ICT-compliance: welke normen gelden voor jouw organisatie?
ICT-compliance is aantoonbaar voldoen aan de wetten, normen en contractuele eisen die voor jouw organisatie gelden op het gebied van informatiebeveiliging. Voor een MKB-organisatie draait dat zelden om één norm. Een transportbedrijf van zestig man valt onder de Cyberbeveiligingswet, verwerkt persoonsgegevens en dus onder de AVG en krijgt van zijn grootste opdrachtgever een leveranciersvragenlijst die naar ISO 27001 vraagt. Drie kaders. Eén ICT-omgeving.
De term wordt ook geschreven als IT-compliance, ICT compliance of compliance in de informatiebeveiliging. Hieronder staat welke kaders er zijn, hoe je bepaalt welke jou raken, welke data vaststaan en wat er technisch onder ligt.
In het kort
- Welke normen voor je gelden volgt uit vier routes: je sector en omvang, de gegevens die je verwerkt, wat je opdrachtgever eist en wat je zelf wilt aantonen.
- De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Registratie bij het NCSC is vanaf die datum verplicht.
- De AVG raakt vrijwel elke organisatie, ongeacht sector of omvang.
- Organisaties zonder eigen wettelijke plicht krijgen de eisen meestal alsnog via een opdrachtgever die er wel onder valt.
- Onder de kaders ligt grotendeels dezelfde technische basis: toegangsbeheer, encryptie, back-up, monitoring, patching en logging.
- Maatregelen nemen is niet genoeg. Elk kader vraagt bewijs dat ze structureel werken.
Wat is ICT-compliance
ICT-compliance is het aantoonbaar naleven van de beveiligingseisen die op je organisatie rusten en dat bestaat uit twee delen. Je moet maatregelen nemen. Je moet ook kunnen laten zien dat ze werken.
Dat tweede deel wordt het vaakst onderschat. Een auditor die vraagt of je back-ups versleuteld zijn, neemt geen genoegen met ja. Hij wil de configuratie zien, de rapportage van vorige maand en het verslag van de laatste hersteltest. Diezelfde vraag komt uit drie richtingen: van de toezichthouder als je onder een wet valt, van je opdrachtgever bij een aanbesteding en van je cyberverzekeraar bij een claim. Hoe je die bewijsvoering inricht staat op de pagina over aantoonbare IT-beveiliging.
Compliance is dus geen project met een einddatum. Een certificaat is drie jaar geldig met jaarlijkse controle-audits. Een wettelijke plicht loopt door zolang je onder de wet valt. Een leveranciersvragenlijst komt bij elke contractverlenging terug.
Werkplekbeheer en Compliant
Audit-klaar wórden is stap één. Met compliant werkplekbeheer houd je het daarna aantoonbaar werkend, vaste prijs per werkplek, van MKB tot Enterprise.
Kies dit als je op je eigen Microsoft 365-licentie blijft en de technische basis op orde wilt: beheer, back-up, endpointbescherming en toegangsbeheer.
Kies dit als je naast de techniek ook je mensen wilt meenemen. Inclusief Business Premium en security awareness-training.
Kies dit als een opdrachtgever, tender of norm bewijs van je vraagt. Inclusief de Purview- en Defender-suites, monitoring en de rapportage waar een auditor om vraagt.
Kies dit als je organisatie uit Compliant MKB groeit en op Microsoft 365 E5 wilt draaien.
Welke normen gelden voor jou
Welke normen voor jou gelden volgt uit vier routes en de meeste organisaties zitten in meer dan een. Er is geen lijst waarop je je bedrijfsnaam opzoekt.
Route 1: het geldt rechtstreeks, via je sector en omvang
De Cyberbeveiligingswet zet de Europese NIS2-richtlijn om in Nederlands recht. Je valt er rechtstreeks onder als je actief bent in een aangewezen sector, zoals energie, transport, drinkwater, zorg, digitale infrastructuur of afvalbeheer, én je voldoet aan de omvangscriteria van vijftig medewerkers of tien miljoen euro jaaromzet (NIS2-richtlijn, 2022). Aan beide voorwaarden moet zijn voldaan.
De BIO werkt anders. Die geldt voor het Rijk, gemeenten, provincies en waterschappen en raakt hun IT-leveranciers via aanbestedingen. DORA geldt rechtstreeks voor financiële instellingen en voor de ICT-dienstverleners die als kritiek zijn aangewezen. De CER-richtlijn draait om fysieke weerbaarheid van kritieke entiteiten en loopt naast de Cbw.
Route 2: het geldt vanwege de gegevens die je verwerkt
De AVG kent geen sectorlijst en geen omvangsdrempel. Verwerk je persoonsgegevens, dan geldt hij. Dat is vrijwel elke organisatie met personeel of klanten.
Verwerk je patiëntgegevens, dan komt NEN 7510 erbij. Aantoonbaar voldoen aan die norm is voor zorgaanbieders wettelijk verplicht via de Wabvpz. Het certificaat zelf niet.
Route 3: je opdrachtgever eist het
Dit is de route die het MKB het vaakst raakt. Een organisatie die onder de Cbw valt moet haar toeleveringsketen beheersen en geeft die eisen contractueel door. Je krijgt dan een vragenlijst over multifactorauthenticatie, back-upretentie en incidentafhandeling of de harde eis van een ISO 27001-certificaat.
Voor die situatie bestaat geen wettelijke drempel. Wat telt is wat er in het contract staat. Wie het bewijs niet levert valt af bij tenders en contractverlengingen.
Route 4: je wilt het zelf kunnen aantonen
Geen wet, geen opdrachtgever, wel een verzekeraar of accountant die vragen stelt. Of een directie die wil weten of het op orde is. Dan kies je zelf het kader. ISO 9001 borgt kwaliteitsmanagement, SOC 2 en ISAE 3402 zijn assurance-rapportages richting klanten en het NIST Cybersecurity Framework is een referentiemodel zonder certificeringsschema.
Twee kaders zitten in de aanloop. De Cyber Resilience Act raakt fabrikanten van hardware en software, met een meldplicht vanaf 11 september 2026. De EU AI Act stelt eisen aan AI-systemen.
Weet je niet welke route voor jou geldt? De NIS2-quickscan loopt de sector- en omvangscriteria met je door.
De data die vaststaan
De data die vaststaan zijn er drie en ze lopen niet gelijk. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden en vervangt de Wet beveiliging netwerk- en informatiesystemen uit 2018. Vanaf diezelfde datum moeten entiteiten die eronder vallen zich registreren in het nationale entiteitenregister bij het NCSC, via mijn.ncsc.nl.
Voor bestuurders geldt een aparte termijn. Artikel 24 van de Cyberbeveiligingswet verplicht elk bestuurslid kennis en vaardigheden op te doen over risicobeheer, met een certificaat per persoon. Daarvoor loopt een overgangsperiode van twee jaar, tot 15 augustus 2028.
De meldplicht kent kortere klokken. Een vroegtijdige waarschuwing gaat binnen 24 uur na constatering van een significant incident naar het CSIRT, een uitgebreidere melding volgt binnen 72 uur en het eindverslag binnen een maand (NIS2-richtlijn, 2022). Bij een datalek loopt daarnaast de termijn van 72 uur richting de Autoriteit Persoonsgegevens (AVG, 2016).
Wat je technisch moet regelen
Wat je technisch moet regelen is onder elk van deze kaders grotendeels hetzelfde werk. Dit zijn de onderwerpen die in vrijwel elke norm terugkomen.
Toegangsbeheer met multifactorauthenticatie op elk account, zodat alleen de juiste mensen bij de juiste gegevens komen. Encryptie van gegevens op apparaten, onderweg en in de cloud. Back-up en herstel, met geteste herstelprocedures in plaats van alleen een back-upschema. Apparaatbeveiliging op beheerde en versleutelde laptops en telefoons, op afstand te wissen bij verlies. Monitoring en logging die afwijkend gedrag detecteert en vastlegt wat er gebeurde. Patchmanagement en een proces voor het beoordelen van kwetsbaarheden. Awareness bij medewerkers, omdat de makkelijkste route voor een aanvaller via gedrag loopt.
Wat per kader verschilt is niet zozeer wát er moet, maar hoe strikt en met welk bewijs. NEN 7510 vraagt tweefactorauthenticatie bij elke toegang tot patiëntgegevens. ISO 27001 laat die invulling aan je risicoanalyse over.
Daarnaast staat het organisatorische deel: beleid, governance, risicobeoordeling, interne audits en de formele verantwoording richting toezichthouder of certificerende instelling. ClickOn richt het technische deel in en levert het bewijs daarvan. Het beleid en de governance blijven bij de organisatie zelf of bij een compliance-adviseur.
Wat er gebeurt als je niet voldoet
Wat er gebeurt als je niet voldoet hangt af van het kader en de verschillen zijn groot.
Bij een wettelijke plicht is er een toezichthouder met sanctiebevoegdheid. Voor essentiële entiteiten gaan de boetes tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, voor belangrijke entiteiten tot zeven miljoen euro of 1,4 procent (NIS2-richtlijn, 2022). De AVG gaat tot twintig miljoen euro of vier procent (AVG, 2016). Daarbovenop staat de bestuurdersaansprakelijkheid.
Bij een certificering ligt het anders. Verlies van een ISO 27001-certificaat heeft geen juridische gevolgen, maar wel commerciële. Je valt af bij aanbestedingen die het certificaat als voorwaarde stellen.
Bij een contractuele eis is het gevolg direct. Geen bewijs betekent geen contract of een contract dat niet wordt verlengd.
En dan is er de verzekeraar. Die toetst bij een claim of je de risico’s die je had moeten kennen ook had afgedekt. Personeel zonder awarenesstraining kan reden zijn voor een beroep op een uitsluitingsclausule.
Begrippen
De begrippen die in deze kaders terugkomen zijn juridisch vastgelegd in plaats van vrij te interpreteren. Een cyberincident hoeft bijvoorbeeld niet opzettelijk te zijn, dus een configuratiefout telt mee. Alle tien staan hieronder, met het volledige overzicht als ingang.
- Cyberrisico: kans maal gevolg van een incident, de basis onder elke risicoanalyse.
- Cyberdreiging: de omstandigheid of gebeurtenis die schade kan veroorzaken.
- Cyberincident: de gebeurtenis die beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid aantast.
- Cyberbeveiliging: de wettelijke definitie van wat beveiligen precies inhoudt.
- Kwetsbaarheid: de zwakke plek die een dreiging kan misbruiken.
- Netwerk- en informatiesysteem: wat er wettelijk beschermd moet worden.
- Zorgplicht: de verplichting om passende maatregelen te nemen.
- Meldplicht: welke incidenten je wanneer bij welk loket meldt.
- Risicobeheersmaatregelen: hoe je maatregelen kiest en onderbouwt.
- Ketenverantwoordelijkheid: waar je aansprakelijkheid voor leveranciers begint en stopt.
Toezichthouders en instanties
De toezichthouders en instanties verschillen per kader en dat bepaalt bij wie je moet zijn. De Rijksinspectie Digitale Infrastructuur houdt toezicht op het grootste deel van de sectoren onder de Cyberbeveiligingswet. Het NCSC beheert het entiteitenregister en is het loket voor incidentmeldingen. Voor de zorg loopt de incidentmelding via Z-CERT.
De Autoriteit Persoonsgegevens handhaaft de AVG. DNB en de AFM houden toezicht op DORA. Certificaten voor ISO 27001, ISO 9001 en NEN 7510 worden afgegeven door geaccrediteerde certificerende instellingen, niet door de overheid.
Normen naast elkaar leggen
Normen naast elkaar leggen levert zelden een simpel ja op, ook al is dat de vraag die het vaakst terugkomt. Het antwoord verschilt per paar.
ISO 27001 dekt een groot deel van de zorgplicht uit NIS2, omdat beide risicogestuurd werken en dezelfde onderwerpen raken. Wat de norm niet regelt zijn de meldplicht met haar termijnen, de registratieplicht bij het NCSC en de bestuurdersverplichting uit artikel 24. Rondom die overlap circuleren dekkingspercentages. Die getallen hebben geen verifieerbare noemer en zijn ongeschikt om een traject op te baseren.
DORA verdringt voor financiële instellingen de zorgplicht en de meldplicht uit de Cyberbeveiligingswet, maar niet de registratieplicht. NEN 7510 bouwt op ISO 27001 en scherpt op onderdelen aan.
Per branche en per plaats
Per branche en per plaats verschilt vooral langs welke route de eisen bij je binnenkomen. Of de sector in de bijlagen van de richtlijn staat is per branche uitgewerkt, op de pagina’s over NIS2 per branche.
Regionaal draait het om wie je opdrachtgevers zijn. In Den Haag lopen de eisen vaak via overheidsopdrachtgevers en dus via de BIO. In Utrecht zijn zakelijke dienstverlening en zorg dominant, in Rotterdam transport en logistiek. Er is een pagina per plaats, gebundeld in het overzicht per plaats.
Drenthe
Flevoland
Friesland
Gelderland
Apeldoorn, Arnhem, Ede, Nijmegen
Groningen
Limburg
Noord-Brabant
‘s-Hertogenbosch, Bergen op Zoom, Breda, Eindhoven, Helmond, Oss, Roosendaal, Tilburg
Noord-Holland
Alkmaar, Amstelveen, Amsterdam, Haarlem, Heemskerk, Hilversum, Hoofddorp, Hoorn, Limmen, Nieuw-Vennep, Purmerend, Zaandam
Overijssel
Almelo, Deventer, Enschede, Hengelo, Zwolle
Utrecht
Amersfoort, Houten, Nieuwegein, Utrecht, Veenendaal, Woerden
Zuid-Holland
Alphen aan den Rijn, Capelle aan den IJssel, Delft, Den Haag, Dordrecht, Gouda, Leiden, Rotterdam, Schiedam, Spijkenisse, Vlaardingen, Zoetermeer
Zo pakt ClickOn het technische deel op
ClickOn pakt het technische deel op en laat het organisatorische deel waar het hoort. Wij zijn managed service provider voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, met 100 procent van 25 audits doorstaan (ClickOn, 2026). Wij richten de technische maatregelen in je Microsoft 365-omgeving in en leveren het bewijs dat een auditor, opdrachtgever of verzekeraar vraagt. Wij zijn geen auditor, geen consultant en geen juridisch adviseur.
Met ClickOn Compliant MKB blijft dat werken na de inrichting: werkplekken ingericht op de ISO 27001-norm, maandelijkse rapportages op controlniveau en audit-ondersteuning. Het volledige aanbod staat op de pagina met IT-diensten.
Veelgestelde vragen
Veelgestelde vragen over ICT-compliance gaan meestal over reikwijdte: geldt dit voor mij en wat dan.
Wat is ICT-compliance?
ICT-compliance is aantoonbaar voldoen aan de wetten, normen en contractuele eisen die voor je organisatie gelden op het gebied van informatiebeveiliging. Het omvat zowel het nemen van maatregelen als het kunnen bewijzen dat die maatregelen structureel werken.
Welke normen gelden voor mijn bedrijf?
Dat volgt uit vier routes: je sector en omvang (Cyberbeveiligingswet, BIO, DORA), de gegevens die je verwerkt (AVG, NEN 7510), wat je opdrachtgever contractueel eist (vaak ISO 27001) en wat je zelf wilt kunnen aantonen. De meeste organisaties zitten in meer dan een route tegelijk.
Is ISO 27001 verplicht?
Nee. ISO 27001 is een vrijwillige norm en geen enkele Nederlandse wet schrijft het certificaat voor. In de praktijk wordt het wel afgedwongen door opdrachtgevers en aanbestedingen, waardoor het commercieel vaak niet vrijblijvend is.
Val ik onder de Cyberbeveiligingswet met minder dan vijftig medewerkers?
In de regel niet rechtstreeks. De wet stelt vijftig medewerkers of tien miljoen euro jaaromzet als drempel binnen een aangewezen sector. Voor enkele categorieën, waaronder aanbieders van openbare elektronische communicatie en vertrouwensdiensten, geldt de drempel niet. Lever je aan een organisatie die er wel onder valt, dan krijg je de eisen alsnog contractueel.
Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?
NIS2 is de Europese richtlijn, de Cyberbeveiligingswet is de Nederlandse wet die de richtlijn omzet. Pas via de Cyberbeveiligingswet gelden de verplichtingen voor Nederlandse organisaties.
Hoeveel tijd kost een compliance-traject?
Het organisatorische deel, met beleid en managementsysteem, kost in de praktijk drie tot zes maanden of langer. Het technische deel loopt daar deels naast. Een ICT-omgeving is in dertig dagen technisch audit-klaar te maken.
Verder lezen
Verder lezen doe je het snelst via het kader dat voor jou geldt: NIS2, de Cyberbeveiligingswet, ISO 27001, de AVG, DORA of NEN 7510. Wil je eerst weten of je onder de wet valt, begin dan bij de NIS2-quickscan.
Weten waar je staat
Weten waar je staat begint met een nulmeting. Die laat zien welke technische maatregelen al staan en waar de gaten zitten, afgezet tegen het kader dat voor jou geldt.
Over de auteur
Ardo Hoogeveen, oprichter, algemeen directeur en security officer bij ClickOn. Gespecialiseerd in NIS2 en ISO 27001 voor het MKB, met meer dan 25 doorstane audits (ClickOn, 2026).