De compliance-leugen: Waarom ISO 27001, NIS2 en NIST CSF niet hetzelfde zijn
Wetgeving, managementsystemen en technische raamwerken hebben elk een andere functie. Wie die verschillen begrijpt, voorkomt bureaucratie en beheerst risico's beter.
De cybersecuritysector is onnodig ingewikkeld geworden. Veel organisaties kopen honderden pagina’s beleidsjablonen, slaan die op in SharePoint en verwarren documentatie met een echte beveiligingspositie.
Dat noemen wij compliance-theater.
De meest gemaakte fout is om elke regelgeving, norm en elk raamwerk te behandelen alsof het dezelfde checklist is. Dat is niet zo. Elk instrument beantwoordt een andere vraag. Wanneer ze goed worden gecombineerd, verminderen ze het werk in plaats van het te vermenigvuldigen.
“Wij zijn ISO 27001-gecertificeerd, dus we voldoen automatisch aan NIS2.”
Die uitspraak is riskant. ISO 27001 kan een sterke basis zijn, maar vervangt geen wettelijke verplichtingen en bewijst niet vanzelf dat elk regulatoir resultaat is bereikt.
De drie lagen van een beveiligingsarchitectuur
Een bruikbaar systeem begint met het onderscheid tussen de wet, het bestuurlijke besturingssysteem en de uitvoeringsmiddelen.
1. Regelgeving is de wet: wat moet worden bereikt
NIS2, DORA en de Cyber Resilience Act leggen wettelijke verplichtingen en gewenste uitkomsten vast. Denk aan het beheersen van ketenrisico’s, het melden van incidenten en persoonlijke verantwoordelijkheid van bestuurders.
Regelgeving bepaalt de grens die een organisatie niet mag negeren. Ze schrijft niet voor hoe iedere vergadering, controle of bewijsstroom moet worden ingericht.
2. Normen zijn het besturingssysteem: hoe geef je sturing
ISO/IEC 27001 is geen wet en geen technische controlelijst. Het is een managementsysteem voor informatiebeveiliging. Het helpt leiderschap om verantwoordelijkheden vast te leggen, risico’s te beoordelen, veranderingen te bespreken en continu te verbeteren.
De kracht zit in een herhaalbaar mechanisme voor risicogestuurde beslissingen. Het gaat niet om één specifieke tool, maar om de vraag waarom een besluit wordt genomen, wie eigenaar is en hoe het resultaat wordt gecontroleerd.
3. Raamwerken zijn de interface: hoe voer je uit
NIST CSF 2.0, ISO 27002 en CyFun bieden structuur en een gedeelde taal. Daardoor kunnen bestuur, security, engineering en audit over prioriteiten spreken zonder te verdwalen in eindeloze checklists.
Het zijn implementatiegidsen. Ze vertalen bestuurlijke doelen naar praktijken en controles die in het dagelijks werk kunnen worden opgenomen.
Integreren zonder dubbel werk
Een groeiende Europese organisatie kan iedere laag een duidelijke functie geven:
- NIS2 en DORA bepalen het wettelijke kader en de regulatoire blootstelling.
- ISO 27001 levert de governance-motor, het risicoregister en managementreviews.
- NIST CSF geeft leiderschap en technische teams een gemeenschappelijke operationele taal.
- ISO 27002 en CyFun helpen proportionele en toetsbare controles ontwerpen.
Dit is niet vier keer zoveel werk. Het is één samenhangende architectuur die vier verschillende behoeften vanuit dezelfde operationele werkelijkheid ondersteunt.
Stop met documentatie bouwen. Bouw systemen.
Als een securitystrategie mappen vol documenten oplevert die alleen tijdens een audit worden geopend, is er geen security gebouwd. Er is administratieve ballast gebouwd.
Elke policy, controle en elk bewijsstuk moet een helder doel hebben: een operationele controle mogelijk maken, een bestuurlijke beslissing ondersteunen of een wettelijke verplichting aantonen. Als het geen van die drie functies heeft, is het waarschijnlijk niet nodig.