NIS2, gekoppeld aan ISO 27001

Voor wie

Een essentiële of belangrijke entiteit onder NIS2, of een leverancier die door een ervan wordt bevraagd, die al een ISO/IEC 27001-managementsysteem voert of bouwt en wil weten hoeveel van artikel 21 daarmee al is beantwoord.

Wat overeenkomt

Alle 10 maatregelen van artikel 21, lid 2, elk naar de ISO/IEC 27001-paragrafen en bijlage A-maatregelen waarvan de registraties ze bewijzen: 73 maatregelen en 14 paragrafen in totaal, de lezing van StandardOS, hieronder als CSV te downloaden.

Wat niet

6 plaatsen waar de uitvoeringsverordening iets vraagt dat geen enkele ISO 27001-registratie oplevert, verderop opgesomd; en de eigen plichten van de richtlijn, de registratie, de opleiding van het bestuursorgaan en de incidenttermijnen, die naast het ISMS staan, niet erin.

De tien maatregelen van artikel 21, lid 2, in kaart gebracht

Eén rij per punt van de richtlijn: de maatregel in gewone woorden, de eigen tekst van de richtlijn, en de ISO/IEC 27001-paragrafen en bijlage A-maatregelen waarvan de registraties haar bewijzen. Essentiële en belangrijke entiteiten gelijk.

De koppeling is de lezing van StandardOS van welke registraties welke maatregel bewijzen; NIS2 noemt geen norm en kent geen vermoeden van overeenstemming toe, en de secties van de uitvoeringsverordening hieronder voegen het detail toe dat de richtlijn openlaat.

Overweging 3 van de verordening is duidelijk over waar haar eisen vandaan komen. Zij zijn “based on European and international standards, such as ISO/IEC 27001, ISO/IEC 27002 and ETSI EN 319401”. Dat is wat een koppeling mogelijk maakt in plaats van bij benadering.

De bijlage, sectie voor sectie

De titels van de afdelingen zijn geciteerd uit de Engelse tekst van de bijlage, omdat ook ISO 27001 in het Engels wordt gebruikt; de titels van de subafdelingen zijn die van het Publicatieblad in deze taal.

Waar een ISMS ophoudt, op 6 plekken

Alles anders in die bijlage volgt uit een conform ISO 27001-managementsysteem. Deze niet, en geen enkele mate van ISO-conformiteit brengt ze voort:

• 1. Policy on the security of network and information systems

  De ondergrenzen. 1.1.2 laat de bestuursorganen het beleid ten minste jaarlijks beoordelen, en 1.2.3 vereist ten minste één persoon die rechtstreeks aan de bestuursorganen rapporteert over netwerk- en informatiebeveiliging. ISO 27001 kent een beoordeling door de directie met geplande tussenpozen en noemt geen zulke rapportagelijn.

• 2. Risk management policy

  De jaarlijkse ondergrens. 2.1.4 vereist dat de resultaten van de risicobeoordeling en het risicobehandelingsplan met geplande tussenpozen en ten minste jaarlijks worden beoordeeld. ISO 27001 legt de tussenpozen vast, zonder ondergrens.

• 3. Incident handling

  De wettelijke klok. ISO 27001 vereist een incidentproces; zij vereist geen vroege waarschuwing binnen 24 uur, geen melding binnen 72 uur, geen dubbele indiening bij een CSIRT en een bevoegde autoriteit, en geen significantietoets. De artikelen 3 tot en met 14 van de uitvoeringsverordening maken dat mechanisch en EU-uniform. Artikel 3, lid 1, onder a), stelt € 500.000 of 5 % van de omzet, welke van de twee lager is, en niets daarvan volgt vanzelf uit een ISMS. En de logbestanden: volgens 3.2.5 worden logbestanden bewaard en gedurende een vooraf bepaalde periode geback-upt, beschermd tegen onbevoegde toegang of wijziging. A.8.15 vraagt om logging; het vereist niet dat de logbestanden zelf gedurende een vaste periode worden geback-upt.

• 8. Basic cyber hygiene practices and security training

  Opleiding van het bestuursorgaan. Artikel 20, lid 2, NIS2 vereist dat de leden van het bestuursorgaan zelf een opleiding volgen, en artikel 20, lid 1, maakt hen persoonlijk aansprakelijk voor het goedkeuren van en toezien op de maatregelen. ISO 27001 vraagt betrokkenheid van de leiding en competentie; zij zet het bestuur niet in het opleidingsregister en verbindt geen aansprakelijkheid aan de handtekening.

• 10. Human resources security

  De jaarlijkse ondergrens. 10.1.3 laat de entiteit haar personeelsbeveiliging, met inbegrip van de middelen die zij daaraan besteedt, met geplande tussenpozen en ten minste jaarlijks beoordelen. ISO 27001 legt de tussenpozen vast, zonder ondergrens.

• 11. Access control

  Meerdere factoren. 11.3.2 vereist sterke identificatie en authenticatie, zoals multifactorauthenticatie, voor accounts met bevoegdheden en systeembeheeraccounts, 11.7 vereist dat gebruikers met meerdere factoren of continu worden geauthenticeerd, en 11.6.2(e) beëindigt inactieve sessies na een vooraf bepaalde periode. A.8.5 vraagt om veilige authenticatie en noemt geen van de drie.

Wat deze pagina niet is

Het is geen dekkingsscore. Eén percentage voor hoeveel van NIS2 ISO 27001 dekt, wordt op veel plekken geciteerd. Elke versie ervan is een structureel oordeel en geen meting, en wij gaan geen getal herhalen waarvan we de berekening niet kunnen laten zien. ENISA heeft een machineleesbare koppeling gepubliceerd in haar Technical Implementation Guidance (v1.0, juni 2025); de koppeling hierboven is de onze, uit de twee documenten, en u zou haar moeten toetsen aan die van ENISA in plaats van een van ons beiden te vertrouwen.

Het is geen NIS2-product. StandardOS registreert u niet bij een nationale autoriteit, dient uw incidentmeldingen niet in en volgt geen 27 nationale omzettingen. Heeft u die nodig, dan heeft u iets anders nodig, en de eerlijke versie van ons standpunt is dat de set maatregelen het deel is dat de moeite waard is om één keer te bouwen, omdat het het enige deel is dat overal hetzelfde is.

Het is geen bepaling van het toepassingsgebied. NIS2 bindt essentiële en belangrijke entiteiten boven de omvangsdrempels van artikel 2. Onder ongeveer 50 mensen en € 10 miljoen valt u zeer waarschijnlijk volledig buiten het bereik, met sectorale uitzonderingen. Die bepaling is aan u om te maken en vast te leggen, en wij maken haar niet voor u op een marketingpagina.

De sectietitels zijn geciteerd uit de bijlage bij Uitvoeringsverordening (EU) 2024/2690 zoals gepubliceerd op EUR-Lex, gelezen op 10 augustus 2026. De koppeling aan ISO/IEC 27001 is van ons en niet van ENISA. Dit is geen juridisch advies, en de verordening is kort genoeg om zelf te lezen: Uitvoeringsverordening (EU) 2024/2690.