ISO 27001 en NIS2: waar ze overlappen en waar niet

Organisaties met een ISO 27001-certificaat vragen ons vaak of ze daarmee klaar zijn voor NIS2. Het antwoord: je bent een heel eind, en precies de laatste stukken zijn degene die niemand vanzelf regelt.

Wat ISO 27001 al voor je doet

De norm vraagt om een managementsysteem: scope, risicobeoordeling, maatregelen, interne audit en directiebeoordeling. Daarmee dekt het een groot deel van de NIS2-zorgplicht, en belangrijker nog: het levert de vastlegging waar de wet naar vraagt.

Concreet vind je in een werkend ISO-systeem al terug: toegangsbeheer, wijzigingsbeheer, incidentbeheer, leveranciersbeheer, back-up, logging, awareness en een verbetercyclus. Dat is de kern van wat een toezichthouder wil zien.

Waar NIS2 verder gaat

Drie punten vallen buiten wat een standaard ISO-implementatie oplevert:

• Meldplicht met termijnen. ISO vraagt om een incidentproces, niet om een melding binnen 24 en 72 uur aan een specifieke autoriteit. Dat proces moet je expliciet inrichten.
• Ketenverantwoordelijkheid. NIS2 kijkt naar je leveranciers én naar wat jij als leverancier moet aantonen. Dat is breder dan de leveranciersbeoordeling in veel ISO-systemen.
• Bestuurlijke verantwoording. Bestuurders moeten kennis van de risico’s hebben en toezicht kunnen aantonen. In veel organisaties leeft informatiebeveiliging één laag lager.

De valkuil: een systeem dat alleen op papier bestaat

We komen managementsystemen tegen die netjes zijn opgeschreven en niet worden gebruikt. Het beleid zegt dat er maandelijks wordt gepatcht, terwijl de rapportage uit het beheersysteem iets anders laat zien. Dat is bij een ISO-audit al lastig; onder NIS2 is het risicovoller, omdat je bij een incident moet kunnen aantonen dat maatregelen echt werkten.

De oplossing is minder documentatie, niet meer. Laat de vastlegging uit het dagelijkse werk komen: tickets, monitoring, patchrapportages en on- en offboardingchecklists. Dan is de audit een kwestie van exporteren.

Praktische route als je al gecertificeerd bent

Vier stappen, meestal een kwestie van weken in plaats van maanden:

• Breng je scope naast de wet: dekt je ISO-scope de systemen en processen die onder NIS2 vallen?
• Voeg het meldproces toe: rollen, criteria voor significant, contactgegevens van de autoriteit en een geoefende tijdlijn.
• Werk leveranciersbeheer uit naar de keten, inclusief wat jij aan jouw klanten kunt aantonen.
• Zet informatiebeveiliging op de bestuursagenda met een vast ritme en leg besluiten vast.

En als je nog geen certificaat hebt?

Dan is ISO 27001 een goed kader, ook zonder dat je certificeert. Je hoeft de audit niet te doen om de structuur te gebruiken. Wij richten het bij klanten vaak zo in dat certificeren later een kleine stap is, mocht een opdrachtgever erom vragen.