NIS2 vs ISO 27001: Compliance Mapping Guide
In het voortdurend veranderende landschap van cybersecurity zijn financiële instellingen in Europa verplicht om voldoening te geven aan verschillende regelgevingsframeworks. Twee van de meest voorkomende en invloedrijke frameworks zijn de NIS2-richtlijn (Richtlijn (EU) 2022/2555) en de Internationale Organisatie voor Normalisatie (ISO) 27001-standaard. De NIS2-richtlijn, die de NIS-richtlijn van 2016 vervangt, streeft naar het verbeteren van cybersecurity over de hele EU, met een focus op essentiële en belangrijke entiteiten. Terwijl ISO 27001 een omvattend kader biedt voor het opzetten, implementeren en onderhouden van een Informatiebeveiligingsbeheersysteem (ISMS). Dit artikel zal deze twee kaders verkennen, de belangrijkste vereisten van NIS2 naar ISO 27001-controles toewijzen en identificeren welke aanvullende maatregelen nodig zijn voor volledige naleving van NIS2.
Belangrijkste vereisten of concepten
NIS2-vereisten
De NIS2-richtlijn, Richtlijn (EU) 2022/2555, wordt in de EU-lidstaten omgezet in nationale wetgeving. Ze introduceert strengere cybersecurity-vereisten voor essentiële en belangrijke entiteiten. De richtlijn streeft naar een geharmoniseerd aanpak van cybersecurity in de EU, met specifieke vereisten die gericht zijn op risicobeheer, incidentrapportage en samenwerking tussen lidstaten.
Sommige van de belangrijkste vereisten van NIS2 zijn:
Risicobeheer: NIS2 vereist dat organisaties risico's voor hun netwerken en informatiesystemen identificeren, beoordelen en beheren (Artikel 21).
Incidentrapportage: NIS2 verplicht organisaties om significante incidenten te melden aan het CSIRT of de bevoegde autoriteit. Een vroegtijdige waarschuwing volgt binnen 24 uur na kennisname, een incidentmelding binnen 72 uur en een eindverslag binnen een maand (Artikel 23).
Samenwerking en Informatie-uitwisseling: NIS2 bevordert samenwerking tussen lidstaten via de Samenwerkingsgroep en het CSIRT-netwerk (Artikel 14 en 15). Entiteiten kunnen informatie uitwisselen onder Artikel 29.
Beveiligingsmaatregelen: NIS2 specificeert dat essentiële en belangrijke entiteiten beveiligingsmaatregelen moeten nemen die evenredig zijn aan het risico (Artikel 21).
Opbouw van ISO 27001:2022
ISO/IEC 27001 heeft twee delen. De hoofdstukken 4 tot en met 10 geven de regels voor het managementsysteem: context, leiderschap, planning, ondersteuning, uitvoering, evaluatie van de prestaties en verbetering. Bijlage A bevat 93 beheersmaatregelen in vier thema's:
- A.5 Organisatorische maatregelen (5.1 tot en met 5.37)
- A.6 Mensgerichte maatregelen (6.1 tot en met 6.8)
- A.7 Fysieke maatregelen (7.1 tot en met 7.14)
- A.8 Technologische maatregelen (8.1 tot en met 8.34)
De editie van 2013 had 14 domeinen met andere nummers. Certificaten op basis van de editie 2013 zijn op 31 oktober 2025 verlopen. Gebruik de nummers van 2022 hieronder.
NIS2 artikel 21(2) en artikel 23 naast ISO 27001:2022
| NIS2-eis | ISO 27001:2022 hoofdstukken en maatregelen uit bijlage A | Gat om te dichten voor NIS2 |
|---|---|---|
| Art. 21(2)(a) Risicoanalyse en beleid voor de beveiliging van informatiesystemen | Hoofdstukken 6.1.2, 6.1.3, 8.2, 8.3; 5.1 Beleidsregels voor informatiebeveiliging | Alle dreigingen afdekken, ook fysieke gebeurtenissen. |
| Art. 21(2)(b) Incidentbehandeling | 5.24 tot en met 5.28 (planning, beoordeling, respons, lessen, bewijs); 6.8 Rapporteren van informatiebeveiligingsgebeurtenissen; 8.15 Logging; 8.16 Monitoren van activiteiten | De NIS2-toets voor een "significant incident" toevoegen. |
| Art. 21(2)(c) Bedrijfscontinuïteit, back-upbeheer, herstel na een ramp, crisisbeheer | 5.29 Informatiebeveiliging tijdens een verstoring; 5.30 ICT-gereedheid voor bedrijfscontinuïteit; 8.13 Back-up van informatie; 8.14 Redundantie van informatieverwerkende faciliteiten | Een crisisbeheerplan schrijven. ISO 27001 noemt dit niet. |
| Art. 21(2)(d) Beveiliging van de toeleveringsketen | 5.19 tot en met 5.22 (leveranciersrelaties, overeenkomsten, ICT-toeleveringsketen, monitoring); 5.23 Informatiebeveiliging voor het gebruik van clouddiensten | De gecoördineerde EU-risicobeoordelingen van toeleveringsketens meenemen (art. 22). |
| Art. 21(2)(e) Beveiliging bij aanschaf, ontwikkeling en onderhoud, inclusief behandeling en bekendmaking van kwetsbaarheden | 8.8 Beheer van technische kwetsbaarheden; 8.9 Configuratiebeheer; 8.25 tot en met 8.29 (veilige ontwikkeling en testen); 8.32 Wijzigingsbeheer | Een proces voor gecoördineerde bekendmaking van kwetsbaarheden toevoegen (art. 12). |
| Art. 21(2)(f) Beoordelen van de effectiviteit van maatregelen | Hoofdstukken 9.1, 9.2, 9.3; 5.35 Onafhankelijke beoordeling van informatiebeveiliging; 5.36 Naleving van beleid, regels en normen voor informatiebeveiliging | Grotendeels afgedekt. |
| Art. 21(2)(g) Basispraktijken voor cyberhygiëne en training | Hoofdstukken 7.2, 7.3; 6.3 Bewustwording, opleiding en training; 8.7 Bescherming tegen malware; 8.8; 8.9 | Ook het bestuursorgaan trainen (art. 20(2)). |
| Art. 21(2)(h) Cryptografie en versleuteling | 8.24 Gebruik van cryptografie | Grotendeels afgedekt. |
| Art. 21(2)(i) Personeelsbeveiliging, toegangsbeleid, beheer van bedrijfsmiddelen | 6.1 tot en met 6.5 (screening tot verantwoordelijkheden na uitdiensttreding); 5.15 tot en met 5.18 (toegangsbeveiliging, identiteiten, authenticatie-informatie, toegangsrechten); 8.2 Speciale toegangsrechten; 8.3 Beperking toegang tot informatie; 5.9 tot en met 5.11 (inventaris, aanvaardbaar gebruik, retournering) | Grotendeels afgedekt. |
| Art. 21(2)(j) Multifactorauthenticatie, beveiligde communicatie, beveiligde noodcommunicatie | 8.5 Beveiligde authenticatie; 5.14 Overdragen van informatie; 8.20 tot en met 8.22 (netwerkbeveiliging) | Beveiligde noodcommunicatie plannen. ISO 27001 noemt dit niet. |
| Art. 23 Melding aan het CSIRT of de autoriteit | 5.24 tot en met 5.26; 6.8; 5.5 Contact met overheidsinstanties | Vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur en eindverslag binnen een maand toevoegen. |
Twee andere maatregelen helpen bij NIS2. 5.7 Informatie en analyses over dreigingen ondersteunt het delen van informatie onder art. 29. In 5.31 Wettelijke, statutaire, regelgevende en contractuele eisen legt u vast welke nationale NIS2-wet voor u geldt.
Implementatiegids of Praktische Stappen
Heeft u al een ISO 27001-certificaat? Leg uw bestaande maatregelen dan naast NIS2. Volg deze stappen:
Leg uw Verklaring van Toepasselijkheid naast de tabel: Controleer of elke maatregel uit de tabel binnen de scope valt en is ingevoerd. Let op 5.23, 5.30 en 8.24. Die worden vaak uitgesloten.
Voeg de NIS2-meldplicht toe aan uw incidentproces: De maatregelen 5.24 tot en met 5.26 geven een proces, maar niet de NIS2-termijnen. Voeg de stappen voor 24 uur, 72 uur en een maand toe, een toets op significantie en een vast contactpunt voor de autoriteit.
Dicht de genoemde gaten: Schrijf een crisisbeheerplan, een proces voor bekendmaking van kwetsbaarheden en een plan voor beveiligde noodcommunicatie. Neem training van het bestuursorgaan op in uw trainingsplan.
Leg evenredigheid vast in uw risicobeoordeling: NIS2 vraagt maatregelen die evenredig zijn aan het risico, de omvang van de entiteit en de impact van incidenten (art. 21(1)). Leg deze afweging vast in uw risicobehandelplan (hoofdstuk 6.1.3).
Audit beide kaders samen: Neem de NIS2-punten op in uw interne auditprogramma (hoofdstuk 9.2) en uw directiebeoordeling (hoofdstuk 9.3).
Veelvoorkomende Fouten of Valkuilen om te Vermijden
Aanneming van Volledige Uitlijning: Het aannemen dat een ISO 27001-certificering automatisch voldoet aan de vereisten van NIS2 kan leiden tot niet-naleving. NIS2 introduceert specifieke verplichtingen die mogelijk niet volledig worden gedekt door ISO 27001-controles.
Negeren van Proportioneelheid: Het niet aanpassen van beveiligingsmaatregelen volgens het risiconiveau kan leiden tot niet-naleving van NIS2. Het uitvoeren van een gedetailleerde risico-evaluatie is cruciaal om het juiste beveiligingsniveau te garanderen.
Negeren van Incidentrapportagevereisten: Het overslaan van de specifieke rapportagevereisten van NIS2 kan resulteren in significante sancties. Zorg ervoor dat uw incidentbeheerproces voldoet aan de richtlijn van de tijdschema's en inhoudsvereisten.
Tekortschieten van Samenwerking en Communicatie: Het onderschatten van de betekenis van samenwerking en informatie-uitwisseling met nationale autoriteiten kan leiden tot niet-naleving. Stel duidelijke communicatiekanalen en protocollen in om dit proces te faciliteren.
Hoe Matproof helpt
Matproof's compliancebeheerplatform vereenvoudigt het proces van uw organisatie in overeenstemming brengen met zowel NIS2 als ISO 27001-vereisten. Ons platform biedt een uitgebreide toewijzing van regelgevende vereisten aan ISO-controles, zodat uw nalevingsinspanningen efficiënt en effectief zijn. Met Matproof kunt u uw nalevingsvorderingen bijhouden, incidentrapportage automatiseren en ervoor zorgen dat uw beveiligingsmaatregelen proportioneel zijn aan het risico, wat helpt u om in overeenstemming te zijn met beide kaders.