ISO 27001, SOC 2, NEN 7510 of BIO 2.0: welk normenkader dekt de NIS2-zorgplicht?

In gesprekken met bestuurders, IT-managers en compliance-verantwoordelijken klinkt regelmatig de redenering: "Wij zijn ISO 27001-gecertificeerd, dus NIS2 hebben we grotendeels al gedekt." Of: "Onze SOC 2 Type II-verklaring laat zien dat we het serieus nemen." Het is begrijpelijk dat organisaties op hun bestaande inspanningen willen voortbouwen, maar de redenering klopt niet. En de consequenties van die misvatting kunnen aanzienlijk zijn: bestuurlijke aansprakelijkheid, boetes tot tientallen miljoenen euro en reputatieschade.

Dit artikel legt helder uit waarom een certificering op zich geen NIS2-compliance oplevert, wat de Cyberbeveiligingswet (Cbw) daadwerkelijk vereist en welke normenkaders per sector als invulling van de zorgplicht gelden: BIO2.0 v1.3 voor de overheid, en NEN 7510 voor zorgaanbieders.

NIS2 en de Cyberbeveiligingswet: twee lagen die u moet begrijpen

De NIS2-richtlijn, in Nederland omgezet in de Cyberbeveiligingswet (Cbw), bestaat uit twee wezenlijk verschillende onderdelen. Dit onderscheid is cruciaal, want de verwarring over normenkaders is grotendeels te herleiden tot het samenvoegen van deze twee lagen.

Laag 1: De zorgplicht: de inhoudelijke beveiligingsmaatregelen die een organisatie aantoonbaar moet hebben getroffen. Denk aan risicobeheer, toegangsbeheer, continuïteit, ketenbeveiliging, crisismanagement, governance en bestuurlijke verantwoordelijkheid. Dit is het domein van normenkaders.

Laag 2: De juridische verplichtingen: de wettelijke verplichtingen die rechtstreeks uit de Cbw voortvloeien: de registratieplicht bij de bevoegde autoriteit, de meldplicht bij significante incidenten binnen 24 uur, het toezichtregime (actief voor essentiële entiteiten, reactief voor belangrijke entiteiten) en de sanctiemogelijkheden, inclusief persoonlijke aansprakelijkheid van bestuurders en boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.

BIO2.0 v1.3: het wettelijke kader voor de overheid

De Baseline Informatiebeveiliging Overheid 2.0, versie 1.3 (BIO2.0 v1.3) is het officiële normenkader voor overheidsorganisaties in Nederland. BIO2.0 is door de Rijksoverheid ontwikkeld als de overheidsspecifieke implementatie van de NIS2-zorgplicht. Het kader is gebaseerd op ISO/IEC 27001:2022 maar gaat daar op een aantal cruciale punten significant verder.

BIO2.0 v1.3 bevat alle verplichte beveiligingsdomeinen uit artikel 21 van de NIS2-richtlijn: risicobeheer, beveiligde systeem- en applicatieontwikkeling, cryptografiebeleid, toegangsbeheer, continue monitoring, ketenbeveiliging, crisismanagement, continuïteit (inclusief BCP en DRP) en governance met expliciete bestuurlijke verantwoordelijkheid. Juist dat laatste is een van de meest onderscheidende elementen ten opzichte van andere kaders: BIO2.0 legt de bestuurlijke verantwoordelijkheid voor informatiebeveiliging expliciet bij het hoogste bestuursorgaan van de organisatie, precies zoals NIS2 vereist.

Voor overheidsorganisaties die onder NIS2/Cbw vallen, is BIO2.0 v1.3 geen keuze maar een verplichting. Voor andere sectoren geldt BIO2.0 weliswaar niet als verplicht kader, maar het biedt wél de meest volledige mapping op de NIS2-zorgplicht die momenteel beschikbaar is.

De BIO2-audit eisen zijn navenant strenger: ze vereisen aantoonbare implementatie van maatregelen, periodieke toetsing en bestuurlijke betrokkenheid. Dat maakt BIO2 niet alleen het meest uitgebreide kader voor NIS2-implementatie advies, maar ook het meest betrouwbare referentiekader voor een NIS2 gap-analyse.

ISO 27001 en NIS2: een sterke basis die tekortschiet

ISO 27001 is een breed erkende internationale standaard voor informatiebeveiliging en vormt een solide vertrekpunt. Voor veel organisaties is het de eerste stap naar aantoonbare beveiliging. Maar het verschil NIS2 en ISO 27001 is groter dan velen vermoeden.

Waar ISO 27001 specifiek tekortschiet ten opzichte van de NIS2-zorgplicht:

• Bestuurlijke aansprakelijkheid: ISO 27001 vereist management commitment, maar legt de wettelijke aansprakelijkheid niet bij het bestuur. NIS2 doet dat wel expliciet: bestuurders zijn persoonlijk verantwoordelijk en kunnen persoonlijk worden gesanctioneerd.
• Ketenverantwoordelijkheid: ISO 27001 behandelt leveranciersbeheer op hoofdlijnen (A.5.19–A.5.23). NIS2 vereist structurele beheersing van de volledige leveranciersketen, inclusief aantoonbare afspraken over beveiligingsniveaus, monitoring en incidentrespons bij elke schakel.
• Crisismanagement op NIS2-niveau: ISO 27001 heeft aandacht voor bedrijfscontinuïteit, maar NIS2 vereist specifieke crisismanagementcapaciteiten, inclusief gecoördineerde respons, communicatieprotocollen en afstemming met nationale autoriteiten.
• Wettelijke governance-eisen: NIS2 stelt specifieke eisen aan de betrokkenheid van het bestuursorgaan in de goedkeuring en monitoring van het beveiligingsbeleid. ISO 27001 laat dit aan de organisatie over en is daarin aanzienlijk minder prescriptief.
• Meldplicht: ISO 27001 bevat geen bepalingen over de wettelijke meldplicht van incidenten bij overheidsinstanties. De NIS2 meldplicht van 24 uur bij significante incidenten is een wettelijke verplichting die los staat van het normenkader.

Concluderend: Is ISO 27001 voldoende voor NIS2? Niet automatisch. Buiten de zorg kan ISO 27001 als basis dienen voor een NIS2-implementatie, maar vereist het aanvulling op ten minste de bovengenoemde punten. In de zorgsector ligt het genuanceerder. De Cyberbeveiligingsregeling voor de zorg noemt ISO 27001 met ISO 27002 als route, vooral voor entiteiten als fabrikanten van medische hulpmiddelen. Voor zorgaanbieders is NEN 7510 de aangewezen invulling, omdat zij via de Wabvpz al aan die norm gebonden zijn. In alle sectoren geldt: een organisatie die uitsluitend op haar ISO-certificaat vertrouwt en de meldplicht en registratie niet regelt, voldoet niet aan de Cbw.

SOC 2 en NIS2: andere werelden

SOC 2 is een Amerikaans assurance-raamwerk, ontwikkeld door het American Institute of CPAs (AICPA). Het is ontworpen om serviceorganisaties aantoonbaar te maken tegenover klanten op het gebied van veiligheid, beschikbaarheid, integriteit, vertrouwelijkheid en privacybescherming van klantgegevens. SOC 2 is geen norm, geen regulatoir kader en heeft geen wettelijke basis in de Europese Unie.

Een SOC 2 Type II-rapport toont aan dat specifieke controls gedurende een bepaalde periode effectief hebben gefunctioneerd. Dat is waardevol voor klantgerichte verantwoording, maar het heeft geen enkele directe relatie met de NIS2 governance-eisen, ketenverantwoordelijkheid, bestuurlijke aansprakelijkheid of de meldplicht aan nationale toezichthouders.

Bij een SOC 2 NIS2 gap-analyse ziet u snel hoe groot de afstand is: SOC 2 kent geen NIS2-dekkende maatregelen voor crisismanagement, wettelijke governance of incidentrapportage aan autoriteiten. SOC 2 is een nuttig commercieel instrument, maar geen NIS2-compliance.

NEN 7510 en NIS2: in de zorg de aangewezen invulling van de zorgplicht

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Zorgaanbieders zijn al verplicht om eraan te voldoen op grond van de Wabvpz en het Besluit elektronische gegevensverwerking door zorgaanbieders. Die verplichting richt zich op zorginformatiesystemen en elektronische uitwisselingssystemen.

Met de Cyberbeveiligingsregeling voor de zorg heeft de wetgever NEN 7510 ook aangewezen als invulling van de Cbw-zorgplicht. Volgens artikel 2.1 voldoet een zorgentiteit aan de maatregelen als zij aantoonbaar voldoet aan NEN 7510, aan ISO 27001 en ISO 27002, of aan een gelijkwaardig beschermingsniveau. Voor zorgaanbieders is NEN 7510 de aangewezen route: zij zijn er via de Wabvpz al aan gebonden en volgens de toelichting ligt het in de lijn der verwachting dat zij die norm ook voor de Cbw hanteren. De route via ISO 27001 en ISO 27002 is vooral bedoeld voor andere entiteiten in de sector, zoals fabrikanten van medische hulpmiddelen. Certificering is daarbij geen vereiste; de organisatie moet het wel kunnen aantonen. NEN 7510 is in 2024 herzien om beter aan te sluiten op de NIS2-eisen.

Het verschil zit in de reikwijdte en de juridische laag. De Cbw-zorgplicht geldt voor alle netwerk- en informatiesystemen die nodig zijn voor de zorgverlening, ook bijvoorbeeld HR- en planningssystemen. Een NEN 7510-aanpak die alleen het EPD omvat, moet dus worden verbreed. En de registratieplicht en de meldplicht voor significante incidenten regelt NEN 7510 niet. Lees in ons artikel NEN 7510 en NIS2 wat de Cyberbeveiligingsregeling voor de zorg precies vraagt.

IBP Onderwijs: sectorale richtlijn, geen NIS2-kader

De Informatiebeveiliging & Privacy (IBP) richtlijn voor het onderwijs is een sectoraal initiatief van de onderwijskoepels, gericht op het verbeteren van IBP onderwijs informatiebeveiliging en privacybescherming in het primaire, voortgezette en hoger onderwijs. IBP biedt nuttige handvatten voor een basaal beveiligingsniveau in schoolomgevingen.

IBP Onderwijs is echter geen NIS2-kader en was nooit als zodanig ontworpen. Het kader mist de NIS2-specifieke eisen voor governance, bestuurlijke aansprakelijkheid, ketenverantwoordelijkheid en crisismanagement. Onderwijsinstellingen die onder NIS2 vallen, wat het geval kan zijn voor universiteiten en hogescholen, kunnen IBP als basislaag benutten, maar zullen aanvullende maatregelen moeten treffen om aan de NIS2-zorgplicht te voldoen.

Vergelijking normenkaders op NIS2-zorgplicht

De onderstaande tabel geeft een overzicht van de dekking van de belangrijkste normenkaders op de NIS2-zorgplicht. Let op: geen enkel normenkader dekt de juridische verplichtingen af; die zitten altijd in de wet zelf.

* Voor zorgaanbieders geldt aantoonbaar voldoen aan NEN 7510 als invulling van de maatregelen uit de zorgplicht (artikel 2.1 Cyberbeveiligingsregeling voor de zorg). Andere entiteiten in de zorgsector, zoals fabrikanten van medische hulpmiddelen, kunnen ook kiezen voor ISO 27001 met ISO 27002. Voorwaarde is dat de scope alle netwerk- en informatiesystemen voor de zorgverlening omvat.

Juridische verplichtingen (registratieplicht, NIS2 meldplicht 24 uur, toezicht, sancties) zijn niet opgenomen in de tabel: deze vloeien voort uit de Cyberbeveiligingswet en worden niet afgedekt door enig normenkader.

Wat betekent dit voor uw organisatie?

De praktische consequentie is duidelijk: als uw organisatie onder de Cyberbeveiligingswet valt, biedt geen enkele bestaande certificering automatisch NIS2-compliance. Dit geldt voor essentiële en belangrijke entiteiten in alle sectoren, van energie en gezondheidszorg tot digitale infrastructuur en MKB-organisaties die als onderdeel van een kritieke keten opereren.

Specifiek voor NIS2 voor MKB is dit een punt van aandacht: ook middelgrote organisaties met meer dan 50 medewerkers of een omzet boven de 10 miljoen euro kunnen onder de wet vallen, terwijl zij doorgaans minder volwassen beveiligingsprogramma's hebben dan grote ondernemingen.

De eerste stap is altijd een NIS2 nulmeting (gap-analyse): een systematische vergelijking van uw huidige maatregelen met de volledige NIS2-zorgplicht. Die analyse laat zien wat u al heeft afgedekt en wat er nog ontbreekt. Pas daarna kunt u gericht investeren in de juiste aanvullingen, zonder onnodige dubbelwerk of false sense of security.

Daarnaast moeten bestuurders en toezichthouders zich realiseren dat de NIS2 wettelijke verplichtingen (registratie, melding, toezicht) niet samenvallen met het hebben van een certificaat. Een organisatie kan ISO 27001-gecertificeerd zijn en toch in gebreke blijven onder de Cyberbeveiligingswet, simpelweg omdat de juridische verplichtingen niet zijn nageleefd.

Conclusie: certificering is geen NIS2-compliance

De kernboodschap van dit artikel is eenvoudig maar wezenlijk: een certificering, hoe waardevol ook, is geen NIS2-compliance. ISO 27001 biedt een sterke basis, maar dekt buiten de zorg de NIS2-zorgplicht niet automatisch volledig. SOC 2 is een Amerikaans assurance-instrument zonder NIS2-relevantie. IBP Onderwijs is een nuttig sectoraal kader, maar geen NIS2-implementatie. In de zorg wijst de wetgever NEN 7510 wél aan als invulling van de maatregelen uit de zorgplicht voor zorgaanbieders.

BIO2.0 v1.3 is voor overheidsorganisaties de wettelijk verankerde standaard en het meest complete kader op de NIS2-zorgplicht. Voor niet-overheidsorganisaties biedt BIO2 vs ISO 27001 een helder richtpunt: BIO2 is architecturaal dichter bij de NIS2-eisen dan welk ander kader ook.

Maar houd ook bij BIO2.0 voor ogen: het kader dekt de zorgplicht, niet de juridische laag. Registreren bij de bevoegde autoriteit, een meldprocedure voor de NIS2 meldplicht van 24 uur inrichten en de bestuurlijke aansprakelijkheid bewust accepteren: dat zijn verplichtingen die u alleen kunt invullen door de wet te kennen en na te leven, niet door een kader te implementeren.

De praktische conclusie voor elke organisatie die serieus met IT-audit NIS2 NIS2 implementatie advies aan de slag wil: begin met een gap-analyse. Breng in kaart wat u al heeft, wat nog ontbreekt en hoe groot de juridische risico's zijn. Dat geeft u een realistisch beeld van uw positie en een concrete route naar aantoonbare NIS2-compliance.