NIS2 versus ISO 27001: wat vragen klanten echt?
Velen denken dat een ISO 27001-certificering NIS2 oplost. Het helpt, maar ze zijn niet hetzelfde, en klanten vragen vaak om beide.
Het verschil in het kort
ISO 27001 is een vrijwillige internationale norm voor een managementsysteem voor informatiebeveiliging. NIS2 (in Nederland de Cyberbeveiligingswet, aangenomen door de Tweede Kamer op 15 april 2026, verwachte inwerkingtreding rond 1 juli 2026) is bindende wetgeving met specifieke eisen voor risicobeheer, incidentmelding en ketenbeveiliging.
Waar ze overlappen
Een volwassen ISO 27001-systeem dekt een groot deel van de technische en organisatorische maatregelen van NIS2. Hebt u al een certificering, dan bent u een heel eind op weg.
Waar ISO 27001 niet volstaat
- Incidentmelding: NIS2 kent specifieke termijnen (vroege waarschuwing binnen 24 uur, melding binnen 72 uur) aan de autoriteit.
- Toeleveringsketen: NIS2 artikel 21 stelt expliciete eisen die klanten aan u doorgeven.
- Aantoonbaarheid: de klant wil vaak concreet, verifieerbaar bewijs, niet alleen een certificaat.
Wat klanten in de praktijk vragen
Een certificaat indien aanwezig, plus een ingevulde beveiligingsvragenlijst, incidentprocedures en specifiek bewijs voor hun eigen eisen. Een antwoord zonder documentatie is in de praktijk niet aantoonbaar.
Zo helpt PowerQuant
- Doe de gratis scopecheck van 2 minuten en zie waar uw hiaten zitten.
- Quick Scan (vaste prijs): een ondertekend readinessrapport als aanvulling op een certificering.
Indicatief overzicht, geen juridisch advies. Geverifieerd aan Richtlijn (EU) 2022/2555 en de stand van de Nederlandse omzetting per 1 juli 2026.