Ben ik met een ISO 27001-certificaat klaar voor de Cbw?

Niet helemaal. Het certificaat laat zien dat uw ISMS werkt, en dat dekt het grootste deel van de zorgplicht. Maar de meldplicht met de vaste termijnen, de registratie bij het NCSC en de goedkeuring en training van het bestuur staan alleen in de Cbw. Controleer ook of de reikwijdte van uw certificaat alle netwerk- en informatiesystemen omvat waarop uw diensten draaien.

Is ISO 27001 verplicht onder de Cyberbeveiligingswet?

Voor de meeste organisaties niet; de wet en het besluit schrijven geen norm voor. Voor de sector overheid wel: de regelingen van Binnenlandse Zaken en van Infrastructuur en Waterstaat verplichten overheden ISO 27001:2023 toe te passen. Een certificaat is ook daar niet verplicht.

Kan de toezichthouder om mijn ISO 27001-certificaat vragen?

De toezichthouder controleert of u aan de Cbw voldoet. Een certificaat kan daarbij als bewijs dienen voor het managementsysteem, maar de toezichthouder kijkt naar uw eigen maatregelen en documenten, ook voor de onderdelen die ISO 27001 niet afdekt.

Moet ik een apart ISMS opzetten voor de Cbw?

Nee. Het is efficiënter om de Cbw-eisen in uw bestaande ISMS op te nemen: de wet in het register van wet- en regelgeving, de Cbw-onderwerpen in de risicoanalyse en de verklaring van toepasselijkheid, en de meldprocedure naast uw incidentprocedure.

Ik heb geen ISO 27001. Moet ik dat eerst halen?

Nee. De Cbw vraagt passende maatregelen en een managementsystematiek, geen certificaat. ISO 27001 is wel een bruikbaar raamwerk om de zorgplicht aantoonbaar in te richten; of u daarna certificeert, is een eigen keuze.

Cyberbeveiligingswet en ISO 27001: verschil en samenhang

Bent u met ISO 27001 klaar voor de Cyberbeveiligingswet? Voor een groot deel. Een werkend ISMS volgens ISO 27001 dekt het grootste deel van de zorgplicht uit artikel 21 Cbw. Maar drie verplichtingen staan alleen in de wet: de meldplicht met vaste termijnen, de registratie bij het NCSC en de taken van het bestuur. En voor de meeste organisaties is ISO 27001 geen verplichting; alleen voor de sector overheid schrijven de ministeriële regelingen de norm voor. Dit artikel zet de verschillen en de overlap op een rij.

Wat is het verschil tussen de Cbw en ISO 27001?

De Cyberbeveiligingswet (Cbw) is de Nederlandse wet die de Europese NIS2-richtlijn uitvoert. Ze geldt sinds 15 augustus 2026 voor essentiële en belangrijke entiteiten en legt hun een zorgplicht, meldplicht en registratieplicht op (wettekst Cbw). ISO 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging (ISMS): vrijwillig, en certificeerbaar door een geaccrediteerde instelling.

	Cyberbeveiligingswet	ISO 27001
Soort	Wet, verplicht voor wie eronder valt	Vrijwillige norm
Voor wie	Essentiële en belangrijke entiteiten in de sectoren uit de bijlagen	Elke organisatie
Bewijs	Toezicht door de toezichthouder van uw sector	Certificaat na een externe audit
Reikwijdte	Netwerk- en informatiesystemen voor uw diensten	Zelf gekozen reikwijdte van het ISMS
Bestuur	Keurt maatregelen goed, volgt een training met certificaat (artikel 24)	Directie stelt beleid vast en draagt verantwoordelijkheid (clausule 5)
Incidenten	Melden binnen 24 uur, 72 uur en een maand	Intern proces, geen meldtermijnen
Sanctie	Boete tot € 10 miljoen of 2% van de wereldwijde jaaromzet (essentiële entiteit, artikel 80)	Certificaat geschorst of ingetrokken

Valt u onder de wet? Dat zoekt u uit met de Cbw-check of het artikel valt mijn bedrijf onder de Cyberbeveiligingswet?

Wat ISO 27001 al afdekt: de zorgplicht

De zorgplicht vraagt passende en evenredige maatregelen voor de beveiliging van uw netwerk- en informatiesystemen, met tien onderwerpen die er ten minste in zitten (artikel 21, derde lid, Cbw). Het Cyberbeveiligingsbesluit werkt dat uit in artikel 6 tot en met 18: vastgelegd beleid dat u aantoonbaar toepast, een managementsystematiek, een risicobeoordeling en periodieke evaluatie. Dat is in de kern wat ISO 27001 vraagt: context en reikwijdte (clausule 4), leiderschap (5), risicobeoordeling en verklaring van toepasselijkheid (6), uitvoering (8), interne audit en directiebeoordeling (9) en verbetering (10).

De tien onderwerpen passen op de beheersmaatregelen uit bijlage A:

Artikel 21, derde lid, Cbw	Bijlage A van ISO 27001:2022
a) Risicoanalyse en beveiligingsbeleid	A.5.1 beleid; clausule 6.1 risicobeoordeling
b) Incidentenbehandeling	A.5.24 tot en met A.5.28
c) Bedrijfscontinuïteit, back-ups en crisisbeheer	A.5.29, A.5.30, A.8.13
d) Toeleveringsketen	A.5.19 tot en met A.5.23
e) Verwerven, ontwikkelen en onderhouden	A.8.25 tot en met A.8.31
f) Beoordelen of maatregelen werken	A.5.35, A.5.36; clausule 9
g) Cyberhygiëne en opleiding	A.6.3
h) Cryptografie	A.8.24
i) Personeel, toegang en bedrijfsmiddelen	A.5.9 tot en met A.5.18, A.6.1, A.6.2
j) Multifactorauthenticatie en beveiligde communicatie	A.8.5, A.5.14

Let op twee verschillen in de uitvoering. De Cbw kijkt naar alle netwerk- en informatiesystemen waarop uw diensten draaien; heeft u uw ISMS-reikwijdte smal gekozen, dan is die mogelijk te klein. En voor aanbieders van onder meer clouddiensten, datacentra en beheerde diensten gelden in plaats van artikel 6 tot en met 18 van het besluit de eisen uit de Europese Uitvoeringsverordening (EU) 2024/2690. Meer per onderwerp leest u in het artikel over de zorgplicht en de tien maatregelen.

Wat de Cbw extra vraagt

Drie verplichtingen kent ISO 27001 niet:

Meldplicht (artikel 25 Cbw). Elk significant incident meldt u in stappen: een vroegtijdige waarschuwing binnen 24 uur, een melding met eerste beoordeling binnen 72 uur en een eindverslag binnen een maand, via het centrale meldpunt op mijn.ncsc.nl. ISO 27001 vraagt een incidentproces, maar geen externe melding met termijnen. Zie de meldplicht.
Registratie (artikel 44 Cbw). Elke essentiële en belangrijke entiteit registreert zich via MijnNCSC en geeft wijzigingen binnen twee weken door. Zie registratie bij het NCSC.
Bestuur (artikel 24 Cbw). Het bestuur keurt de maatregelen goed en elk bestuurslid heeft een certificaat van een training; zittende bestuurders uiterlijk 15 augustus 2028. Een bestuurslid kan persoonlijk een boete tot € 25.000 krijgen (artikelen 92 en 93). Zie bestuurders en de Cbw.

Daarnaast vraagt de wet dat u aantoonbaar voldoet aan de toezichthouder van uw sector, niet alleen aan een certificerende instelling.

Wanneer is ISO 27001 wél verplicht?

Voor de sector overheid. De Cyberbeveiligingsregeling sector overheid verplicht essentiële entiteiten in die sector, behalve de waterschappen, om NEN-EN-ISO/IEC 27001:2023 toe te passen op hun managementsysteem (artikel 3) en ten minste de maatregelen uit ISO 27002:2022 en de relevante overheidsmaatregelen uit BIO2 versie 1.3 te gebruiken (artikel 5) (Staatscourant 2026, 27679). Voor de waterschappen staat hetzelfde in de regeling van Infrastructuur en Waterstaat (artikel 8, Staatscourant 2026, 24093). Een certificaat eisen de regelingen niet. Meer daarover in BIO2: wat verandert er?

Voor andere sectoren schrijven de wet en het besluit geen norm voor. Wel moet u rekening houden met Europese en internationale normen waar die van toepassing zijn (artikel 21, tweede lid, Cbw). Kijk daarom ook in de ministeriële regeling voor uw eigen sector.

Van ISO 27001 naar Cbw: stappenplan

Toepasselijkheid vastleggen: valt u onder de wet, als essentiële of belangrijke entiteit, en waarom?
Registreren bij het NCSC en de gegevens actueel houden.
Reikwijdte controleren: omvat uw ISMS alle netwerk- en informatiesystemen voor uw diensten?
De Cbw in het ISMS opnemen: in het register van wet- en regelgeving, de risicoanalyse en de verklaring van toepasselijkheid (zet per maatregel de verwijzing naar artikel 21).
Meldprocedure toevoegen naast de incidentprocedure, met de drie termijnen, de criteria voor "significant" en wie meldt.
Bestuur: goedkeuring van de maatregelen vastleggen en de training per bestuurslid plannen en registreren.
Leveranciers: de eisen voor uw keten vastleggen in contracten.

Wie al ISO 27001 heeft, vult vooral stap 1, 2, 5 en 6 aan. De documenten daarvoor zitten in de Cyberbeveiligingswet Toolkit. Meer over de wet staat op de pagina over de Cyberbeveiligingswet, over de norm op de pagina over ISO 27001.

Cbw en ISO 27001: verschil en samenhang