Het Centrum voor Cybersecurity België (CCB) heeft Brand Compliance geautoriseerd om ISO 27001-certificatieaudits uit te voeren binnen de Belgische NIS2-context. Onder de geldende voorwaarden kan ISO 27001-certificering bijdragen aan een vermoeden van conformiteit met de Belgische eisen voor het beheer van cyberbeveiligingsrisico’s. Daarbij moeten onder meer het toepassingsgebied en de Verklaring van Toepasselijkheid voldoen aan de voorwaarden van het CCB.
NIS2 in België
De Europese NIS2-richtlijn is in België omgezet in nationale wetgeving. Organisaties die onder de Belgische NIS2-wet vallen, hebben onder meer verplichtingen voor registratie, het beheersen van cyberbeveiligingsrisico’s, het melden van significante incidenten en bestuurlijke verantwoordelijkheid.
ISO 27001 biedt een gestructureerde aanpak voor informatiebeveiliging. Binnen de Belgische NIS2-regeling kan certificering onder voorwaarden worden gebruikt om een vermoeden van conformiteit te onderbouwen. Dit vervangt de overige wettelijke verplichtingen van de organisatie niet.
Drie beoordelingsroutes voor essentiële entiteiten
Voor essentiële entiteiten geldt een verplichte regelmatige conformiteitsbeoordeling. Hiervoor zijn drie routes beschikbaar:
Verificatie of certificering
CyberFundamentals (CyFun®)
Verificatie voor de zekerheidsniveaus Basic en Important of certificering voor Essential, uitgevoerd door een daarvoor geaccrediteerde en door het CCB geautoriseerde conformiteitsbeoordelingsinstantie.
Certificering van uw ISMS
ISO 27001
Certificering door een daarvoor geaccrediteerde en door het CCB geautoriseerde certificerende instelling, waarbij ook aan de voorwaarden voor toepassing binnen de Belgische NIS2-context moet worden voldaan.
Beoordeling door de overheid
Inspectie
Beoordeling door de inspectiedienst van het CCB of de bevoegde sectorale inspectiedienst.
Voor iedere route gelden specifieke voorwaarden. Welke beoordeling nodig is, hangt af van de toepasselijke wettelijke eisen en het gekozen referentiekader.
Belangrijke entiteiten
Belangrijke entiteiten kunnen vrijwillig een conformiteitsbeoordeling op basis van ISO 27001 of CyFun® laten uitvoeren. Ook zonder deze vrijwillige beoordeling blijven hun wettelijke verplichtingen gelden en kunnen zij aan toezicht worden onderworpen.
ISO 27001-certificering binnen de Belgische NIS2-route
Een ISO 27001-certificaat is niet zonder meer voldoende om een vermoeden van conformiteit te onderbouwen. Binnen de Belgische NIS2-route zijn onder meer de volgende onderdelen van belang:
- Toepassingsgebied: de beoordeling omvat in beginsel de volledige organisatie. Een uitzondering voor fysiek en/of technisch gescheiden IT- en OT-omgevingen vereist dat uitgesloten omgevingen de risico’s van de beoordeelde omgeving niet beïnvloeden.
- Verklaring van Toepasselijkheid: dit document, ook wel Statement of Applicability (SoA) genoemd, beschrijft welke beheersmaatregelen van toepassing zijn en hoe keuzes worden onderbouwd.
- Gelijkwaardigheid van maatregelen: de maatregelen moeten aansluiten op de eisen van het toepasselijke CyFun®-zekerheidsniveau.
- Informatie voor het CCB: voor het aanleveren van het toepassingsgebied, de SoA en certificatiegegevens gelden specifieke verplichtingen voor de organisatie en de geautoriseerde certificerende instelling.
Lees meer over de voorwaarden en het beoordelingsproces in ons artikel over ISO 27001 in NIS2-context in België.
Een CyFun®-label op basis van ISO 27001
Naast de toepassing van ISO 27001 binnen de Belgische NIS2-route bestaat de mogelijkheid om onder voorwaarden een CyFun®-label aan te vragen op basis van een ISO 27001-certificaat.
Het CCB beoordeelt daarbij onder meer het certificaat en de bijbehorende SoA in relatie tot het aangevraagde zekerheidsniveau. Een ISO 27001-certificaat leidt dus niet automatisch tot een CyFun®-label. Raadpleeg de veelgestelde vragen van het CCB voor de toepasselijke voorwaarden.
NIS2-training voor directie en management
Wilt u als bestuurder of managementteam beter begrijpen welke verantwoordelijkheden NIS2 met zich meebrengt? BC Academy biedt een incompany NIS2 Executive training over onder meer risicobeheer, bestuurlijke verantwoordelijkheid en incidentmelding.
Bekijk het programma en de praktische informatie van de NIS2 Executive training van BC Academy.
Geldt voor uw organisatie de Nederlandse wetgeving?
Dit artikel beschrijft de Belgische NIS2-regeling. Voor organisaties die onder de Nederlandse wetgeving vallen, geldt de Cyberbeveiligingswet. De Belgische CCB-autorisatie vormt geen Nederlandse beoordelingsroute.
Lees meer over de Cyberbeveiligingswet en de verplichtingen voor uw organisatie of bekijk onze informatie over ISO 27001-certificering.
Bespreek uw situatie
Heeft u vragen over ISO 27001-certificering binnen de Belgische NIS2-context? Bespreek uw situatie met Brand Compliance. Wij lichten toe hoe onze onafhankelijke beoordeling verloopt en welke informatie nodig is voor een certificatietraject.
Weet u al welke beoordeling u nodig heeft? Vraag een offerte aan.