Toezicht op de Cyberbeveiligingswet: wat de inspecteurs daadwerkelijk gaan doen

De wet is van kracht, en uw certificaat is geen schild‍Op 3 september 2026 zaten vier personen die toezicht houden op de Cyberbeveiligingswet aan tafel om in een uur tijd uit te leggen hoe zij dat gaan aanpakken. Lies van Harten en Myrthe Aresvik van de Rijksinspectie Digitale Infrastructuur, Allard de Rond van de Nederlandse Voedsel- en Warenautoriteit en Patrick van de Heisteeg van de Inspectie Leefomgeving en Transport, onder leiding van het NCSC. De RDI publiceerde de opname op 11 september. Deze duurt 58 minuten en is voorzien van Nederlandse ondertiteling.‍Dit is een ander soort bron dan de wettekst zelf. Het zijn de inspecties die hun eigen werkwijze toelichten, officieel vastgelegd, en live vragen beantwoorden van de organisaties waarop zij toezicht houden.‍Vier zaken vallen op voor iedereen die onder de wet valt.- De wet is sinds 15 augustus 2026 van kracht en er is geen overgangsperiode. De toezichthouders zijn al bevoegd om op te treden. In de praktijk stonden ze op 16 augustus niet direct op de stoep, maar niets houdt hen tegen.- Het toezicht is verdeeld per sector. Verschillende inspecties delen het werk, en sommige organisaties vallen onder meer dan één toezichthouder. Wanneer u uw registratie voltooit, ziet u direct onder welke toezichthouder u valt.- Essentiële entiteiten krijgen proactief toezicht, gepland op basis van een risicoanalyse. Belangrijke entiteiten zijn onderworpen aan reactief toezicht: de toezichthouder kan ingrijpen zodra er bewijs, een aanwijzing of informatie is die duidt op een mogelijke inbreuk. Een incident kan dat proces in gang zetten, maar dat is niet de enige aanleiding.- Een kijker stelde de vraag waar elke gecertificeerde organisatie een antwoord op wil: voldoe ik aan de Cyberbeveiligingswet als ik een certificaat heb? Het antwoord was nee. Een certificaat helpt u bij de toepassing van de wet en het nemen van de juiste maatregelen, en de toezichthouders noemden het een nuttig instrument. Het is echter geen juridisch bindende verklaring dat u compliant bent. De toezichthouder onderzoekt of u voldoet aan de eisen, en de toezichthouder heeft het laatste woord.Dat laatste punt verdient aandacht, want het snijdt aan twee kanten. Certificering is geen schild. Het is echter ook geen verspilde moeite, en dat gaven de inspecteurs zelf aan zonder dat hen daarom gevraagd werd.‍Hoe een inspectie in het kader van de Cyberbeveiligingswet er echt uitzietDe bevoegdheden zijn niet nieuw. Onder de Cyberbeveiligingswet werken inspecteurs met dezelfde autoriteit die zij al hebben onder andere wetgeving, gebaseerd op de Algemene wet bestuursrecht: zij kunnen documenten opvragen en vorderen, toegang krijgen tot locaties waar een inspectie wordt uitgevoerd, producten en processen onderzoeken en medewerking eisen. Het zijn dezelfde inspecties die hun gebruikelijke werk doen, met de Cbw toegevoegd aan hun takenpakket.‍Wat de Cbw toevoegt, bevindt zich aan het uiterste einde van het instrumentarium. De aanvullende bevoegdheden omvatten bindende aanwijzingen en, voor essentiële entiteiten, de aanstelling van een onafhankelijke toezichthouder. Bij ernstige overtredingen kunnen de maximale boetes oplopen tot 10 miljoen euro of, indien hoger, 2% van de wereldwijde jaaromzet voor essentiële entiteiten; voor belangrijke entiteiten is het maximum 7 miljoen euro of 1,4%. In een geëscaleerd geval bij een essentiële entiteit kan de autoriteit de civiele rechter vragen om een of meer bestuursleden tijdelijk te schorsen. Een van de toezichthouders omschreef het als een interessante extra gereedschapskist bovenop het algemene bestuursrecht, en dat is een treffende omschrijving: de basis is regulier, de toevoegingen zijn dat niet.‍Tussen die twee uitersten zit een proces, en dat proces is geen inval.‍De Inspectie Leefomgeving en Transport beschreef hoe zij een inspectie uitvoert, voortbouwend op haar ervaring onder de vorige wet. Zij neemt contact op met de bekende contactpersoon. Zij vraagt documentatie op en verricht daarop bureauonderzoek. Het meest gevoelige materiaal, de documenten die gekoppeld zijn aan de risicoanalyse, laat zij bij voorkeur bij de organisatie liggen in plaats van kopieën te maken, om de blootstelling te beperken. Vervolgens wordt een dag op locatie afgesproken, voert zij realitychecks uit op wat de documenten beweren en houdt zij interviews. Aan het eind van de dag deelt zij haar bevindingen en vraagt zij of de organisatie er hetzelfde tegenaan kijkt. Er volgt een inspectierapport, dat eerst wordt aangeboden voor hoor en wederhoor zodat u het kunt corrigeren of betwisten. Waar iets niet in orde is, volgt meestal een verzoek om een verbeterplan met een redelijke deadline. Voldoet u daaraan, dan is er, in hun woorden, niets meer aan de hand.‍Twee details zijn het onthouden waard.‍Zij gaan verder dan papier. Direct gevraagd of zij kijken naar beleid en procedures of naar hoe de operatie daadwerkelijk draait, was het antwoord eenduidig. Papier zegt iets over het ontwerp, en ontwerp is niet genoeg. Is de risicoanalyse volledig? Zijn alle processen daadwerkelijk in beeld? Werkt de maatregel, en werkt deze over zes maanden nog steeds als de inspecteurs weg zijn? Operationele technologie valt expliciet onder de reikwijdte en komt steeds meer in het middelpunt van de belangstelling te staan.‍U wordt gevraagd uw redenering toe te lichten. Eén inspecteur verwoordde het als dat organisaties mogen uitleggen waarom zij een bepaalde keuze hebben gemaakt, terwijl hij erkende dat dit op hetzelfde neerkomt als verantwoording afleggen. Wat overblijft na uw maatregelen is restrisico, en restrisico is de risicobereidheid van het bestuur. Het bestuur stelt de maatregelen vast, accepteert wat overblijft en moet kunnen beschrijven waarom. Bereid dat voor vóór het bezoek, niet tijdens. Waar de toezichthouder het oneens is, gaat het gesprek over de vraag of de maatregelen in verhouding staan tot het risico, niet over de vraag of u een formulier heeft ingevuld.‍Wat zij blijven aantreffen, en niets daarvan is een firewallprobleemHet meest nuttige deel van het uur was het antwoord op een simpele vraag: wat doen organisaties het vaakst fout?‍Het patroon dat officieel werd benoemd, op basis van echte inspecties onder de vorige wet, was consistent.- Het bestuur is onvoldoende betrokken bij de risico's.- Er is een kloof tussen wat de CISO vraagt en de middelen die daadwerkelijk beschikbaar worden gesteld.- Documenten zijn niet formeel vastgesteld en goedgekeurd, wat op zichzelf een signaal is dat de betrokkenheid gering is.- Systemen ontbreken in de risicoanalyse, waardoor de asset-inventarisatie onvolledig is. Kleinere systemen die irrelevant lijken, maar wel deel uitmaken van een proces, werden genoemd als een goede voedingsbodem om binnen te dringen.- Afspraken met leveranciers en de toeleveringsketen zijn niet goed georganiseerd, inclusief partijen die op uw locatie komen.‍Geen van deze punten is een firewallprobleem. Elk ervan is een managementprobleem: governance, eigenaarschap, documentatie, inventarisatie en leveranciers. Een organisatie met uitstekende technische controles maar zonder bestuursnotulen die deze goedkeuren, zal op deze lijst falen.‍Tijdens de sessie kwamen ook drie praktische mechanismen naar voren.‍Wanneer meerdere toezichthouders op één organisatie van toepassing zijn, stemmen zij onderling af. Er is een samenwerkingsprotocol gepubliceerd in de Staatscourant, er wordt een coördinerend toezichthouder aangesteld die de leiding neemt en gezamenlijke inspecties zijn mogelijk. Het doel is, in hun eigen bewoordingen, om te voorkomen dat een entiteit op maandag met de ene inspectie te maken krijgt, op dinsdag met de andere en op woensdag met een derde. Er kunnen twee toezichthouders tegelijk langskomen, maar u voert slechts één gesprek.‍Rapportage verloopt via één loket, met één belangrijke uitzondering. Een melding via het NCSC-portaal informeert zowel het CSIRT als uw toezichthouder, dus voor de Cyberbeveiligingswet hoeft u maar één keer te melden. De Algemene verordening gegevensbescherming is een andere wet. Toezichthouders hebben een plicht om door te verwijzen naar de Autoriteit Persoonsgegevens wanneer persoonsgegevens betrokken zijn, en die doorverwijzing ontslaat u niet van uw eigen meldplicht bij datalekken. Als er persoonsgegevens zijn gelekt, moet u dit zelf nog steeds melden bij de AP. De drempelwaarden zijn bovendien niet gelijk, waardoor de twee meldingen op wezenlijk verschillende gebeurtenissen betrekking kunnen hebben.‍Voor het hoger onderwijs gelden andere regels. Iedereen die in die sector werkzaam is, werd voor de details verwezen naar de Inspectie van het Onderwijs in plaats van naar de algemene richtlijnen.‍Nog één punt, dat door het panel eerlijk werd benoemd in plaats van verbloemd. In een live peiling werd aan kijkers gevraagd of zij aan de belangrijkste verplichtingen voldeden, en slechts één procent gaf toe dat ze nog moesten beginnen. Een van de inspecteurs nuanceerde de eigen peiling direct door erop te wijzen dat "belangrijkste" in die zin nogal vaag is: er zijn vier plichten, en voldoen aan de verplichting op bestuursniveau is iets anders dan de zorgplicht op orde hebben. De gespreksleider had al gewezen op de selectiebias bij een publiek dat ervoor kiest om naar een webinar over toezicht te kijken. Bekijk dat geruststellende cijfer dus met beide kanttekeningen in het achterhoofd.‍Een besluit dat u nooit heeft vastgelegd, ziet eruit als een besluit dat u nooit heeft genomenAls u zich nog niet heeft geregistreerd, is dat de eerste stap en die is inmiddels rijkelijk laat. Het is bovendien in uw eigen belang en niet slechts een kwestie van gehoorzaamheid: een organisatie die niet geregistreerd is, is niet verbonden met het NCSC of het relevante CSIRT en krijgt geen ondersteuning van hen wanneer er iets misgaat.‍Als u onder de reikwijdte valt en achterloopt, was het advies aan tafel nuchter en correct. Breng uw risico's in kaart, identificeer uw kroonjuwelen en tref eerst maatregelen tegen de grootste risico's. Faseer de rest in plaats van te proberen alles tegelijk te realiseren. Zorg dat het bestuur erbij betrokken is, met de training die de wet vereist, zodat de verantwoordelijke persoon geïnformeerde besluiten kan nemen. En leg het gaandeweg vast, in welke vorm u maar wilt, zodat iemand die later instapt de analyse die u daadwerkelijk heeft gemaakt, kan volgen.‍Die laatste instructie is wat de meeste organisaties onderschatten. De inspecteurs vragen niet om een specifiek sjabloon. Ze vragen om meegenomen te worden in uw redenering. Een besluit dat u goed heeft genomen maar nooit heeft vastgelegd, ziet er van buitenaf precies zo uit als een besluit dat u nooit heeft genomen.‍Dit is waar een certificaat zijn waarde bewijst, binnen de grenzen die de toezichthouders daaraan stellen. ISO 27001 draagt het oordeel niet over aan uw certificerende instantie en beantwoordt niet namens u aan de Cyberbeveiligingswet. Wat het wel oplevert, mits u het goed uitvoert, is precies het materiaal waar een inspecteur om vraagt: een gedocumenteerde risicoanalyse, maatregelen die herleidbaar zijn naar de risico's die ze rechtvaardigen, besluiten die formeel zijn goedgekeurd door de verantwoordelijken, een activainventarisatie die daadwerkelijk compleet is, leveranciersbeheersing en een verslag van waarom u bepaalde keuzes heeft gemaakt.‍Veel van het onderliggende risicomanagement en de bewijsvoering overlappen elkaar, dus het is logisch om dit als één samenhangend proces te beheren. De Cbw voegt echter wettelijke verplichtingen toe waar een ISO 27001-managementsysteem niet automatisch aan voldoet, waaronder registratie, eisen voor incidentmeldingen en specifieke bestuurlijke taken.‍ISOPlanner™ is ontworpen om al dat werk op één plek te houden, binnen de Microsoft 365-omgeving die uw organisatie al gebruikt. Zo staan de risicoanalyse, de beheersmaatregelen, de goedkeuringen en het leveranciersregister bij elkaar, in plaats van in een map die pas vlak voor een audit wordt samengesteld. Het maakt u niet automatisch compliant, want niets kan dat garanderen. Het zorgt er wel voor dat bewijslast een bijproduct van het werk wordt in plaats van een apart project. Dat is het verschil tussen een inspectie waar u iemand moeiteloos doorheen loodst en een inspectie waar u zich apart op moet voorbereiden.‍Het volgende webinar in de reeks vindt plaats op 1 oktober en gaat over de rapportageplicht. Als dit voor u relevant is, is dat uur zeker de moeite waard om te reserveren.‍

Het korte antwoord ISO 27001 en de AVG (GDPR) beantwoorden verschillende vragen, hoewel er een belangrijk gebied van overlap is. ISO/IEC 27001 is een internationale norm voor het beheren van informatiebeveiliging. De norm stelt de vraag of uw organisatie informatiebeveiligingsrisico's identificeert, passende maatregelen neemt om deze te beheersen, verantwoordelijkheden toewijst en de manier waarop informatie wordt beschermd continu verbetert. De AVG is de Europese wetgeving voor gegevensbescherming. Deze gaat verder. De wet vraagt of en waarom persoonsgegevens mogen worden verwerkt, hoeveel gegevens u verzamelt, hoe lang u deze bewaart, hoe veilig u ze beschermt en of mensen hun rechten met betrekking tot deze gegevens kunnen uitoefenen. Dat onderscheid is essentieel. U kunt uitstekende beveiliging hebben en toch persoonsgegevens onrechtmatig verwerken. Een perfect versleutelde database met persoonsgegevens die zonder wettelijke grondslag zijn verzameld, kan nog steeds een AVG-probleem vormen. Het omgekeerde is ook waar. U kunt een geldige wettelijke grondslag hebben voor het verwerken van persoonsgegevens en er toch niet in slagen deze gegevens adequaat te beveiligen. Hoewel de AVG en ISO 27001 dus aanzienlijk overlappen op het gebied van informatiebeveiliging, betekent een ISO 27001-certificering niet dat een organisatie AVG-compliant is. ISO 27001 en de AVG in vogelvlucht Wat is het? ISO 27001 is een internationale norm voor informatiebeveiligingsmanagement. De AVG is EU-wetgeving voor gegevensbescherming. Primaire focus. ISO 27001 beheert risico's op het gebied van informatiebeveiliging. De AVG reguleert de rechtmatige, eerlijke en veilige verwerking van persoonsgegevens. Van toepassing op. ISO 27001 heeft betrekking op informatie binnen de scope van het ISMS. De AVG heeft betrekking op de verwerking van persoonsgegevens binnen de scope van de verordening. Certificering. ISO 27001 kan worden gecertificeerd. De AVG voorziet in certificeringsmechanismen, maar er is geen algemeen certificaat dat uw AVG-verplichtingen wegneemt. Individuele privacyrechten. Niet het primaire doel van ISO 27001. Een kernvereiste van de AVG. Beveiligingsmaatregelen. Een essentieel onderdeel van ISO 27001. Vereist door de AVG waar persoonsgegevens worden verwerkt. Bewijst ISO 27001 AVG-compliance? Nee. Waar ISO 27001 en de AVG overlappen De overlap tussen de AVG en ISO 27001 is reëel en organisaties moeten daar gebruik van maken. De AVG vereist dat organisaties passende technische en organisatorische maatregelen nemen om persoonsgegevens te beschermen. Wat passend is, hangt af van factoren zoals de betrokken risico's, de aard van de gegevens en de context waarin deze worden verwerkt. ISO 27001 biedt een gestructureerde manier om veel van die maatregelen te beheren. Een Information Security Management System (ISMS) geeft u een herhaalbaar proces voor het identificeren van informatiebeveiligingsrisico's, het selecteren van beheersmaatregelen, het toewijzen van verantwoordelijken, het beoordelen van de effectiviteit en het bewaren van bewijs dat maatregelen daadwerkelijk worden uitgevoerd. Dat bewijst niet automatisch dat aan elk AVG-vereiste is voldaan. Het biedt echter wel een sterke managementstructuur voor het beveiligingsgerelateerde deel van AVG-compliance. Als een toezichthouder vraagt hoe u een beveiligingsrisico heeft beoordeeld, waarom een bepaalde maatregel is gekozen, wie daarvoor verantwoordelijk was en of deze is geëvalueerd, kan een goed functionerend ISMS die vragen veel gemakkelijker beantwoorden. Incidentmanagement is een andere belangrijke overlap De AVG bevat ook specifieke vereisten voor datalekken. Wanneer een inbreuk in verband met persoonsgegevens waarschijnlijk een risico inhoudt voor de rechten en vrijheden van personen, moet de verwerkingsverantwoordelijke de relevante toezichthouder zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur nadat hij er kennis van heeft genomen, op de hoogte stellen. Wanneer de inbreuk waarschijnlijk een hoog risico inhoudt voor individuen, moeten de betrokkenen mogelijk ook worden geïnformeerd, behoudens de uitzonderingen in de AVG. ISO 27001 creëert die meldplichten niet. Maar een effectief ISMS kan het proces voor incidentmanagement bieden dat een organisatie helpt om een incident snel genoeg te detecteren, te onderzoeken, te documenteren en te escaleren om aan die verplichtingen te voldoen. De 72-uursvereiste wordt veel moeilijker te halen als niemand weet wie verantwoordelijk is voor het incident, wanneer het begon, welke informatie werd getroffen of wie de beslissing moet nemen. Dat is precies het type operationeel probleem dat een managementsysteem moet voorkomen. Waar ISO 27001 stopt en de AVG doorgaat Het grootste verschil is dat de AVG niet simpelweg een vereiste voor informatiebeveiliging is. Beveiliging is slechts één onderdeel van gegevensbescherming. De AVG vereist ook dat organisaties vragen beantwoorden zoals: wat is het doel van de verwerking van deze persoonsgegevens en wat is de wettelijke grondslag daarvoor? Verzamelen we meer persoonsgegevens dan we daadwerkelijk nodig hebben? Hoe lang moeten de gegevens worden bewaard? Wie ontvangt de gegevens of heeft er toegang toe? Zijn individuen goed geïnformeerd? Kunnen mensen hun rechten uitoefenen om gegevens in te zien, te corrigeren, te wissen of de verwerking te beperken? Kunnen zij, waar van toepassing, hun recht op dataportabiliteit uitoefenen of bezwaar maken tegen de verwerking? En als er op toestemming wordt vertrouwd, voldoet die toestemming dan aan de AVG-vereisten? Afhankelijk van de organisatie en de verwerking kan de AVG ook registers van verwerkingsactiviteiten, Data Protection Impact Assessments (DPIA's), verwerkersovereenkomsten en andere privacy-specifieke documentatie en processen vereisen. ISO 27001 vervangt die verplichtingen niet. Een ISO 27001-certificeringsauditor kan beoordelen of relevante wettelijke en reglementaire vereisten zijn geïdentificeerd en op passende wijze zijn meegenomen in het ISMS. Maar een ISO 27001-certificeringsaudit is geen volledige AVG-compliance-audit. Een toezichthouder voor gegevensbescherming kan veel verder kijken. Daarom is het een vergissing om ISO 27001-certificering te beschouwen als bewijs dat een organisatie automatisch AVG-compliant is. Waarom een ISO 27001-certificaat geen AVG-compliance is Dit is het vermelden waard, omdat het onderscheid soms verloren gaat in compliance-marketing. Er bestaat geen ISO 27001-certificaat dat een organisatie AVG-compliant maakt. De AVG is rechtstreeks van toepassing op organisaties die binnen de scope vallen. Die verplichtingen blijven bestaan, ongeacht welke ISO-normen een organisatie heeft geïmplementeerd of gecertificeerd. De AVG voorziet wel in goedgekeurde certificeringsmechanismen, maar certificering ontslaat verwerkingsverantwoordelijken of verwerkers niet van hun verantwoordelijkheid om aan de verordening te voldoen. Een ISO 27001-certificaat is specifiek bewijs dat een informatiebeveiligingsmanagementsysteem is getoetst aan ISO 27001, niet dat aan elke AVG-verplichting is getoetst. Wat een managementsysteem u wel kan bieden, is iets uiterst waardevols: aantoonbaarheid. De AVG bevat een verantwoordingsplicht. Van organisaties wordt niet alleen verwacht dat ze aan hun verplichtingen voldoen; ze moeten ook kunnen aantonen hoe ze dat doen. Dat betekent bewijslast bijhouden. Waarom is een besluit genomen? Wie is eigenaar van de maatregel? Wanneer is deze voor het laatst beoordeeld? Werkt de beheersmaatregel nog steeds? Wat is er gebeurd na een incident? Is het risico opnieuw beoordeeld toen er iets veranderde? Dit is waar veel organisaties na verloop van tijd mee worstelen. De uitdaging is vaak niet dat ze de AVG verkeerd begrepen toen ze deze voor het eerst implementeerden. De uitdaging is om de processen, verantwoordelijkheden, maatregelen en bewijslast twee of drie jaar later nog steeds actueel te houden. Een managementsysteem helpt om eenmalig compliance-werk om te zetten in een continu proces. Niet omdat het systeem zelf u compliant maakt, maar omdat het helpt om compliance beheersbaar, aantoonbaar en herhaalbaar te maken. Hoe zit het met ISO/IEC 27701? Voor organisaties die op zoek zijn naar een managementsysteemnorm die specifiek gericht is op privacy, is ISO/IEC 27701 de meest relevante norm. Belangrijk is dat dit is veranderd met de publicatie van ISO/IEC 27701:2025. De vorige editie uit 2019 was ontworpen als een uitbreiding op ISO/IEC 27001 en ISO/IEC 27002. De editie van 2025 is nu een op zichzelf staande managementsysteemnorm voor het opzetten, implementeren, onderhouden en continu verbeteren van een Privacy Information Management System (PIMS). Het kan daarom onafhankelijk worden geïmplementeerd, terwijl het nog steeds is ontworpen om effectief te integreren met ISO 27001. ISO 27701 kan organisaties helpen bij het structureren van privacyverantwoordelijkheden, risico's, beheersmaatregelen en bewijslast, en ondersteunt het aantonen van compliance met privacyregelgeving zoals de AVG. Maar hetzelfde principe geldt: het implementeren of certificeren van een managementsysteem draagt uw wettelijke verantwoordelijkheid niet over aan de norm of de software die u gebruikt om deze te beheren. Waar de maatregelen daadwerkelijk worden uitgevoerd Hier begint de praktische uitdaging. Privacy en informatiebeveiliging betreffen vaak dezelfde systemen, leveranciers, assets, risico's en mensen. Toch worden ze in veel organisaties afzonderlijk beheerd. Het privacyregister staat in een spreadsheet of tool. De asset-inventaris leeft ergens anders. Beveiligingsmaatregelen worden gedocumenteerd in het ISMS. Acties worden bijgehouden in een andere applicatie. Bewijslast staat in SharePoint of Teams. Incidentinformatie wordt weer apart bijgehouden. Het resultaat is dubbel werk, en na verloop van tijd kunnen die verschillende beschrijvingen van de organisatie elkaar gaan tegenspreken. ISOPlanner™ is geen AVG-compliance-oplossing, en we zouden het ook niet als zodanig omschrijven. Geen enkel softwareproduct kan uw wettelijke grondslag voor het verwerken van persoonsgegevens bepalen, beslissen of een bepaalde verwerkingsactiviteit wettelijk is toegestaan of het juridische oordeel vervangen dat nodig is om aan AVG-verplichtingen te voldoen. Wat ISOPlanner™ wel biedt, is een gestructureerde omgeving voor het operationele beheer rondom compliance. Registers van verwerkingsactiviteiten kunnen worden beheerd naast assets en andere compliance-informatie. Technische en organisatorische maatregelen kunnen worden gekoppeld aan verantwoordelijkheden, acties en bewijslast. Risico's kunnen worden toegewezen aan eigenaren en in de loop van de tijd worden beoordeeld. Incidenten, beheersmaatregelen en vervolgactiviteiten worden onderdeel van dezelfde managementcyclus in plaats van afzonderlijke compliance-oefeningen. Voor organisaties die al met Microsoft 365 werken, kan dit ook de noodzaak verminderen om een volledig aparte werkwijze rondom compliance op te bouwen. De waarde is niet dat een tool u AVG-compliant maakt. De waarde is dat de beslissingen, verantwoordelijkheden, maatregelen en bewijslast die uw compliance ondersteunen, minder snel verdwijnen in losgekoppelde spreadsheets, documenten en inboxen. Begin bij de verplichting, beheer deze daarna De volgorde is belangrijk. Begin met begrijpen wat de AVG van uw organisatie vereist en waarom u persoonsgegevens verwerkt. Bepaal uw doelen, wettelijke grondslagen, verantwoordelijkheden, bewaartermijnen en de rechten die van toepassing zijn. Zorg er vervolgens voor dat de maatregelen die nodig zijn om die verplichtingen te ondersteunen, worden beheerd op een plek waar ze over jaren nog steeds zichtbaar, eigendom van iemand en beoordeeld zijn. ISO 27001 kan een sterke managementbasis bieden voor informatiebeveiliging. ISO 27701 kan die managementdiscipline uitbreiden naar privacy. Geen van beide vervangt de AVG. Maar samen met een goed functionerend managementsysteem kunnen ze het aanzienlijk gemakkelijker maken om van compliance een eenmalige documentatie-oefening te maken naar iets dat uw organisatie daadwerkelijk kan onderhouden en aantonen. Dit artikel biedt algemene informatie over de AVG en ISO-normen en dient niet te worden beschouwd als juridisch advies.

Het korte antwoord voor Europa Als een klant, verzekeraar of toezichthouder om bewijs vraagt, wil je ISO 27001. Het is een certificering, een Europese inkoper herkent het zonder verdere uitleg, en het is de standaard die inkooptrajecten succesvol afrondt. NIST CSF certificeert niet. Er is geen certificaat dat je naar iemand kunt sturen. Het is een raamwerk voor het organiseren van beveiligingswerkzaamheden, gepubliceerd door een Amerikaanse overheidsinstantie, en het is uitstekend in die taak. De vergelijking waar mensen vaak naar zoeken, is zelden de keuze waar ze daadwerkelijk voor staan. De echte vraag is of je iets nodig hebt om te laten zien, of iets om te volgen. Voor een groeiend aantal Europese bedrijven is er een derde antwoord, dat geen van beide is, omdat de beslissing al voor hen is genomen. Als NIS2 op jouw organisatie van toepassing is, is dit geen keuze voor een raamwerk meer. Het is de wet. Waar ze echt verschillen ISO 27001 vraagt om een managementsysteem. Een scope, een risicomethode, een set beheersmaatregelen die je met redenen hebt geselecteerd, bewijs dat je ze uitvoert, en een interne audit- en beoordelingscyclus. Een externe auditor controleert dit vervolgens en geeft een certificaat uit dat drie jaar geldig is, met tussentijdse controles. NIST CSF vraagt niets van je. Het biedt zes functies — Govern, Identify, Protect, Detect, Respond en Recover — en een manier om je huidige en gewenste status daartegen af te zetten. Geen scopeverklaring, geen auditor, geen certificaat, geen kosten buiten je eigen tijd. Dat verschil verklaart het gebruikelijke patroon. NIST CSF is uitstekend om te bepalen wat de volgende stap is. ISO 27001 is wat je nodig hebt wanneer iemand anders overtuigd moet worden. Het zijn geen concurrenten, maar eerder verschillende fasen van hetzelfde proces. Een praktische kanttekening voor Europese lezers: CSF is geschreven in Amerikaanse regelgevingstaal en verwijst naar Amerikaanse referentiekaders. Niets houdt je tegen om het te gebruiken, maar je zult het gaandeweg moeten vertalen naar de lokale context. NIS2 is geen keuze voor een raamwerk Beide raamwerken zijn vrijwillig. NIS2 niet. NIS2 is een EU-richtlijn, dus het bindt je niet direct. Elke lidstaat zet het om in nationale wetgeving, en die nationale wet is waar je verantwoording aan aflegt. Als je binnen de scope valt, kies je geen raamwerk. Je voldoet aan wettelijke plichten, en een toezichthouder kan je vragen dit aan te tonen. Vier plichten keren terug in alle lidstaten, zelfs waar de handhaving verschilt. Neem en documenteer risicobeheersmaatregelen. Registreer je bij een nationale autoriteit. Meld een significant incident binnen een strak tijdsbestek, meestal een eerste waarschuwing binnen 24 uur en een volledige melding binnen 72 uur. En accepteer dat de verantwoordelijkheid bij het bestuur ligt; dit is het punt dat organisaties onderschatten, omdat verschillende nationale wetten toestaan dat een bestuurder persoonlijk aansprakelijk wordt gesteld. De scope is grofweg verdeeld in essentiële entiteiten, in sectoren zoals energie, transport, bankwezen, gezondheidszorg, water en digitale infrastructuur, en belangrijke entiteiten, een bredere groep waaronder postdiensten, afvalverwerking, chemie, voedselproductie en digitale aanbieders. Essentiële entiteiten krijgen proactief toezicht, belangrijke entiteiten reactief. De meeste nationale wetten beginnen bij ongeveer vijftig medewerkers of tien miljoen euro omzet, waarbij sommige categorieën ongeacht de omvang onder de scope vallen. Dit is waar de vergelijking tussen raamwerken ophoudt de interessante vraag te zijn. Een ISO 27001-certificaat is sterk bewijs van een werkend managementsysteem. Het registreert je niet, het meldt je incident niet binnen 24 uur, en het zorgt er niet voor dat je bestuur betrokken is. Een CSF-profiel doet dat ook niet. Een raamwerk helpt je om aan de plichten te voldoen. Het ontslaat je er niet van. In Nederland is het de Cyberbeveiligingswet In Nederland is NIS2 geïmplementeerd als de Cyberbeveiligingswet, en dat is de wet waar Nederlandse organisaties aan worden gehouden. Deze stelt vier plichten vast. Zorgplicht. Beoordeel de risico's voor je netwerken en systemen en neem passende maatregelen. De gepubliceerde lijst is een minimum in plaats van een volledige set, dus wat als passend geldt, hangt af van je eigen risicoprofiel. Registratieplicht. Organisaties die onder de scope vallen, registreren zich bij de overheid via mijn.ncsc.nl. Meldplicht. Een significant incident wordt binnen 24 uur gemeld, gevolgd door een vollediger rapport binnen 72 uur en daarna een eindrapport. Bestuurdersaansprakelijkheid. Het bestuur is eindverantwoordelijk, en de wet maakt het mogelijk om bestuurders persoonlijk te beboeten. De RDI houdt toezicht op de wet en het NCSC beheert het registratieportaal. Twee zaken verrassen organisaties vaak. Registratie is niet een formulier dat je één keer invult, want wijzigingen moeten worden doorgegeven, dus het blijft een actieve verplichting. En toegang tot het portaal verloopt via eHerkenning, wat niet iets is dat je op de dag zelf regelt. De Nederlandse wet vereist geen certificering. Het vereist passende maatregelen en het vermogen om deze aan te tonen. Een ISO 27001-managementsysteem is een bekende manier om dat bewijs te leveren, en als je in de zorg al NEN 7510 hebt, ben je al een heel eind. Eén lidstaat ging verder en noemde ISO 27001 expliciet Goed om te weten als je over de grens verkoopt. België was de eerste lidstaat die NIS2 volledig implementeerde, en het Koninklijk Besluit maakt conformiteitsbeoordeling verplicht voor essentiële entiteiten. Het noemt precies twee referentiekaders die gebruikt kunnen worden: CyberFundamentals, gepubliceerd door het Centrum voor Cybersecurity België, en ISO/IEC 27001. Dat is het meest opvallende feit in deze vergelijking. In geen enkele nationale NIS2-wet is NIST CSF een benoemde route. In België is ISO 27001 in de wet zelf verankerd. Wanneer NIST CSF zijn plek verdient Nu het juridische plaatje duidelijk is, is CSF makkelijker te plaatsen. Het is niet wat je aan een Europese toezichthouder laat zien. Het is een goede manier om het werk te organiseren waar een toezichthouder of klant uiteindelijk naar zal vragen. Drie situaties waarin kiezen voor CSF als eerste stap de betere keuze is: Je hebt nog geen structuur en geen deadline. CSF geeft je een manier om het hele oppervlak te overzien en een volgorde te bepalen, zonder je vast te leggen op een audit waar je nog niet klaar voor bent. Combineer het met de CIS Controls Implementation Group 1 en je hebt een takenlijst in plaats van een leeslijst. Je verkoopt aan de Verenigde Staten, of je moederbedrijf doet dat. Dan is CSF de woordenschat die je gesprekspartner al gebruikt, en jezelf daarin beschrijven bespaart een vertaalslag bij elk gesprek. Je hebt al ISO 27001 en wilt een scherper beeld van detectie en respons. Dit is waar CSF echt waarde toevoegt: ISO 27001 laat je slagen met een beperkte Detect-capaciteit, en CSF maakt die beperking zichtbaar. Als je onder de NIS2-scope valt, is dat belangrijker dan het klinkt, omdat Detect, Respond en Recover precies het terrein zijn waar een 24-uurs meldplicht op rust. CSF 2.0 heeft Govern ook gepromoveerd tot een volwaardige functie, wat het dichtst in de buurt komt van de verantwoordelijkheid die NIS2 bij je bestuur legt. En het argument tegen, simpel gesteld: als een prospect een beveiligingsvragenlijst in handen heeft, beantwoordt een CSF-profiel die niet. Je kunt geen 'target state' naar inkoop sturen. En het is geen erkende conformiteitsroute onder enige nationale NIS2-wet. Beide in de praktijk brengen Welke je ook kiest, het werk eronder is hetzelfde, en dat is het deel dat bepaalt of het standhoudt. Een inventarisatie van bedrijfsmiddelen. Een risicobeoordeling die je bijwerkt in plaats van één keer schrijft. Beheersmaatregelen met bewijslast. Leveranciers in kaart. Een incidentproces dat iemand heeft geoefend. Een beoordelingscyclus die daadwerkelijk plaatsvindt. Beide raamwerken beschrijven dit; geen van beide voert het uit. ISOPlanner™ draait binnen Microsoft 365, dus het register, het bewijs en de leveranciersgegevens staan in de tenant waar je team al op inlogt. Eén beheersmaatregel kan voldoen aan een ISO 27001-vereiste en tegelijkertijd mappen naar een CSF-functie, wat belangrijk is als je CSF gebruikt om te plannen en ISO 27001 om te certificeren. Dat is nog belangrijker zodra er een wet bij komt kijken. Binnen de NIS2-scope is hetzelfde register van risico's, maatregelen en bewijs wat je passende maatregelen onderbouwt, waar je op terugvalt als de klok voor een incident begint te tikken, en wat je aan een toezichthouder laat zien. ISOPlanner™ ondersteunt ISO 27001, NIS2, NEN 7510 en CyberFundamentals vanuit dezelfde omgeving, zodat een maatregel waarvoor je al bewijs hebt geleverd, niet opnieuw bewezen hoeft te worden voor het volgende raamwerk of de volgende toezichthouder. Die combinatie is de eerlijke aanbeveling voor de meeste Europese mkb-bedrijven. Gebruik CSF om te bepalen wat je nu moet doen. Certificeer voor ISO 27001 wanneer iemand om bewijs vraagt. Registreer en rapporteer als de Cyberbeveiligingswet op jou van toepassing is. Houd één set bewijslast onder alle drie, want twee sets bijhouden is de reden waarom programma's stilletjes ophouden te bestaan.

Wat een compliance-rapport moet doenEen compliance-rapport heeft precies twee doelgroepen, en zij willen verschillende dingen.‍Je managementteam wil weten of het programma op schema ligt en waar de risico's liggen. Kort, vergelijkend en eerlijk over wat er achterblijft. Je auditor wil zien dat een controle is uitgevoerd, op welke data, met bewijslast erbij. Geen samenvatting daarvan.‍De meeste rapportageproblemen ontstaan doordat men probeert beide groepen met één document te bedienen. Een presentatie voor de directie vol met auditdetails wordt vluchtig bekeken. Een auditdossier dat bestaat uit directie-slides wordt afgewezen.‍Waarom het dashboard niet het rapport isCompliance-tools beantwoorden de vraag naar rapportage vaak met een percentage en een cirkeldiagram. Dat is oprecht nuttig voor degene die het programma dagelijks beheert, maar het is geen rapport.‍Een auditor kan geen screenshot van een voltooiingspercentage accepteren. De vraag is altijd specifieker: laat me deze controle zien, laat zien dat deze in maart is uitgevoerd, laat zien wie hem heeft beoordeeld. Dat betekent dossiers met data en eigenaren, geen geaggregeerde cijfers.‍En een directie heeft ook niets aan die geaggregeerde cijfers. Zij moeten weten wat er sinds de vorige keer is veranderd, wat het risico loopt om een deadline te missen en waarvoor een besluit nodig is. Een score van 94% die het vorige kwartaal 93% was, vertelt hen niets waar ze op kunnen sturen.‍De eerlijke aanpak is dus drie outputs uit één set gegevens: een vaste managementsamenvatting, een bewijsdossier per raamwerk en een uitzonderingenlijst. Die laatste is de enige die iedereen aandachtig leest.‍Het ritme dat een klein team kan volhoudenRapportage faalt veel vaker door de frequentie dan door de vorm. Een maandelijks directierapport waar niemand tijd voor heeft om te schrijven, wordt een kwartaalrapport dat de avond van tevoren in elkaar wordt geflanst.‍Voor een team van één of twee personen dat compliance naast een andere baan doet, werkt dit: uitzonderingen maandelijks beoordelen, wat vijftien minuten duurt omdat het een lijst is van wat de deadline heeft overschreden. Een managementsamenvatting per kwartaal, afgestemd op de vergadering die al bestaat in plaats van een nieuwe. Het bewijsdossier continu bijhouden, omdat het een bijproduct is van het werk in plaats van een document dat je achteraf moet samenstellen.‍Eén regel maakt het verschil. Wie verantwoordelijk is voor een controle, is verantwoordelijk voor het bewijs op het moment dat het wordt geproduceerd. Bewijs dat achteraf voor een audit wordt verzameld, zorgt voor slapeloze nachten en is ook de reden dat hiaten te laat worden ontdekt om ze nog te herstellen.‍Wijs een eigenaar aan voor het rapport zelf, niet alleen voor de controles. Rapporten zonder eigenaar? Dat zijn de rapporten die stilletjes ophouden te bestaan.‍Rapporteren vanuit de bron van het bewijsDe reden dat rapporteren een heel project wordt, is meestal dat het bewijs ergens anders staat dan in het rapport.‍ISOPlanner™ draait binnen Microsoft 365, dus controles, risico's, leveranciers en bewijslast staan in de tenant waar je team al op inlogt. Het managementoverzicht en de uitzonderingenlijst worden uit diezelfde gegevens getrokken in plaats van uit een kopie die synchroon moet blijven, en ze verschijnen in Teams naast het werk in plaats van achter een andere inlog.‍Dat elimineert de stap waarbij iemand gegevens exporteert, plakt en vergelijkt. Het elimineert ook het falen dat deze stap veroorzaakt: een rapport dat klopte op de dag dat het werd samengesteld en daarna verouderde.‍De test is simpel. Als het produceren van je kwartaalrapport meer dan een uur duurt, ben je niet aan het rapporteren, maar aan het herbouwen. Zorg dat het bewijs op de juiste plek staat en het rapport is geen werk meer.‍

Wat ISO 42001 nu eigenlijk is, in begrijpelijke taal‍ISO/IEC 42001:2023 is de eerste internationale norm voor het verantwoord beheren van kunstmatige intelligentie. Het is geen checklist voor één specifieke AI-tool. Het is een managementsysteem, opgezet op dezelfde manier als ISO 27001 voor informatiebeveiliging: risicogebaseerd, werkend volgens een cyclus van continue verbetering en ondersteund door een set Annex A-beheersmaatregelen waar je naar kunt verwijzen wanneer iemand vraagt hoe je AI aanstuurt.Als je al een ISMS volgens ISO 27001 beheert, zul je dit direct herkennen: dezelfde logica, hetzelfde auditritme, maar nu gericht op zowel de AI-systemen die je data verwerken als op de data zelf.Als je het terugbrengt tot de kern, vraagt ISO 42001 vier dingen van elke organisatie die AI bouwt, koopt of gebruikt. Weet welke AI je draait. Begrijp het risico van elke toepassing. Stel beheersmaatregelen in voor dat risico. Houd bewijs bij dat je dit hebt gedaan. Dat is de norm. Alles daarna is een uitwerking van hoe die vier vereisten van toepassing zijn op jouw organisatie, en voor een Microsoft 365-team begint die uitwerking op de dag dat Copilot wordt ingeschakeld.‍Waarom dit geen probleem voor later meer is‍Microsoft 365 Copilot komt niet als een aparte, afgeschermde tool die je op afstand kunt evalueren. Het integreert direct in de tenant waar je team al in werkt en neemt alle toegangsrechten van de gebruiker over: hun mailbox, Teams-chats, SharePoint-bibliotheken, alles wat het rechtenmodel van Microsoft hen toestaat. De eigen documentatie van Microsoft stelt dit duidelijk: Copilot toont alleen organisatorische gegevens waarvoor individuele gebruikers ten minste leesrechten hebben. Dat is een reële waarborg, maar het is ook precies het probleem. Het risicoprofiel van Copilot is je bestaande toegangsbeheer, maar dan uitvergroot. Geef iemand te veel toegang tot een bestand dat ze niet zouden mogen zien, en Copilot vindt het sneller voor hen dan ze het zelf ooit hadden kunnen vinden.De EU AI Act koppelt data aan dat risico, en sommige van die data zijn afgelopen zomer verschoven. Verplichtingen voor AI-modellen voor algemeen gebruik en de governancestructuur van de Act zijn sinds 2 augustus 2025 van kracht. De transparantieplichten uit artikel 50, waarbij moet worden aangegeven wanneer iemand interactie heeft met een AI-systeem en AI-gegenereerde inhoud die voor menselijk kan doorgaan moet worden gelabeld, gingen volgens planning in op 2 augustus 2026. De algemene verplichtingen voor hoogrisico-AI-systemen komen nu later. De Digital Omnibus on AI, van kracht sinds 27 juli 2026, heeft deze verplaatst naar 2 december 2027, en naar 2 augustus 2028 voor AI die is ingebouwd in gereguleerde producten.Werkgelegenheid is een van de gevoelige gebieden die de Commissie noemt onder die deadline van 2027. Het meeste dagelijkse gebruik van Copilot, zoals het opstellen van een e-mail of het samenvatten van een vergadering, zal op zichzelf niet in de categorie hoog risico vallen, maar een team dat Copilot-agents koppelt aan HR-screening zit dichter bij het profiel waar die regels op gericht zijn. Of een specifieke implementatie kwalificeert, en of je wordt beschouwd als de aanbieder of de gebruiker ervan, is een vraag voor je compliance-specialist.Zestien maanden extra voor het papierwerk rondom hoog risico verandert niets aan wat Copilot vanochtend in je tenant kan bereiken. Het aanscherpen van rechten is de moeite waard, en dat is slechts de helft van het werk. De andere helft is een dossier: welke AI draait er, wie heeft het ingeschakeld en waarom vond iemand het gebruik acceptabel. Dat dossier is precies waar ISO 42001 voor is bedoeld.‍Hoe ISO 42001 in je bestaande ISMS past‍Een ISO 27001 ISMS biedt je al het meeste gereedschap: een risicoregister, aangewezen eigenaren, een interne auditcyclus en een directiebeoordeling die ergens op moet toezien. ISO 42001 verandert wat je daarin stopt.Het voor de hand liggende tegenargument is dat Microsoft dit al voor je heeft gedaan. Microsoft 365 Copilot en Copilot Studio vallen beide binnen de scope van Microsofts eigen ISO/IEC 42001-certificering, en Microsoft is precies over wat je daaraan hebt: je mag de relevante certificering gebruiken in je eigen compliance-beoordeling, maar je blijft zelf verantwoordelijk voor het inschakelen van een auditor om de beheersmaatregelen en processen binnen je eigen organisatie en je eigen implementatie te evalueren. De scope stopt bij de systemen van Microsoft. Welke agents in jouw tenant draaien, wie ze heeft geautoriseerd en waar ze op zijn gericht, ligt allemaal aan jouw kant van die grens.Dus het register groeit. Naast je informatieactiva begint het de systemen te bevatten die deze lezen, inclusief die Copilot Studio-agent die iemand op een donderdagmiddag heeft gebouwd. Classificatie verandert ook van vorm, omdat de relevante vraag is hoe riskant dit specifieke gebruik van Copilot is. Een stand-up samenvatten en sollicitanten rangschikken delen weliswaar een licentie, maar verder heel weinig.Bij agents wordt dit concreet. Elke agent verklaart de rechten en de datatoegang die nodig zijn, en een beheerder kan dit precies controleren in het Microsoft 365-beheercentrum voordat deze wordt toegelaten tot de tenant. Daaromheen wordt toegangsbeheer verbreed om te dekken wat een AI-systeem kan bereiken, moet leveranciersbeheer gaan vragen wat het certificaat van een leverancier daadwerkelijk dekt, en heeft incidentrespons een pad nodig voor wanneer een AI-systeem onvoorspelbaar gedrag vertoont. Het bewijstraject, het eigendomsmodel en het auditritme dat je al hebt opgebouwd, sluiten hier naadloos op aan.Het certificaat is een aparte beslissing van de governance. Of je een eigen ISO 42001-certificaat nastreeft, is een scope-gesprek dat je met je auditor moet voeren, maar de governance begint hoe dan ook op dezelfde manier: door te weten wat er draait.‍De eerste drie stappen voor een M365-team‍De weg van onbeschermd naar beheerst bestaat uit drie stappen, en de volgorde is cruciaal.Begin met inventariseren: breng elk AI-systeem in kaart dat toegang heeft tot je tenant, inclusief Copilot zelf, alle Copilot Studio-agents en de AI-functies die stilletjes zijn ingebed in de andere SaaS-tools die je team gebruikt. Wijs aan elk item een eigenaar en een datum toe. Je kunt immers niet beheren wat je niet in kaart hebt gebracht.Zodra je die lijst hebt, begint het echte werk: beoordeel elk item eerlijk op risico. Voeg de resultaten toe aan het risicoregister dat je al hanteert voor ISO 27001, in plaats van een apart register op te zetten. Een afzonderlijk AI-register is alleen maar iets extra's om te vergeten.De laatste stap is waar de governance echt vorm krijgt. Breng Copilot en de bijbehorende agents onder bij hetzelfde toegangsbeheer dat je al toepast op gevoelige bestanden en systemen: benoemd eigenaarschap, een gedocumenteerde scope en een besluit dat door iemand is ondertekend en gedateerd. Dat laatste is het bewijsmateriaal waar de norm om vraagt.ISOPlanner™ integreert ISO 42001 in de Microsoft 365-omgeving waar je team al in werkt, gekoppeld aan ISO 27001, waarbij het risicoregister, het eigenaarschap en de bewijslast worden beheerd in SharePoint en Teams, precies daar waar het werk plaatsvindt.Een AI-implementatie die wordt behandeld als "IT heeft iets aangezet" is een beveiligingslek dat vroeg of laat aan het licht komt. Een AI-implementatie die wordt behandeld als een besluit binnen het managementsysteem is dat niet.‍

Het korte antwoord voor een klein bedrijfEen risicomanagementraamwerk is een herhaalbare methode om risico's te identificeren, te beoordelen, te beslissen wat je met elk risico doet en om achteraf verantwoording af te leggen. Dat laatste punt is wat een raamwerk verandert van een goede gewoonte in iets dat door een auditor of klant wordt geaccepteerd.Voor een Europese mkb-onderneming is de werkelijke keuze beperkter dan de literatuur doet vermoeden. Drie opties dekken vrijwel elke situatie.Kies voor ISO 27001 als een klant, verzekeraar of toezichthouder om bewijs vraagt. Het is certificeerbaar, wordt in de hele EU erkend en de bijbehorende norm ISO 27005 biedt je de risicomethode zelf. Dit is het standaardantwoord wanneer iemand je om een certificaat vraagt.Kies voor NIST CSF als je structuur wilt zonder audit. Het is gratis te gebruiken, organiseert beveiligingswerkzaamheden in zes functies en er wordt geen certificaat voor uitgegeven. Goed om je weg te vinden, maar zwak als antwoord op een inkoopvragenlijst.Kies voor NIS2 als dit op jou van toepassing is. Het komt voort uit een wettelijke verplichting in plaats van een norm die je koopt, en wordt in de praktijk gehanteerd als een raamwerk: een gedefinieerde set risicomanagementmaatregelen die je implementeert, onderbouwt en waarop je gecontroleerd kunt worden. Beveiliging van de toeleveringsketen is een van die plichten; daarom horen leveranciersgegevens, verwerkersovereenkomsten en leveranciersbeoordelingen in hetzelfde systeem als de rest van je risicobeheer, in plaats van in een aparte map.Kies voor NIS2 Supply Chain als je de leverancier bent in plaats van de entiteit die onder de wet valt. Dit is wat de meeste vergelijkingen over het hoofd zien. Het is een certificeerbaar schema met een onafhankelijke audit, gericht op organisaties die onder NIS2 vallen en op de veel grotere groep bedrijven die aan hen levert. Het kent drie risiconiveaus: SC10 BASIC voor het mkb, SC20 SUBSTANTIAL voor hoger risico en SC30 HIGH voor kritieke leveranciers. Als je klant onder NIS2 valt en je vragenlijsten begint te sturen, is dit het raamwerk dat speciaal voor jouw kant van dat gesprek is ontwikkeld.Twee verduidelijkingen die onnodige inspanning besparen. ISO 31000 komt in elke zoekopdracht over dit onderwerp naar voren en is oprecht dé norm voor risicomanagement, maar het biedt principes en een proces in plaats van een lijst met beheersmaatregelen, en niemand certificeert je hierop. Zie het als de paraplu boven een beveiligingsraamwerk, niet als een alternatief daarvoor. En als je al ISO 9001 hebt, is de clausule over risicogebaseerd denken de goedkoopste plek om te beginnen, omdat de gewoonte en de beoordelingscyclus al bestaan.Waar de keuze je daadwerkelijk geld kostVergelijk raamwerken op twee assen en het aanbod dunt snel uit. Scope is wat het raamwerk dekt. Inspanning is wat het je kost om het uit te voeren; de as die de meeste leveranciersvergelijkingen overslaan.ISO 27001 dekt informatiebeveiligingsmanagement. De scope is het ISMS dat je zelf definieert, wat één productlijn kan zijn in plaats van het hele bedrijf. De inspanning is de hoogste van de drie: een risicobeoordeling, een behandelplan, een set beheersmaatregelen met bewijslast, een interne audit, een directiebeoordeling en vervolgens een externe audit in twee fasen. Hercertificering verloopt via een driejarige cyclus met tussentijdse controlebezoeken. Daar staat tegenover dat dit de norm is die een EU-inkoper zonder uitleg erkent.NIS2 dekt de risicomanagementmaatregelen die de richtlijn vereist van organisaties die onder de wet vallen, inclusief incidentafhandeling, bedrijfscontinuïteit en beveiliging van de toeleveringsketen. De inspanning hangt af van waar je begint: een organisatie die al ISO 27001 hanteert, is al een heel eind, terwijl een organisatie die bij nul begint dat niet is. Het is verplicht in plaats van optioneel, dus voor organisaties die onder de wet vallen, is het niet echt een keuze.NIS2 Supply Chain dekt de leverancierskant van de richtlijn. De scope is je eigen beveiligingsniveau als leverancier aan een klant die onder de wet valt. De inspanning is bewust getrapt: SC10 is het instapniveau voor het mkb en SC30 is voor kritieke leveranciers, waardoor de kosten schalen met het werkelijke risico in plaats van met de omvang van de norm. Het is certificeerbaar met een onafhankelijke audit, wat het verschil maakt tussen het invullen van een vragenlijst en het kunnen overleggen van een certificaat.ISO 9001 dekt kwaliteitsmanagement en vereist risicogebaseerd denken in plaats van een volledig risicoraamwerk. De inspanning is laag als je het al hebt, omdat je een bestaand managementsysteem uitbreidt in plaats van een nieuw systeem opzet. Het is het noemen waard omdat veel mkb-bedrijven in de EU het al hebben en zich niet realiseren dat ze daar hun risicowerk in kwijt kunnen.ISO 31000 dekt risico's overal in de organisatie. De inspanning is matig en vooral intellectueel: er is geen set beheersmaatregelen om te implementeren en geen audit om te halen, dus de kosten zitten in de discipline om het proces daadwerkelijk uit te voeren. Het zal een klant die om beveiligingsgaranties vraagt niet tevredenstellen, en er bestaat geen certificaat voor. Daarom hoort het in deze vergelijking thuis als context, niet als kandidaat.NIST CSF dekt cyberbeveiligingsactiviteiten, georganiseerd onder Govern, Identify, Protect, Detect, Respond en Recover. De inspanning is laag om te beginnen omdat je jezelf in een workshop kunt beoordelen. Er is geen certificaat, dus de inspanning levert je duidelijkheid op in plaats van bewijs.CIS Controls is de moeite waard om te kennen, ook al is het geen risicomethode. Het is een geprioriteerde lijst van technische beheersmaatregelen in drie implementatiegroepen, waarbij de eerste groep bewust is afgestemd op organisaties zonder beveiligingsteam. Veel mkb-bedrijven krijgen meer beveiliging per uur uit CIS dan uit welk raamwerk dan ook, en stappen later over op een raamwerk wanneer iemand daarom vraagt.Er zijn er nog twee die in zoekopdrachten naar voren komen, maar zelden passen bij een mkb-bedrijf. COSO ERM is gebouwd voor besturen en financiële verslaglegging. FAIR drukt risico uit in geld, wat oprecht nuttig is, maar verliesdata en een getrainde analist vereist.Daarnaast zijn er sector-specifieke aanvullingen die bovenop je keuze liggen in plaats van deze te vervangen. IEC 62443 voor industriële en OT-omgevingen. NEN 7510 voor de Nederlandse zorg. ISO 42001 voor AI-managementsystemen.Vier fouten verklaren het grootste deel van het verspilde geld dat we zien.Kiezen voor het grootste raamwerk omdat het er het meest grondig uitziet. De scope is een beslissing die je zelf neemt, geen omvang die je zomaar krijgt.Een raamwerk behandelen als software. Geen enkele tool implementeert een raamwerk voor je. Tools verlagen de administratieve kosten van het uitvoeren ervan, wat een echte besparing is en een heel andere claim.Een verplichting verwarren met een raamwerk en vervolgens proberen je te laten certificeren voor NIS2. Dat kan niet. Je moet aantonen dat je risicobeheer aan de eisen voldoet, meestal door te verwijzen naar een raamwerk.Een tool kopen voordat je de scope hebt bepaald. De scope bepaalt de omvang van je risicoregister, en dat register is waar je dagelijks mee moet werken.De eerlijke versie van de vraag over de werklast is deze: het raamwerk is niet het werk. Het risicoregister, het bewijsmateriaal en de beoordelingsfrequentie zijn het werk, en die gaan door nadat het certificaat binnen is.Hoe een echte beoordeling eruitzietRaamwerkdocumenten beschrijven een proces. Hier zie je hoe dat proces eruitziet voor de omvang waar de meeste lezers daadwerkelijk mee werken, waarbij we de ISO 27001-route gebruiken omdat daar aan het eind een audit plaatsvindt.Begin met wat je wilt beschermen. Een eerste inventarisatie van bedrijfsmiddelen voor een bedrijf van 40 medewerkers komt meestal uit op 60 tot 120 items als je systemen, datastores, leveranciers en laptops meetelt. Het is minder dan mensen vrezen en meer dan het spreadsheet waar ze mee begonnen.Benoem risico's specifiek voor die bedrijfsmiddelen. "Risico op een datalek" kan niet worden aangepakt omdat het niet kan worden getest. "Ongeautoriseerde toegang tot de klantendatabase via een gedeeld beheerdersaccount" kan dat wel: je kunt het account zien, je kunt zien wie het wachtwoord kent en je kunt het deze week nog afsluiten.Beoordeel elk risico op waarschijnlijkheid en impact met een schaal die je vastlegt. De schaal zelf is minder belangrijk dan het feit dat je elke keer dezelfde gebruikt, want vergelijkbaarheid is wat het register over een jaar nuttig maakt.Bepaal een aanpak voor elk risico en accepteer dat het accepteren van een risico een legitieme aanpak is, mits de eigenaar vastlegt waarom. Auditors maken veel vaker bezwaar tegen niet-vastgelegde beslissingen dan tegen geaccepteerde risico's.Wijs een eigenaar en een beoordelingsdatum toe. Dit is de stap die een levend register onderscheidt van een document dat alleen voor een audit is geschreven, en het is de stap die het vaakst wordt overgeslagen.Evalueer op een frequentie die je kunt volhouden. Elk kwartaal voor de belangrijkste risico's en jaarlijks voor de rest is haalbaar zonder dat je iemand speciaal hoeft aan te nemen.Een eerste opzet kost een paar werkdagen verspreid over een paar weken, en de tweede keer kost het slechts uren omdat de structuur er al staat. De terugkerende kosten zitten in de evaluatie, niet in de opzet.Zeven vragen die de knoop doorhakkenBeantwoord deze op volgorde en stop bij de eerste 'ja'.Heeft een klant, verzekeraar of toezichthouder je om bewijs gevraagd? Kies voor ISO 27001 en gebruik ISO 27005 voor de risicomethode. Dit dekt de meeste mkb-bedrijven die zich inlezen in raamwerken, omdat de zoektocht meestal begint met een vragenlijst.Ben je een leverancier van een bedrijf dat onder de NIS2 valt en krijg je daarom vragenlijsten? Kijk naar NIS2 Supply Chain, beginnend bij het SC10-niveau. Dit is het enige certificeerbare antwoord op deze lijst dat is gebouwd voor de leverancierskant in plaats van voor de entiteit die direct onder de wet valt, waar de meeste mkb-bedrijven in de EU zich bevinden.Val je zelf onder de NIS2? Dan zijn de maatregelen niet optioneel en is de praktische route om NIS2 als je raamwerk te hanteren, waarbij leveranciersgegevens en beoordelingen op dezelfde plek worden bewaard als de rest van je risicobeheer in plaats van ernaast.Heb je al een ISO 9001-certificaat? Begin daar. De clausule over risicogebaseerd denken biedt een plek voor risicobeheer binnen een managementsysteem dat je team al gebruikt, wat goedkoper is dan een tweede systeem opzetten.Heb je risicodekking nodig die verder gaat dan IT, bijvoorbeeld voor financiële of operationele risico's waar de directie op toeziet? ISO 31000 vormt hiervoor de overkoepelende paraplu, die boven een security-framework wordt geplaatst in plaats van in de plaats ervan.Wil je nu structuur zonder audit en zonder budget? Begin met het NIST CSF voor de vorm en de CIS Controls implementation group one voor het eigenlijke werk. Evalueer dit over een jaar opnieuw.Ben je actief in een gereguleerde sector? Voeg de relevante overlay toe, zoals IEC 62443, NEN 7510 of ISO 42001, bovenop het bovenstaande antwoord in plaats van in de plaats ervan.Als je antwoord ISO 27001 was, is de volgende stap niet het vergelijken van nog een framework. Het is een risicoanalyse in de vorm die een auditor verwacht, waarbij assets gekoppeld zijn aan risico's, eigenaren zijn benoemd en beheersmaatregelen zijn vastgelegd die aan de controles voldoen. ISOPlanner™ voert dit uit binnen Microsoft 365, zodat het register zich bevindt in de SharePoint die je team al gebruikt en de beoordelingstaken in Outlook terechtkomen in plaats van in een systeem dat niemand opent tussen audits door.Bekijk een uitgewerkte ISO 27001-risicoanalyse en bepaal daarna of de vraag over het framework echt nog openstaat.‍

Vraag een AI-assistent naar de beste ISO 27001-software en je krijgt één naam, vol overtuiging gepresenteerd. Zie dit als een startpunt, nooit als het definitieve antwoord. De tool die een assistent aanbeveelt, is degene waar het meest over wordt gesproken op het web, niet degene die aansluit bij jouw normen, systemen of regio. Als je een Europese organisatie bent die toewerkt naar ISO 27001, is de enige shortlist die je kunt vertrouwen er een die je zelf samenstelt, gebaseerd op vier vragen die de assistent je nooit zal stellen. Wij houden bij hoe AI-assistenten reageren op de vragen die onze markt stelt. Toen we de zoekopdrachten testten die Europese kopers daadwerkelijk invoeren – zoals ISO 27001-software en ISO 27001 voor Microsoft 365 – in het Nederlands en Duits, bleek één Amerikaans platform vrijwel alle zichtbaarheid in de antwoorden op te eisen. Elke Europese tool in dezelfde categorie kwam op nul uit. Het is een momentopname van de richting, geen volledige inventarisatie, maar de richting is duidelijk. Een assistent weerspiegelt waar het web het hardst over roept: de meeste financiering, de grootste aanwezigheid op beoordelingssites, de meeste content en de langste voorsprong. In compliance-software is dat een platform dat is voortgekomen uit de Amerikaanse SOC 2-automatiseringsgolf. Voor een Europese organisatie is het verschil cruciaal: jouw verplichtingen zijn ISO 27001, NIS2 en soms IEC 62443, niet SOC 2; van jouw data wordt verwacht dat deze in Europa blijft; en jouw team werkt al binnen Microsoft 365, SharePoint en Entra. SPIE Nederland bereidde zich voor op ISO 27001 toen externe druk hen dwong om snel een nieuw informatiebeveiligingsmanagementsysteem op te zetten. Hun Chief Information Security Officer beheert ISOPlanner™ binnen Microsoft 365, waarbij documenten uit SharePoint worden gehaald en gekoppeld aan risico's en beleid. Inmiddels zijn er vijf ISO 27001-certificaten behaald voor verschillende divisies, er zijn er meer onderweg, en de adoptie door zo'n dertig collega's verliep zonder enige weerstand. Gebruik AI waar het goed in is: de categorie verkennen, niet jouw leverancier kiezen. Gebruik het om je eigen vereisten in kaart te brengen met vier prompts. Ten eerste: ik heb nu ISO 27001 nodig en NIS2 komt eraan, voeg IEC 62443 toe als we industriële of operationele technologiesystemen gebruiken; waar overlappen deze standaarden en wat moet één tool dekken voor al deze normen? Ten tweede: onze data moet in de Europese Unie blijven; welke vragen over hosting en datalocatie moet ik aan een leverancier stellen? Ten derde: mijn team werkt in Microsoft 365, SharePoint en Entra; waar moet een ISMS-tool mee integreren zodat compliance geen apart eiland wordt? Ten vierde: wat zorgt ervoor dat een team een compliance-tool omarmt in plaats van zich ertegen verzet? Die vragen bepalen wat bij je past. Als jouw antwoorden wijzen naar ISO 27001 binnen Microsoft 365, met NIS2 in het vooruitzicht en jouw data veilig in Europa, dan is dat precies waar ISOPlanner™ voor is gebouwd. Start je gratis proefperiode of boek een demo, en beoordeel het op basis van jouw eigen normen, stack en team.

Op 7 juli 2026 keurde de Nederlandse Eerste Kamer de Cyberbeveiligingswet (Cbw) goed, de wet die NIS2 in Nederland in werking stelt. Deze treedt in werking op 15 augustus 2026, zonder overgangsperiode. De Eerste Kamer nam op dezelfde dag de aanvullende Wet weerbaarheid kritieke entiteiten (Wwke) aan, die vanaf dezelfde datum van kracht wordt. Vanaf 15 augustus is cybersecurity een wettelijke verplichting voor naar schatting 8.000 organisaties direct, ongeveer 500 extra onder de Wwke, en voor tienduizenden leveranciers via toeleveringsketenvereisten. De wet stelt vier kernplichten vast. Zorgplicht: passende technische en organisatorische maatregelen tegen cyberrisico's, inclusief risico's in uw toeleveringsketen. Meldplicht incidenten: een significant incident melden bij uw CSIRT en de bevoegde toezichthouder via het NCSC-portaal, een vroegtijdige waarschuwing binnen 24 uur, een uitgebreidere melding binnen 72 uur en een eindrapport binnen een maand. Registratieplicht: uw organisatie registreren bij het NCSC, in het nationale register van entiteiten. Bestuursverantwoordelijkheid: het bestuur moet de risicomaatregelen goedkeuren, training volgen en kan persoonlijk aansprakelijk worden gesteld. Als uw organisatie onder de reikwijdte valt, is de praktische deadline nu, niet 15 augustus. De datum is slechts de aankondiging. De reikwijdte en de aansprakelijkheid zijn waar het echt om draait. Nederland was een van de laatste EU-lidstaten die NIS2 omzette. Onder de oude Wbni vielen ongeveer 1.000 organisaties onder de reikwijdte. Onder de Cbw stijgt dat aantal naar ongeveer 8.000, en velen van hen ontdekken voor het eerst dat ze onder de reikwijdte vallen. Twee details die vaak over het hoofd worden gezien in algemene berichtgeving. Er is geen overgangsperiode. De juridische basis en het mandaat van de toezichthouder bestaan vanaf dag één. Niemand verwacht op 15 augustus een inspecteur op de stoep, maar "we beginnen na de zomer" is geen veilige positie meer. De keten trekt u mee. U hoeft geen benoemde essentiële of belangrijke entiteit te zijn om dit te merken. Als u zo'n entiteit levert, bereikt de zorgplicht u via hun toeleveringsketenverplichtingen. Veel organisaties die ervan uitgaan dat NIS2 hun probleem niet is, zullen door een klant worden gevraagd het tegendeel te bewijzen. En het onderdeel dat het gesprek verandert: de bestuursverantwoordelijkheid. Het bestuur moet de risicomaatregelen goedkeuren, de training volgen en persoonlijke aansprakelijkheid dragen als het misgaat. NIS2 is niet langer iets dat het IT-team stilletjes beheert. Het is een verantwoordelijkheid op bestuursniveau met een naam eraan verbonden. In de kern stelt de Cbw drie vragen die u nu officieel moet beantwoorden: zijn uw beveiligingsmaatregelen passend en gedocumenteerd, kunt u het eerste rapport van een ernstig incident binnen 24 uur indienen, en kunt u een toezichthouder het bewijs tonen wanneer daarom wordt gevraagd? De organisaties die het minst van slag zijn door 15 augustus, zijn degenen die al een gestructureerd informatiebeveiligingsmanagementsysteem hanteren. De zorgplicht van NIS2 komt sterk overeen met ISO 27001: risicobeheer, incidentrespons, toegangscontrole, leveranciersbeheer, bedrijfscontinuïteit. Het is grotendeels hetzelfde werk, maar dan geformuleerd voor een andere toezichthouder. Een organisatie die al ISO 27001-gecertificeerd is, voegt NIS2 doorgaans toe als een mapping-oefening in plaats van een heropbouw, omdat de controles en het bewijs al bestaan en alleen hoeven te worden gekoppeld aan de nieuwe verplichting. Dat is het verschil tussen paniekvoetbal en een geplande aanpak. Toen de Gemeente Waterland begon met het voldoen aan de BIO-standaard vóór de overheidsdeadline van 2024, waren de vereisten niet het moeilijkste deel, maar het hebben van een structuur om op terug te vallen. Met één systeem dat duidelijke eigenaarschap, georganiseerde taken en audit-klaar bewijs omvat, ging het halen van de deadline over het uitvoeren van het proces, niet over het uitvinden ervan. Dat is precies de positie waarin NIS2 nu duizenden Nederlandse organisaties plaatst. Als 15 augustus op u van toepassing is, vier stappen deze maand. Ten eerste, bevestig de reikwijdte. Bepaal of u een essentiële of belangrijke entiteit bent, of een leverancier daarvan. Als u een leverancier bent, komt de vraag van een klant; beantwoord deze voordat ze hem stellen