Telt ISO 27001-certificering als bewijs voor de Cbw-zorgplicht?
De vraag die elke gecertificeerde organisatie stelt zodra de Cbw ter sprake komt, en waar het eerlijke antwoord uit twee delen bestaat.
Een ISO 27001-certificaat is sterk bewijs voor een groot deel van de Cbw-zorgplicht, maar het is geen vrijstelling. De verplichtingen van artikel 21 lid 2 en de beheersmaatregelen van ISO 27001:2022 Annex A overlappen aanzienlijk, maar de registratieplicht, het meldplichtproces en de bestuurlijke goedkeuring vallen buiten de scope van de norm.
Laatst bijgewerkt: 16 augustus 2026. Dit is een praktisch richtsnoer, geen juridisch advies.
Wat publiceert de RDI hierover?
De toezichthouder stelt deze vraag zelf, letterlijk, in haar veelgestelde vragen. En dat is op zichzelf informatief.
Op de FAQ-pagina van de RDI over de Cyberbeveiligingswet (geraadpleegd 16 augustus 2026, laatst gewijzigd 14 augustus 2026) staan onder meer deze drie vragen, in deze bewoording:
"Voldoet een organisatie die ISO 27001 is gecertificeerd aan de zorgplicht van de Cbw?"
"Er komen steeds meer NIS2- en Cbw keurmerken en certificaten op de markt. Hoe kijkt de RDI hiernaar?"
"Welke normen en standaarden worden gebruikt bij toezicht?"
De antwoorden staan op die pagina achter een uitklapbaar element. Wij nemen ze hier niet over: voor het actuele standpunt van de toezichthouder verwijzen wij naar de bron zelf, die per definitie actueler is dan deze pagina. Wat wij hieronder geven is onze eigen analyse op basis van de wettekst en de gepubliceerde normen.
Twee dingen zijn wel vast te stellen zonder dat standpunt. De NCSC-informatiebrochure noemt ISO 27001 in de categorie aanvullende normenkaders: "Voor aanvullende normenkaders kun je kijken naar de ministeriële regelingen voor jouw sector of normenkaders, zoals ISO 27001/NEN 7510 en BIO 2.0". Dat is een verwijzing, geen gelijkstelling. En de wet zelf schrijft in het algemene regime geen enkele norm voor. De zorgplicht is doelgericht geformuleerd: passende en evenredige maatregelen. Dat laat ruimte voor ISO 27001 als invulling, en het sluit tegelijk uit dat een certificaat automatisch als bewijs geldt.
Dat verschil met België is scherp. Daar heeft de wetgever certificering wél tot route gemaakt: Belgische essentiële entiteiten moeten zich laten certificeren tegen CyberFundamentals of ISO/IEC 27001, en wie dat doet krijgt een vermoeden van conformiteit. Nederland heeft die optie uit de richtlijn niet gebruikt. Wie zijn groepsaanpak op de Belgische route heeft gebouwd, kan die niet één op één naar Nederland kopiëren.
Waar sluiten artikel 21 en ISO 27001 Annex A op elkaar aan?
Op negen van de tien verplichtingen goed tot zeer goed, mits je ISMS-scope de systemen dekt waar de Cbw over gaat.
| Art. 21 lid 2 | Verplichting | ISO 27001:2022 (waar het landt) | Aansluiting | Wat je nog zelf moet regelen |
|---|---|---|---|---|
| a | Risicoanalyse en beveiligingsbeleid | Clausule 6.1, A.5.1 | Sterk | All-hazards expliciet maken, inclusief fysieke en niet-cyberrisico's |
| b | Incidentbehandeling | A.5.24 t/m A.5.28 | Sterk | Koppeling naar de wettelijke meldklok (zie hieronder) |
| c | Continuïteit, back-up en crisisbeheer | A.5.29, A.5.30, A.8.13 | Redelijk | Aantoonbaar geteste herstelprocedures; ISO 22301 gaat dieper |
| d | Beveiliging van de toeleveringsketen | A.5.19 t/m A.5.23 | Sterk | Afdwingbare clausules bij directe leveranciers |
| e | Verwerving, ontwikkeling, onderhoud en kwetsbaarheden | A.8.8, A.8.25 t/m A.8.34 | Sterk | Doorlooptijden voor patchen; CVD-beleid |
| f | Beoordeling van de effectiviteit van maatregelen | Clausule 9, A.5.35, A.5.36 | Sterk | Dit is waar ISO structureel sterker is dan de wet vraagt |
| g | Cyberhygiëne en opleiding | A.6.3 | Sterk | Bestuurders vallen hier níét onder; dat is art. 24 |
| h | Cryptografie en encryptie | A.8.24 | Sterk | Sleutelbeheer en jurisdictie van sleutels |
| i | Personeelsbeveiliging, toegangsbeleid, assetbeheer | A.5.9 t/m A.5.18, A.6.1 t/m A.6.6 | Sterk | n.v.t. |
| j | MFA en beveiligde communicatie | A.8.5, A.5.14 | Gedeeltelijk | Beveiligde nood- en spraakcommunicatie is in Annex A niet als zodanig belegd |
Eén waarschuwing bij deze tabel, en het is de belangrijkste zin van deze pagina: aansluiting van beheersmaatregelen is geen bewijs van naleving. Een Verklaring van Toepasselijkheid die A.5.24 als "van toepassing" markeert, zegt niets over de vraag of je incidentproces de 24-uursklok haalt. De toezichthouder toetst niet je normkeuze maar je praktijk.
En let op de scope. Certificering geldt voor het gecertificeerde toepassingsgebied. Is dat de SaaS-dienst en niet het bedrijfsnetwerk, dan is het certificaat voor een groot deel van de zorgplicht niet het bewijs waarvoor je het aanziet.
Wat dekt ISO 27001 níét?
Vijf dingen, en ze zijn geen van alle op te lossen met een audit.
- De registratieplicht. Registratie in het entiteitenregister via Mijn.NCSC.nl met eHerkenning niveau 3 is een administratieve verplichting waar geen norm iets over zegt.
- Het meldplichtproces met de wettelijke klok. ISO 27001 vraagt om incidentbeheer; de Cbw vraagt om een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand, aan het sectorale CSIRT én de toezichthouder. Dat is een specifiek proces met een specifieke ontvanger en een specifiek startmoment: kennisname, niet detectie.
- Goedkeuring door het bestuur. Artikel 24 lid 1: "De maatregelen, bedoeld in artikel 21, behoeven de goedkeuring van het bestuur." Geen ISO-norm vraagt om een formeel bestuursbesluit over de beheersmaatregelen; de wet wel.
- De opleidingsplicht voor bestuurders. Bestuurders moeten binnen twee jaar na inwerkingtreding (omstreeks 15 augustus 2028) een training hebben gevolgd. A.6.3 gaat over medewerkersbewustzijn, niet over de bestuurskamer.
- De all-hazards-scope. De zorgplicht omvat expliciet fysieke risico's en niet-cyberoorzaken. ISO 27001 raakt dit via A.7, maar de invalshoek is smaller dan wat de wet vraagt.
Samengevat: ISO 27001 dekt vooral de inhoud van de zorgplicht en nauwelijks de procedurele verplichtingen eromheen. Dat is precies de plek waar gecertificeerde organisaties in de problemen komen: ze hebben het moeilijke deel af en struikelen over het makkelijke.
Geldt dit ook voor overheidsorganisaties?
Nee. Voor de sector overheid is een norm wél voorgeschreven, en dat verandert het antwoord wezenlijk.
De Cyberbeveiligingsregeling sector overheid (Stcrt. 2026, 27679, gepubliceerd 5 augustus 2026, in werking 15 augustus 2026) bepaalt in artikel 5 lid 1: "De essentiële entiteit gebruikt ten minste de beheersmaatregelen van de NEN-EN-ISO/IEC 27002:2022 … omvatten ten minste de voor haar relevante overheidsmaatregelen van de Baseline Informatiebeveiliging Overheid 2, versie 1.3."
Lees dat precies. De norm is ISO/IEC 27002:2022, met BIO2 versie 1.3 als ondergrens daarbinnen. De veelgehoorde samenvatting "BIO2 is nu verplicht voor de overheid" is te kort: het is een ISO-mandaat met een BIO2-vloer. Voor een overheidsorganisatie is de vraag dus niet meer óf ISO relevant is, maar of zij de relevante maatregelen aantoonbaar toepast. Waterschappen zijn van deze regeling uitgezonderd; zij vallen onder de regeling van IenW.
Wat is dan wél voldoende bewijs?
Bewijs dat per verplichting laat zien dat de maatregel bestaat, werkt en recent is getoetst, en dat de procedurele verplichtingen apart zijn belegd.
Praktisch komt het neer op drie lagen. Ten eerste je bestaande ISO-bewijs, gemapt op de tien categorieën van artikel 21 in plaats van op Annex A-nummers, zodat een toezichthouder de vertaalslag niet zelf hoeft te maken. Ten tweede het bewijs dat ISO niet oplevert: het registratiebewijs, het meldplichtdraaiboek met een geoefende 24-uursbeslissing, het bestuursbesluit onder artikel 24 lid 1, en de opleidingsplanning voor bestuurders. Ten derde een datum op alles: bewijs zonder datum veroudert stilletjes.
De praktische samenvatting die je aan je bestuur kunt geven: ISO 27001 is sterk bewijs voor het grootste deel van de zorgplicht, maar geen vervanging van registratie, het meldplichtproces of bestuurlijke goedkeuring.
Waar Soveryne past
Het vertaalprobleem is hier het echte werk: hetzelfde bewijs moet artikel 21 bedienen, Annex A bedienen en over twee jaar nog vindbaar zijn. Soveryne Command mapt beheersmaatregelen één keer op assets, bewijs en meerdere raamwerken tegelijk, zodat een ISO-controle en een Cbw-verplichting naar hetzelfde bewijsstuk wijzen in plaats van naar twee kopieën die uit elkaar gaan lopen. Counsel beantwoordt vragen over deze normen met de bron erbij, op een platform dat wij zelf beheren binnen de EU.
Veelgestelde vragen
Moet ik ISO 27001 halen om aan de Cbw te voldoen? Nee. De wet schrijft in het algemene regime geen norm voor; de zorgplicht is doelgericht geformuleerd. ISO 27001 is een goede en herkenbare invulling, geen verplichting, behalve voor de sector overheid, waar ISO/IEC 27002:2022 met BIO2 v1.3 wél is voorgeschreven.
Accepteert de toezichthouder een certificaat als bewijs? Een certificaat toont aan dat een ISMS binnen een bepaalde scope is beoordeeld. Of dat volstaat als bewijs voor een specifieke verplichting, is aan de toezichthouder; de RDI publiceert hierover in haar FAQ. Ga er niet van uit dat een certificaat de procedurele verplichtingen afdekt. Dat doet het aantoonbaar niet.
Wat als ik nog ISO 27001:2013 heb? De overgangstermijn naar de 2022-versie is inmiddels verstreken voor de meeste certificerende instellingen. Belangrijker voor de Cbw: de 2022-Annex A sluit beter aan op artikel 21, met name op kwetsbaarhedenbeheer en ketenbeveiliging.
Zijn NIS2- of Cbw-keurmerken iets waard? De RDI heeft deze vraag expliciet in haar FAQ opgenomen, wat erop wijst dat zij het onderwerp signaleert. Raadpleeg daar haar standpunt. Onze eigen observatie: een keurmerk dat niet herleidbaar is tot de tien verplichtingen van artikel 21 en tot dateerbaar bewijs, verplaatst het probleem in plaats van het op te lossen.
Bronnen
- RDI: Veelgestelde vragen Cyberbeveiligingswet (geraadpleegd 16 augustus 2026)
- NCSC: Informatiebrochure Cyberbeveiligingswet (PDF)
- Cyberbeveiligingsregeling sector overheid, Stcrt. 2026, 27679
- Cyberbeveiligingswet, geconsolideerde tekst
- NIS2-richtlijn (EU) 2022/2555, art. 21 en art. 24
- CCB: Belgische certificeringsroute (ter vergelijking)
