Welke normenkaders zijn nu relevant?
Van de Cyberbeveiligingswet tot ISO 27001, NEN 7510, BIO en DORA.
Bestuurders en directeuren moeten hun informatiebeveiliging steeds beter aantonen aan klanten, toezichthouders en auditors. In sectoren als de maakindustrie, transport & logistiek, onderwijs, zorg, zakelijke dienstverlening, finance en energie is het een feit dat compliance en security een bestuurlijke verantwoordelijkheid wordt.
Daarmee wordt de aandacht voor normenkaders als ISO 27001, Cyberbeveiligingswet, NEN 7510, BIO en DORA niet alleen groter, maar schuift het ook steeds meer weg van IT. Het wordt een breder onderwerp binnen organisaties. Tenminste, zo zou het moeten zijn.
We begrijpen echter dat je door de bomen het bos niet meer ziet. De normenkaders vliegen je om de oren. Maar welke zijn relevant voor jouw sector en wat houden die kaders precies in?
Bare with us.
Welke norm voor informatiebeveiliging is het belangrijkst voor mijn organisatie?
Het gaat er uiteindelijk om welke norm of wetgeving voor jouw organisatie van toepassing is. Voor de meeste organisaties is ISO 27001 echter het vertrekpunt. Dat beschrijft hoe je een volwassen Information Security Management System (ISMS) inricht. Dit helpt je bij het realiseren van een structurele aanpak voor securitybeleid, risicobeheer en concrete maatregelen.
Als het Information Security Management System goed staat, kijk je vervolgens naar sectorspecifieke eisen:
- NEN 7510 voor de zorg
- Normenkader IBP in het onderwijs
- BIO voor de (semi-)overheid
- DORA voor financiële instellingen
- Cyberbeveiligingswet (Nederlandse toepassing van de NIS2) voor essentiële en kritische sectoren
Veel normenkaders hebben overlap met elkaar, sommigen zelfs grotendeels. Dat betekent dat als jouw organisatie informatiebeveiliging heeft ingericht volgens ISO 27001, je ook al op de goede weg bent voor andere normenkaders geldend in jouw sector.
Wat is het verschil tussen NIS2 en ISO 27001?
Een vraag die we vaak krijgen, is wat nou concreet het verschil is tussen NIS2 (de Cyberbeveiligingswet) en ISO 27001. Het grootste verschil is dat ISO 27001 een norm is, waardoor je er zelf voor kiest om deze te implementeren en eventueel een certificering voor te halen. Vaak komt de motivatie voor deze certificering vanuit leveranciers of klanten. De Cyberbeveiligingswet is daarentegen wetgeving en daarmee verplicht om aan te voldoen als je onder de wet valt. Twijfel je of dat voor jouw organisatie het geval is? Vul deze korte quiz in en krijg meteen duidelijkheid.
Ook de focus verschilt tussen NIS2 en ISO 27001:
ISO 27001
- Richt zich op het inrichten van een ISMS
- Focus op risicomanagement en continue verbetering
- Vrijwillige certificering
Cyberbeveiligingswet (NIS2)
- Richt zich op zorgplicht, meldplicht en registratieplicht
- Legt expliciete verantwoordelijkheid bij bestuurders
- Sprake van toezicht en mogelijke sancties
- Besteedt veel aandacht aan keten- en leveranciersrisico's
Hoe ga je van ISO 27001-certificering naar NIS2-compliance?
Vaak ben je al een heel eind op weg, maar je bent nog niet compliant aan de Cyberbeveiligingswet als je ISO 27001-gecertificeerd bent. ISO 27001 dekt wel een groot deel van de beveiligingsmaatregelen die gelden voor de Cyberbeveiligingswet. Denk aan toegangsbeheer, incidentafhandeling, leveranciersbeheer en risicomanagement.
Maar voor compliance moet je nog aan andere dingen aandacht besteden:
- Registratieplicht
- Meldplicht
- Bestuurstraining en bestuurlijke verantwoordelijkheid
- Aantoonbare ketensecurity
- Rapportages richting toezichthouders
Wat is het verschil tussen ISO 27001 en NEN 7510?
NEN 7510 is een zorgspecifieke uitbreiding van ISO 27001. Waar ISO 27001 algemeen toepasbaar is voor iedere sector, gaat NEN 7510 over de informatiebeveiliging voor de zorgsector gericht op zorgspecifieke risico’s. Daarbij wordt extra aandacht besteed aan patiëntgegevens, medische apparatuur en zorgketens en -processen. Dat maakt dat NEN 7510 relevanter is dan alleen een ISO 27001-certificering.
Wat is BIO en hoe verhoudt deze zich tot ISO 27001?
Voor semi-overheden, onderwijsinstellingen en publieke organisaties is de BIO van toepassing. De Baseline Informatiebeveiliging Overheid (BIO) is het informatiebeveiligingskader voor Nederlandse overheidsorganisaties. Ook dit normenkader is grotendeels gebaseerd op dezelfde principes als ISO 27001 en ISO 27002. Het verschil zit vooral in de toepassing. ISO 27001 is een internationale norm, terwijl BIO specifiek is ontwikkeld door de Nederlandse publieke sector. Daardoor biedt het concrete handvatten voor overheidsorganisaties.
Wat is DORA en wanneer is het belangrijker dan de Cyberbeveiligingswet?
Organisaties in de financiële sector krijgen te maken met DORA, de Digital Operational Resilience Act. Deze is specifiek ontwikkeld voor, je raadt het al, financiële instellingen én hun IT-dienstverleners. DORA heeft veel overlap met NIS2, maar gaat dieper in op een aantal specifieke gebieden, waaronder:
- Digitale operationele weerbaarheid
- Testverplichtingen
- ICT-risicomanagement
- Toezicht op leveranciers
- Rapportageverplichtingen
Voor banken, verzekeraars en andere financiële instellingen geldt in de praktijk dat DORA vaak leidend is. De Cyberbeveiligingswet is van toepassing, maar DORA richt zich nog meer op sectorspecifieke eisen.
Normenkaders per sector
Er bestaat niet één antwoord, maar in de basis gelden de volgende normeringen voor de sectoren waar we het al vaker over hebben gehad. Dat geeft je richting:
Transport & logistiek
- ISO 27001
- Cyberbeveiligingswet (indien van toepassing)
- Supply-chain security-eisen van klanten
- ISAE 3402 of SOC-rapportages bij dienstverlening
Maakindustrie
- ISO 27001
- Cyberbeveiligingswet
- Leveranciers- en keteneisen vanuit klanten
Zorg
- NEN 7510
- ISO 27001
- AVG
- Cyberbeveiligingswet
Onderwijs
- Normenkader IBP
- ISO 27001
- AVG
- Cyberbeveiligingswet
Semi-overheid
- BIO
- ISO 27001
- Cyberbeveiligingswet
Finance
- DORA
- ISO 27001
- NIS2-gerelateerde verplichtingen waar relevant
Conclusie
De grootste fout die organisaties maken, is meteen naar certificeringen of audits kijken. Terwijl je je eerst moet verdiepen in welke wetgeving en normenkaders daadwerkelijk op jouw organisatie van toepassing zijn. Daarna volgt een gap-analyse: welke eisen gelden er, welke maatregelen zijn al ingericht en wat zijn mijn risico’s? Pas dan wordt duidelijk of je moet sturen op ISO 27001, NEN 7510, BIO, DORA, de Cyberbeveiligingswet of een combinatie daarvan.
Uiteindelijk draait compliance niet om het verzamelen van certificaten. Maar om aantoonbaar grip hebben op jouw risico’s, bestuurlijke betrokkenheid realiseren en zorgen voor continuïteit van je organisatie.
