nauwelijks cyberrisico toevoegen. Een generieke vragenlijst voor iedere leverancier levert vooral administratie op; een risicogestuurde aanpak geeft meer grip.
Hoe KAM helpt: één beheersmodel in plaats van twee projecten
Bij KAM koppelen we de Cbw-eisen zoveel mogelijk aan bestaande managementsystemen. Heb je ISO/IEC 27001, dan gebruiken we de bestaande risicoanalyse, governance, leveranciersbeoordeling, auditcyclus en directiebeoordeling als vertrekpunt. Waar de wet extra eisen stelt, voegen we die gericht toe.
Heb je nog geen ISMS, dan bouwen we een praktisch managementsysteem dat de wettelijke zorgplicht én toekomstige certificeringswensen kan dragen. Zo voorkom je dat compliance een losse map wordt die na de implementatie niet meer leeft.
Van Norm naar Groei: van naleving naar digitale weerbaarheid
De Cbw maakt informatiebeveiliging urgenter, maar het doel van een goede implementatie is meer dan voldoen aan toezicht. Een bruikbaar ISMS geeft sneller inzicht in risico’s, heldere eigenaarschap, betere incidentrespons en grip op leveranciers.
Dat is Van Norm naar Groei in informatiebeveiliging: de wet zet de ondergrens, het managementsysteem helpt je om structureel weerbaarder en beter bestuurbaar te worden.
Logische volgende stap
Heb je ISO 27001 en wil je weten wat er nog nodig is voor de Cyberbeveiligingswet? Een gerichte GAP-analyse maakt zichtbaar welke wettelijke verplichtingen al zijn geborgd en waar aanvullende maatregelen of bewijs nodig zijn.
Veelgestelde vragen
Voldoe ik met ISO 27001 automatisch aan de Cyberbeveiligingswet?
Nee. ISO 27001 kan veel beheersing structureren, maar de Cbw heeft eigen wettelijke verplichtingen die apart moeten worden getoetst.
Is ISO 27001-certificering verplicht onder NIS2/Cbw?
Nee. De wet schrijft geen specifiek ISO-certificaat voor.
Sinds wanneer geldt de Cyberbeveiligingswet?
Sinds 15 augustus 2026.
Moet ik incidenten binnen 24 uur melden?
Voor meldingsplichtige incidenten geldt dat organisaties zo snel mogelijk en in ieder geval binnen 24 uur een eerste melding moeten doen.
Kan een leverancier indirect met NIS2-eisen te maken krijgen?
Ja. Cbw-organisaties moeten hun toeleveringsketen beveiligen en kunnen daarom passende beveiligingseisen aan relevante leveranciers stellen.
