In veel organisaties begint het gesprek over NIS2 met de vraag naar een NEN-EN-ISO 27001-certificaat. Begrijpelijk, maar voor bestuurders en proceseigenaren is dat niet het juiste vertrekpunt. Eerst moet worden vastgesteld of de organisatie onder de verplichtingen valt, op welke diensten en bedrijfsmiddelen die betrekking hebben en wie ervoor verantwoordelijk is. Pas daarna kan betrouwbaar worden beoordeeld wat het bestaande managementsysteem voor informatiebeveiliging daadwerkelijk afdekt en wat nog ontbreekt voor compliance met de KSC. In de praktijk ligt precies daar het verschil tussen een beheerst systeem en een kostbare illusie van paraatheid.
De duurste fout: een certificaat gelijkstellen aan compliance
De grootste fout bij de start is niet het ontbreken van een NEN-EN-ISO 27001-certificaat, maar de aanname dat een certificaat automatisch betekent dat aan de verplichtingen uit NIS2 en de nationale KSC-regelgeving is voldaan. Voor het management is de juiste vraag niet: „Hebben wij NEN-EN-ISO 27001?”, maar: „Vallen wij onder de verplichtingen, in welke hoedanigheid en voor welke diensten, processen en bedrijfsmiddelen?” Pas nadat de status van de entiteit, de reikwijdte van de betrokken activiteiten en de bestuurlijke verantwoordelijkheid zijn vastgesteld, kan worden beoordeeld in hoeverre het huidige systeem compliance werkelijk ondersteunt en waar het slechts de indruk van beheersing wekt.
Dit onderscheid heeft directe gevolgen voor de projectaanpak en het budget. Een certificaat bevestigt dat het managementsysteem binnen een vastgestelde certificatiescope aan de eisen van de norm voldoet. Die scope staat doorgaans op het certificaat en wordt nader onderbouwd in de Verklaring van Toepasselijkheid. Het certificaat vervangt echter geen analyse van wettelijke verplichtingen, geen identificatie van essentiële diensten, geen beoordeling van leveranciersafhankelijkheden en evenmin de vaststelling welke formele stappen de organisatie als gereguleerde entiteit moet zetten. Het bestuur moet daarom drie zaken uit elkaar houden die in de praktijk vaak door elkaar lopen: het managementsysteem, compliance met regelgeving en de operationele capaciteit om onder de druk van een incident te handelen.
Projecten die in de omgekeerde volgorde worden uitgevoerd, zijn doorgaans het duurst. De organisatie brengt eerst documentatie en beheersmaatregelen op orde voor de certificatieaudit en ontdekt pas daarna dat kritieke processen, incidentmeldingsverplichtingen, eisen aan leveranciers, bestuurlijke verantwoordelijkheden of sectorspecifieke eisen buiten de scope zijn gebleven. Dan volstaat het niet om enkele procedures aan te vullen. De systeemscope, besluitvormingsrollen en responsorganisatie moeten opnieuw worden ingericht.
Vanuit operationeel perspectief is het daarom zinvoller om niet alleen het bezit van een certificaat te meten, maar vooral drie zaken: de aansluiting van de certificatiescope op kritieke diensten, de uitkomst van de zelfbeoordeling van de toepasselijkheid van de KSC en het aantal verschillen tussen de beschreven procedure en de werkelijke handelingscapaciteit. De logische eerste stap is dus niet meer documentatie produceren, maar vaststellen of de organisatie binnen de reikwijdte van de verplichtingen valt en welke formele acties nodig zijn. Ook het onderwerp NIS2: zelfbeoordeling en inschrijving in het KSC-register – wat moet een productiebedrijf doen? brengt deze volgorde goed in beeld. Daar wordt duidelijk of een organisatie haar systeem bouwt rond reële verplichtingen of rond een comfortabele, maar kostbare illusie van paraatheid.
Wat NEN-EN-ISO 27001 daadwerkelijk afdekt
De belangrijkste praktische waarde van NEN-EN-ISO 27001 ligt niet in het certificaat zelf, maar in het feit dat een goed geïmplementeerd systeem informatiebeveiliging als bestuurbaar domein organiseert. De norm biedt vooral ondersteuning waar procesmatig werken nodig is: bij risicobeoordeling en risicobehandeling, beleidsvorming en beheersing, het toewijzen van rollen en verantwoordelijkheden, het identificeren van informatie-assets, incidentrespons, bedrijfscontinuïteit en de mechanismen voor beoordeling en continue verbetering. Als deze onderdelen in de praktijk functioneren en niet alleen voor de audit bestaan, beschikt de organisatie over een solide basis om aan te tonen dat informatiebeveiliging geen verzameling losse maatregelen is, maar een beheerst systeem dat is gekoppeld aan operationele besluitvorming.
Het bestuur moet echter niet alleen naar het certificaat kijken, maar naar de bruikbaarheid ervan voor diensten, processen en afhankelijkheden die vanuit regelgeving relevant zijn. Hetzelfde certificaat kan staan voor een volwassen systeem met kritieke processen, periodieke beoordelingen, corrigerende maatregelen en daadwerkelijk toezicht door proceseigenaren, maar ook voor een beperkte inrichting die slechts een klein deel van de organisatie omvat. Voor een zelfbeoordeling aan de hand van NIS2 en de KSC is het daarom raadzaam niet alleen de Verklaring van Toepasselijkheid te beoordelen, maar ook de lijst van processen binnen de risicoanalyse, de resultaten van interne audits, de uitkomsten van directiebeoordelingen en de mate waarin risicobesluiten doorwerken in budgetten, contracten, de dienstenarchitectuur en de responsorganisatie.
Dit is duidelijk zichtbaar bij ondernemingen die in toeleveringsketens opereren. NEN-EN-ISO 27001 structureert doorgaans contractuele eisen, informatieclassificatie, toegangsregels, verantwoordelijkheden van leveranciers en de registratie van afwijkingen. Dat vormt een bruikbaar fundament, vooral wanneer klanten aantoonbaar toezicht op ketenpartners verlangen. Het certificaat beslecht echter niet automatisch alle brancheverwachtingen of sectorspecifieke criteria. Een vergelijkbaar vraagstuk komt aan de orde in NEN-EN-ISO 27001 of TISAX – wat kiest u wanneer een klant informatiebeveiliging in de toeleveringsketen eist? In de praktijk helpt een certificaat om relaties en verantwoordelijkheden te structureren, maar het vervangt niet de beoordeling welke aanvullende verplichtingen in contracten, escalatieprocedures en het toezicht op externe diensten moeten worden opgenomen.
| Systeemgebied | Typische betekenis voor NIS2/KSC | Mate van afdekking door NEN-EN-ISO 27001 |
|---|---|---|
| Risicomanagement | Onderbouwing van maatregelen, beveiligingsprioriteiten en managementbesluiten | Volledig als managementkader; afhankelijk van de kwaliteit van de implementatie |
| Beleid, rollen en verantwoordelijkheden | Aantoonbaar toezicht, taakverdeling en beoordelingscyclus | Volledig of gedeeltelijk, afhankelijk van de systeemscope |
| Informatie-assets en toegang | Identificeren wat moet worden beschermd en wie daarvoor verantwoordelijk is | Gedeeltelijk tot volledig |
| Incidentrespons | Organisatorische paraatheid, escalatieroutes, registratie en analyse van gebeurtenissen | Gedeeltelijk; nadere uitwerking voor verplichtingen uit regelgeving is nodig |
| Bedrijfscontinuïteit | In stand houden en herstellen van diensten na een verstoring | Gedeeltelijk tot volledig |
| Leveranciersbeheersing | Eisen aan partners, contracten en beoordeling van afhankelijkheden | Gedeeltelijk; vervangt geen sectorale of wettelijke eisen |
| Audits, beoordelingen en corrigerende maatregelen | Bewijs dat het systeem functioneert en wordt verbeterd | Volledig als managementmechanisme |
De conclusie is helder: een certificaat kan de route naar beheerste informatiebeveiliging aanzienlijk verkorten, maar vormt op zichzelf geen bewijs dat aan alle KSC-verplichtingen is voldaan. Een certificatieaudit beoordeelt binnen een vastgestelde scope of het managementsysteem aan de eisen van de norm voldoet. Dat is niet hetzelfde als een beoordeling van wettelijke verplichtingen en operationele paraatheid. De organisatie moet daarom parallel vaststellen of de systeemscope alle relevante processen omvat, of de risicoanalyse is bijgewerkt op basis van de werkelijke diensten en afhankelijkheden en of de processen voor incidentrespons, continuïteit en leveranciersbeheersing aantoonbaar functioneren.
Waar een certificaat niet volstaat
De eerste lacune betreft compliance met regelgeving zelf. Een managementsysteem voor informatiebeveiliging structureert uitgangspunten, rollen en toezicht, maar geeft niet automatisch antwoord op de vraag of een entiteit voor de KSC correct is gekwalificeerd, wie verantwoordelijk is voor formele meldingen, wie het contact met de bevoegde autoriteit onderhoudt en hoe besluiten naar het management worden geëscaleerd. Dit is geen ontbrekend document, maar een ontwerpfout in de verantwoordelijkheidsstructuur. Als deze elementen niet in het werkelijke bedrijfsmodel zijn verankerd, biedt het certificaat interne structuur, maar nog geen bestuurlijke grip op de regelgeving.
De tweede lacune betreft de scope. Bij veel organisaties is de certificatie beperkt tot een specifieke locatie, één rechtspersoon, een bepaalde afdeling of een deel van de ondersteunende diensten. Een beoordeling van de KSC-paraatheid moet daarentegen uitgaan van de werkelijke kaart van diensten, kritieke processen, bedrijfsmiddelen en afhankelijkheden, en niet van de grenzen van de certificatieaudit. Wanneer een essentiële of belangrijke dienst door meerdere entiteiten binnen een groep wordt geleverd, met inzet van een extern datacenter, een gezamenlijk beheerteam of een verspreid incidentresponsproces, kan een formeel correct certificaat slechts een deel van het geheel afdekken. De managementbeslissing is dan niet alleen of de certificatiescope moet worden uitgebreid, maar ook of één geïntegreerd complianceprogramma nodig is of twee parallelle trajecten: certificatie en compliance met regelgeving.
De derde lacune betreft de bewijsvoering en wordt vaak pas zichtbaar tijdens een incident, oefening of controle. De organisatie beschikt over procedures voor incidentrespons, bedrijfscontinuïteit en leveranciersbeheersing, maar kan niet aantonen dat deze mechanismen operationeel werken. Er ontbreekt bijvoorbeeld een incidentenregister, een traceerbaar besluit van het management, een verslag van oefeningen, een evaluatie na gebeurtenissen, een effectiviteitsindicator of een vastgelegde corrigerende maatregel. Het systeem is dan wel beschreven, maar niet bewezen. Juist hier ontstaan de kostbaarste herstelacties, omdat niet alleen procedures moeten worden aangepast, maar ook de rapportage aan het bestuur, de frequentie van beoordelingen en de verantwoordelijkheid van proceseigenaren. Hetzelfde mechanisme is zichtbaar in andere managementsystemen, onder meer in IATF 16949 – welke eisen veroorzaken in de dagelijkse kwaliteitspraktijk de meeste problemen en hoe voorkomt u schijncompliance?
De vierde lacune betreft de toeleveringsketen en externe afhankelijkheden. De norm helpt om eisen aan leveranciers te structureren, maar compliance met de KSC kan een diepgaandere inventarisatie verlangen: welke externe diensten ondersteunen een kritieke dienst, waar bevinden zich single points of failure, welke verstoringsscenario’s zijn relevant en hoe vervangbaar zijn leverancier, personeel en locatie? In de praktijk moet niet alleen worden gemeten of leverancierscontracten en -beoordelingen aanwezig zijn. Belangrijker zijn de aansluiting tussen de certificatiescope en de werkelijke kaart van kritieke diensten, de volledigheid van incidenten- en oefenregistraties en de actualiteit van beoordelingen van leveranciers en afhankelijkheden. Pas dan wordt zichtbaar of de organisatie over een beheerst systeem beschikt of alleen over een formeel beeld daarvan.
Begin het complianceprogramma bij de diensten, niet bij de documenten
Een veelvoorkomende fout is dat een organisatie het project start met een beoordeling van NEN-EN-ISO 27001-beleid, procedures en registraties, in plaats van met de vraag welke diensten daadwerkelijk beschikbaar moeten blijven en welke verplichtingen uit de regelgeving daarmee samenhangen. De juiste volgorde is omgekeerd: eerst worden de diensten, processen, bedrijfsmiddelen en afhankelijkheden geïdentificeerd die kritisch zijn voor de continuïteit en de verantwoordelijkheden onder de KSC. Vervolgens worden daaraan de systeem- en bewijseisen gekoppeld. Alleen zo kan onderscheid worden gemaakt tussen noodzakelijke en overbodige documentatie.
Voor het bestuur betekent dit dat een kaart van kritieke diensten, afhankelijkheden van leveranciers en systemen en een overzicht van bestaande procedures moeten worden opgesteld. Bestaande mechanismen kunnen dan worden hergebruikt zonder dubbel werk te creëren. Pas op basis hiervan wordt zichtbaar of het huidige systeem omvat wat werkelijk relevant is voor de instandhouding van diensten en voor compliance, of alleen wat historisch in de certificatiescope is opgenomen.
De tweede stap is het bepalen van het verantwoordelijkheidsmodel. Als informatiebeveiliging is verdeeld over IT, kwaliteit, compliance, onderhoud en inkoop, maar rollen niet eenduidig zijn toegewezen, verandert het project al snel in een verzameling lokale initiatieven. Er moet daarom worden vastgesteld wie eigenaar is van de risico’s, wie incidenten afhandelt, wie leveranciersrelaties beheerst, wie managementbesluiten neemt en wie de compliancebewijzen beheert. In de praktijk werken een eenvoudige rollen- en verantwoordelijkhedenmatrix en één managementcyclus beter dan meerdere parallelle rapportagelijnen. Dit is ook het moment om te besluiten of één stuurgroep voor compliance en informatiebeveiliging wordt ingericht en of operationele technologie binnen hetzelfde risicomodel valt.
Voor productiebedrijven en organisaties met meerdere vestigingen is deze benadering bijzonder belangrijk. Een incident leidt daar niet alleen tot verlies van vertrouwelijkheid, maar kan ook een productielijn stilleggen, de planning verstoren, de traceerbaarheid van partijen aantasten of de dienstverlening onmogelijk maken. Informatiebeveiliging moet daarom worden verbonden met operationele continuïteit, onderhoud en operationele technologie. Als het managementsysteem uitsluitend de kantooromgeving omvat en industriële besturing, onderhoud op afstand, afhankelijkheden van integrators of lokale noodprocedures buiten beschouwing laat, is het risicobeeld formeel geordend maar operationeel onvolledig. Dezelfde projectdiscipline is zichtbaar in andere sterk gereguleerde omgevingen, waaronder ASME, NQA-1 en ISO 19443 — drie afkortingen die een leverancier voor de nucleaire sector moet kennen.
Pas op dit fundament moet het bestaande NEN-EN-ISO 27001-systeem als basislaag worden benut en een afzonderlijke KSC-gapanalyse worden uitgevoerd. Zo’n analyse is niet bedoeld om het certificaat ter discussie te stellen, maar om vast te stellen waar eisen werkelijk worden afgedekt en waar aanvullende procedures, registraties, escalatieroutes of operationele bewijzen nodig zijn. Deze aanpak beperkt onnodige documentatie en waarborgt meer samenhang dan afzonderlijke implementatietrajecten die met elkaar concurreren.
Hoe stelt u vóór een audit of controle de feitelijke situatie vast?
Voorafgaand aan een audit, zelfbeoordeling of controle moet niet worden gevraagd of de organisatie „NEN-EN-ISO 27001 heeft”, maar of zij haar werkelijke handelingsvermogen en de herleidbaarheid van besluiten kan aantonen. Beoordeel die paraatheid in vier lagen: stel eerst de scope en toepasselijke verplichtingen vast, beoordeel vervolgens het ontwerp van het managementsysteem, toets daarna de effectiviteit van de processen en controleer ten slotte of de bewijsvoering volledig is. Alleen met deze opbouw kan documentair beheer worden onderscheiden van operationele capaciteit.
De meest bruikbare vragen zijn daarom niet: „Hebben wij een procedure?”, maar: „Weten wij wanneer die moet worden geactiveerd, wie het besluit neemt, welke escalatiedrempels gelden, hoe wij dat aantonen en of het scenario is geoefend?” Als de afhandeling van incidenten afhankelijk is van de kennis van één persoon, leveranciersrelaties geen vastgelegde beveiligingscriteria bevatten en het bestuur alleen algemene rapportages zonder besluiten en deadlines ontvangt, kan het systeem formeel overeenkomen met de eigen beschrijving en toch onvoldoende voorbereid zijn op handelen onder druk.
Een paraatheidsbeoordeling moet daarom vooral de overdrachtsmomenten tussen bestuur, operatie, IT, onderhoud en leveranciers omvatten. Juist daar worden lacunes zichtbaar die in procedures verborgen blijven. In de praktijk werkt een gapanalyse in de vorm van een operationele audit het best. Daarbij worden niet alleen documenten beoordeeld, maar ook de besluitvorming, escalatieroutes, incidentregistraties, resultaten van tests en oefeningen, en het register van afwijkingen, observaties en corrigerende maatregelen.
Een eenvoudig scenario biedt een goede praktijktest: er vindt een incident plaats bij een kritieke leverancier of een verstoring in de productieomgeving. Wie classificeert de gebeurtenis, wie activeert de communicatie, wie beoordeelt de impact op de dienst en welk bewijs blijft na het besluit beschikbaar? Als de antwoorden versnipperd zijn en de organisatie verwijst naar een „praktijk” die niet uit registraties kan worden gereconstrueerd, is de paraatheid slechts schijn — ook wanneer het managementsysteem formeel correct wordt onderhouden.
Als de organisatie al interne NEN-EN-ISO 27001-audits uitvoert, kunnen deze voor deze verificatie worden gebruikt. De auditcriteria moeten dan wel worden uitgebreid met de verplichtingen uit de regelgeving en de bewijsvoering die vanuit de KSC wordt verwacht. Auditcompetentie is daarbij zeer waardevol, net als de vaardigheden die nodig zijn voor de rol van lead auditor of internal auditor. Een relevant referentiepunt is Lead Auditor NEN-EN-ISO 27001: uitgebreide gids voor certificatie en normeisen. De volgorde blijft echter bepalend: auditvaardigheid helpt bij het beoordelen van het systeem, maar vervangt niet de analyse welke wettelijke en organisatorische verplichtingen daadwerkelijk op de onderneming van toepassing zijn.
Bestuurlijke keuze: het certificaat als basis, niet als alibi
De meest rationele benadering is NEN-EN-ISO 27001 te gebruiken als fundament voor bestuurlijke beheersing, niet als zelfstandig bewijs dat aan alle verplichtingen uit NIS2 en de KSC is voldaan. Het certificaat helpt verantwoordelijkheden, risicobeoordeling, incidentbeheersing, audits en verbetering te structureren. Het ontslaat de organisatie echter niet van de plicht om vast te stellen welke verplichtingen werkelijk van toepassing zijn, binnen welke scope en welke bewijsvoering nodig is om de effectiviteit aan te tonen.
Het grootste risico voor het bestuur is niet een ontbrekend document, maar de illusie van paraatheid: de overtuiging dat een gecertificeerd systeem automatisch betekent dat de organisatie ook klaar is voor de eisen van de nationale regelgeving. De beslissing moet daarom niet uitsluitend gaan over het behouden of uitbreiden van de certificatie. Eerst zijn drie bestuurlijke besluiten nodig:
- de status van de organisatie en de scope van de verplichtingen bevestigen,
- een gapanalyse uitvoeren tussen het huidige systeem en de KSC-eisen,
- een toezichtmodel vaststellen voor de uitvoering van maatregelen en het beheer van effectiviteitsbewijzen.
Pas daarna kan zinvol worden bepaald of de organisatie de certificatiescope moet uitbreiden of het bestaande NEN-EN-ISO 27001-systeem zonder scopewijziging kan benutten en de ontbrekende organisatorische, juridische en operationele mechanismen kan toevoegen. Drie eenvoudige managementinstrumenten zijn daarbij bijzonder nuttig: een actuele certificatiescope naast de kaart van kritieke processen, een lijst van lacunes met een beoordeling van de impact op risico en compliance, en een actieplan met eigenaren, termijnen en sluitingscriteria.
Voor organisaties die hun aanpak nog moeten kiezen, bestaat geen universele volgorde. Bij sterke klantdruk of aanbestedingseisen kan het opbouwen van een certificeerbaar systeem een gerechtvaardigde eerste stap zijn, mits de analyse van verplichtingen uit regelgeving parallel wordt uitgevoerd. Bij ondernemingen met een hoog operationeel risico of versnipperde verantwoordelijkheden is het vaak verstandiger eerst de belangrijkste compliance-lacunes te sluiten en pas daarna de certificatiescope te structureren. Dit is geen discussie over de volgorde van formaliteiten, maar over de volgorde waarin risico’s worden gereduceerd. Ook het onderwerp ISO-certificaat: voordelen en implementatieproces moet daarom niet los van het bedrijfsmodel worden beschouwd, maar als onderdeel van een bredere beslissing over de inrichting van compliance.
De beste resultaten ontstaan binnen één samenhangend programma waarin informatiebeveiliging, bedrijfscontinuïteit, leveranciersbeheersing en verplichtingen uit regelgeving als onderdelen van het operationele model worden aangestuurd, en niet als afzonderlijke initiatieven van verschillende afdelingen. In de Poolse context is juist de versnippering van verantwoordelijkheden vaak een zwakke plek in zowel de bewijsvoering als de uitvoering. De eindconclusie is eenvoudig: een certificaat helpt en kan de weg naar een beheerst systeem aanzienlijk verkorten, maar compliance moet nog steeds worden ontworpen, geïmplementeerd en met operationeel bewijs worden onderbouwd binnen de context van NIS2 en de KSC.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
