27001 en de Cyberbeveiligingswet: wat dekt het, en waar zit het verschil?
Het is een vraag die ik regelmatig krijg van bestuurders en security managers: als we gecertificeerd zijn voor 27001, voldoen we dan ook aan de Cyberbeveiligingswet?
Het eerlijke antwoord: grotendeels wel, maar niet volledig.
Een goed ingericht managementsysteem op basis van 27001 dekt naar schatting 80 tot 90 procent van wat de wet vereist. Dat is een stevige basis. Maar de resterende 10 tot 20 procent is niet triviaal. Het gaat precies om de elementen die de wet nieuw introduceert: wettelijke verplichtingen met toezicht, harde termijnen en persoonlijke aansprakelijkheid.
Wat hebben 27001 en de Cyberbeveiligingswet gemeen?
De overlap is groot, en dat is geen toeval. Beide kaders zijn gebaseerd op hetzelfde principe: een risicogebaseerde aanpak van informatiebeveiliging. Organisaties identificeren risico’s, treffen maatregelen die proportioneel zijn aan die risico’s, en maken dat aantoonbaar.
De maatregelgebieden in de zorgplicht sluiten nauw aan op Annex A van 27001:2022. Wie een volwassen managementsysteem heeft ingericht, heeft de volgende elementen al grotendeels op orde:
- Risicoanalyse en risicobeoordeling;
- Beleid voor informatiebeveiliging;
- Toegangsbeveiliging en identiteitsbeheer;
- Cryptografie en sleutelbeheer;
- Incidentbeheer en bedrijfscontinuïteit;
- Leveranciersbeheersing.
Dat zijn geen marginale overeenkomsten. Dit is de kern van wat de wet verwacht, en een gecertificeerde organisatie die haar managementsysteem actief onderhoudt, heeft een aanzienlijke voorsprong.
Waar zit het verschil?
Het verschil zit niet in de maatregelen, maar in de wettelijke laag die de Cyberbeveiligingswet toevoegt. Drie elementen zijn specifiek voor de wet en komen niet voort uit 27001.
Wettelijke meldplicht met harde termijnen
27001 vereist dat organisaties incidenten intern beheren en documenteren. De wet voegt daar een externe meldplicht aan toe met vaste termijnen: 24 uur voor een eerste melding, 72 uur voor een gedetailleerde melding, één maand voor de eindrapportage. Die termijnen gelden ongeacht of de organisatie gecertificeerd is. Een managementsysteem dat alleen intern op incidenten is ingericht, voldoet hier niet aan.
Registratieplicht bij de toezichthouder
27001 kent geen registratieplicht. De wet verplicht organisaties zich te registreren bij de Rijksinspectie Digitale Infrastructuur (RDI). Niet-geregistreerde organisaties zijn afwezig in het toezichtregister en lopen een groter handhavingsrisico.
Persoonlijke bestuurlijke aansprakelijkheid
27001-certificering beschermt een organisatie, maar beschermt bestuurders niet persoonlijk. De wet introduceert de mogelijkheid om bestuurders individueel aansprakelijk te stellen bij aantoonbare nalatigheid. Dat vereist actieve betrokkenheid van het bestuur bij risicoafweging en beveiligingsbeslissingen, aantoonbaar vastgelegd. Een managementsysteem dat op de IT-afdeling leeft maar niet op de bestuurstafel, schiet hier tekort.
Wat geldt specifiek voor 7510?
7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, gebaseerd op 27001 met sectorspecifieke uitbreidingen. De overlap met de Cyberbeveiligingswet is vergelijkbaar: groot, maar niet volledig. Zorginstellingen die werken met 7510 lopen tegen dezelfde hiaten aan als 27001-gecertificeerde organisaties.
Er is één aanvullend aandachtspunt. Zorginstellingen vallen onder de Cyberbeveiligingswet én onder sectorspecifiek toezicht via de IGJ en de AP, die deels andere meldroutes en termijnen hanteren. Een zorginstelling moet een gelaagd meldproces inrichten dat aansluit op meerdere toezichthouders tegelijk. Dat is complexer dan in andere sectoren en vraagt een expliciete inrichtingskeuze.
Wat ontbreekt er bij gecertificeerde organisaties?
In de praktijk zien we bij gecertificeerde organisaties drie terugkerende hiaten:
- De meldketen naar externe toezichthouders is niet ingericht of nooit getest onder realistische omstandigheden;
- Bestuurders zijn niet actief betrokken bij risicoafweging en kunnen dat niet aantonen;
- Het managementsysteem leeft bij de CISO of IT-afdeling, maar niet in de bestuurslagen.
Dat zijn geen technische tekortkomingen. Het zijn governancevraagstukken, en governance is precies wat de wet toetst.
Wat is het praktische advies?
Geen nieuw traject starten. De basis is er. Wat ontbreekt, is gericht en beperkt. Een gap-analyse op drie specifieke punten geeft snel inzicht:
- Is de externe meldketen ingericht, inclusief termijnen en verantwoordelijkheden?
- Is de registratieplicht geborgd zodra het portaal beschikbaar komt?
- Is het bestuur aantoonbaar betrokken bij beveiligingsbeslissingen en risicoafweging?
Voor organisaties die nog niet werken met 27001 of 7510 geldt de omgekeerde redenering: begin met het kader, dan is de afstand tot de wet automatisch klein. De investering in een managementsysteem is geen extra last bovenop de wet. Het is de meest efficiënte weg naar naleving.
