Audit-klaar voor
ISO 27001 en NIS2.

Waar we bij helpen

Vijf regelsets komen in vrijwel elk eerste gesprek voorbij. Ze verschillen in hoe hard ze zijn en in wie jou eraan kan houden, maar ze hebben gemeen dat ze pas echt urgent worden op het moment dat iemand ernaar vraagt: een klant, een toezichthouder of je eigen bestuur. Hieronder staat per set wat er dan van je verwacht wordt.

ISO 27001 is als enige van de vijf geen wet. Het is een certificaat dat je vrijwillig haalt, en het waait daarom bijna altijd van buiten binnen: een aanbesteding of een klantcontract vraagt erom. De norm gaat niet over welke techniek je koopt maar over de manier waarop je vaststelt wat er te beschermen valt en hoe je merkt of een maatregel in de praktijk iets doet. De versie uit 2022 telt 93 beheersmaatregelen in bijlage A, en per maatregel onderbouw je of hij bij jou van toepassing is. Een afgegeven certificaat gaat drie jaar mee.

De Cyberbeveiligingswet is wel een wet en geldt sinds 15 augustus 2026. Het is de Nederlandse uitwerking van NIS2, en er komt geen brief die je vertelt dat je eronder valt: je stelt zelf vast of je kwalificeert en meldt je daarna aan. Vanaf dat punt lopen er drie dingen tegelijk. Je beveiligt wat je in beheer hebt, je meldt een significant incident binnen 24 en daarna binnen 72 uur, en je houdt je registratiegegevens actueel. Voor die drie is het bestuur persoonlijk aanspreekbaar, waarmee het gesprek verhuist van de ICT-afdeling naar de bestuurstafel.

De AVG geldt zodra er persoonsgegevens door je systemen lopen, en dat is bij vrijwel iedereen het geval. Er zit geen omzet- of personeelsdrempel in: de wet maakt geen onderscheid tussen een eenmanszaak en een ziekenhuis. Wat wel meebeweegt is de zwaarte, want de wet werkt met open normen die zich richten naar je omvang en je risico. In de praktijk komt het neer op drie vragen: welke verwerkingen heb je, waarop baseer je elk daarvan en wat gebeurt er als er gegevens uitlekken.

DORA blijft binnen de financiële wereld, maar werkt daar rechtstreeks: het is een Europese verordening die sinds 17 januari 2025 van toepassing is, en er kwam geen Nederlandse wet aan te pas om hem te laten gelden. Zit je in die sector, dan kijken DNB en AFM mee. Lever je er ICT aan, dan landen de eisen alsnog bij jou, doorgegeven in het contract dat je klant met je sluit: auditrechten, een uitgewerkt exit-scenario en afspraken over melden bij incidenten.

De EU AI Act is de nieuwste van de vijf en de enige die niet over je netwerk of je gegevens gaat maar over systemen die iets voor je afleiden of beslissen. De meeste organisaties bouwen zulke systemen niet zelf maar kopen ze in, en dan ben je gebruiksverantwoordelijke: een rol met een merkbaar kortere plichtenlijst dan die van een aanbieder. Waar je het inzet doet er wel toe. Werving, personeelsbeheer en het beoordelen van kredietwaardigheid tellen als hoog risico, en juist daar hangen de zware plichten aan vast. De verordening zelf geldt al sinds 2 augustus 2026, met verboden en transparantieregels die niet zijn opgeschoven; alleen dat hoog-risicodeel schuift door naar december 2027 en augustus 2028.

Zo pak je het aan

Welke van de vijf je ook op je bord krijgt, het werk eronder lijkt verrassend veel op elkaar. Je bakent af wat meetelt, je stelt vast waar je nu staat, je dicht de gaten en je legt dat zo vast dat een buitenstaander het kan nalezen. Wat per organisatie verschilt is wie dat werk doet. Onze diensten zetten ervaren mensen naast je eigen team; ons platform zet dezelfde route als software neer zodat je hem zelf kunt lopen. Het een verplicht het ander niet en veel klanten doen allebei.

Voor de regels zelf ben je bij de instanties beter af dan bij ons. Cyberweerbaarheid en de meldketen lopen via het NCSC, alles rond persoonsgegevens via de Autoriteit Persoonsgegevens, en de aankondiging van de Cyberbeveiligingswet staat bij de Rijksoverheid. Elke gids hierboven sluit af met zijn eigen bronnenlijst, zodat je zelf kunt nagaan of onze samenvatting klopt.