ISO 27001 & NIS-2: hoe organisaties informatiebeveiliging auditbestendig inrichten

Inleiding: cyberbeveiliging is een zaak van de directie geworden

Ransomware-aanvallen, gecompromitteerde toeleveringsketens en dagelijkse phishinggolven: de dreiging in de digitale ruimte heeft een historisch hoogtepunt bereikt. Tegelijkertijd haalt de wetgever de teugels aan. Met de Europese NIS-2-richtlijn zijn de plichten op het gebied van cyberbeveiliging fors uitgebreid – en die raken nu tienduizenden organisaties die zich tot nu toe niet als „vitale infrastructuur“ zagen.

Bijzonder scherp: bestuurders zijn bij plichtsverzuim voortaan deels persoonlijk aansprakelijk, ook met hun privévermogen.

Tegen die achtergrond is de internationale norm ISO/IEC 27001 voor veel organisaties veranderd van een puur IT-statussymbool in een existentiële levensverzekering. Maar hoe grijpen ISO 27001 en NIS-2 in elkaar? En hoe richt u een managementsysteem voor informatiebeveiliging (ISMS) in dat niet alleen op papier bestaat, maar een audit én de werkelijkheid doorstaat?

Wat regelt ISO/IEC 27001?

ISO/IEC 27001 is de wereldwijd toonaangevende norm voor managementsystemen voor informatiebeveiliging. Het doel van de norm is de bescherming van de drie kernwaarden van informatiebeveiliging (de zogenaamde CIA-triade):

• Confidentiality (vertrouwelijkheid): alleen geautoriseerde personen hebben toegang tot gevoelige gegevens.
• Integrity (integriteit): gegevens zijn juist en volledig, en beschermd tegen ongeoorloofde manipulatie.
• Availability (beschikbaarheid): systemen en informatie zijn beschikbaar op het moment dat ze nodig zijn.

Doorslaggevend is: ISO 27001 is geen zuivere IT-norm. De norm bekijkt informatiebeveiliging als geheel. Daarbij horen fysieke beveiliging (toegangscontrole), organisatorische processen (noodprocedures, offboarding van medewerkers) en personele maatregelen (bewustwordingstrainingen, security guidelines).

ISO 27001 en NIS-2 rechtstreeks vergeleken

Veel organisaties stellen zich de vraag: „Als we volgens ISO 27001 zijn gecertificeerd, hebben we NIS-2 dan ook automatisch afgedekt?“

Het eerlijke antwoord luidt: voor 80 tot 90 % wel.

De NIS-2-richtlijn formuleert bindende minimumeisen op gebieden zoals:

• Risicoanalyses en beveiliging van informatiesystemen
• Afhandeling van beveiligingsincidenten (incident handling), inclusief strenge meldtermijnen (bijvoorbeeld een vroegtijdige waarschuwing binnen 24 uur)
• Instandhouding van de bedrijfsvoering (business continuity en back-upbeheer)
• Beveiliging in de toeleveringsketen (supply chain security)
• Versleuteling en toegangscontrole

Precies deze gebieden worden gestructureerd afgedekt door Annex A van ISO/IEC 27001 (in de huidige versie met 93 controls in 4 themagebieden). Wie een geleefd ISMS volgens ISO 27001 kan laten zien, heeft de technische en organisatorische maatregelen (TOM's) voor NIS-2 al gedocumenteerd, operationeel gemaakt en laten auditen. Alleen de specifieke wettelijke meldroutes naar nationale autoriteiten moeten operationeel worden aangevuld.

De opbouw van een doeltreffend ISMS in 5 stappen

Een succesvol ISMS ontstaat niet van de ene op de andere dag, maar is met een scherpe focus efficiënt in te voeren:

1. Toepassingsgebied (scope) vastleggen

Leg precies vast welke bedrijfsonderdelen, vestigingen, producten of diensten onder het ISMS vallen. Voor veel IT-dienstverleners omvat dat in eerste instantie de cloudinfrastructuur en de kernapplicaties.

2. Risicobeoordeling en risicobehandeling

Identificeer uw belangrijkste waarden (information assets): klantgegevens, broncode, productieplanningen. Welke dreigingen en kwetsbaarheden bestaan er? Welke risico's worden beperkt door technische maatregelen (bijvoorbeeld multifactorauthenticatie, segmentatie), en welke worden geaccepteerd of verzekerd?

3. Verklaring van toepasselijkheid (Statement of Applicability – SoA)

In de SoA documenteert u welke van de 93 controls uit Annex A voor uw organisatie relevant zijn en hoe ze zijn ingevoerd. Worden controls uitgesloten, dan moet dat overtuigend worden onderbouwd.

4. Richtlijnen en bewustwording van medewerkers

Beveiliging strandt het vaakst op de menselijke factor. Stel begrijpelijke beleidsregels vast (clean desk, wachtwoordbeleid, omgang met mobiele apparaten) en voer regelmatig trainingen en gesimuleerde phishingtests uit.

5. Interne audit en management review

Voordat de externe auditor komt, toetsen interne auditors het systeem grondig. De directie beoordeelt de kengetallen en maakt middelen vrij voor verbeteringen.

De voordelen van certificering bij klanten en partners

Los van wettelijke plichten heeft ISO 27001 een enorme commerciële hefboom:

• Kortere verkoopcycli: enterpriseklanten eisen vóór het sluiten van een contract pagina's lange beveiligingsvragenlijsten. Met een erkend ISO 27001-certificaat vervalt die inspanning doorgaans volledig.
• Concurrentievoordeel bij aanbestedingen: publieke opdrachtgevers en gereguleerde sectoren (banken, verzekeraars, automotive) laten niet-gecertificeerde leveranciers vaak niet eens toe tot de pitch.
• Sterkere cyberweerbaarheid: een gestructureerd proces zorgt ervoor dat beveiligingslekken worden gedicht voordat aanvallers ze kunnen misbruiken.

Conclusie

ISO 27001 is vandaag het fundament voor elke organisatie die digitaal waarde creëert. De norm zet vage zorgen over beveiliging om in meetbare processen en beschermt de leiding tegen aansprakelijkheidsrisico's.

Plant u uw ISO 27001-certificering?
Bij cert-authority.com begeleiden we u met ervaren vakspecialisten-auditors, transparant en als partner, door het auditproces. Krijg een overzicht van onze prijzen en pakketten.