In België noemt het koninklijk besluit ter uitvoering van de NIS2-wet van 26 april 2024 twee referentiekaders om uw conformiteit aan te tonen, het CyberFundamentals Framework (CyFun®) van het Centrum voor Cybersecurity België (CCB) en de norm ISO/IEC 27001, wat elke organisatie aanbelangt die al ISO 27001-gecertificeerd is of het overweegt.
ISO/IEC 27001:2022, de norm die uw ISMS structureert
ISO/IEC 27001 legt de eisen vast voor een managementsysteem voor informatiebeveiliging (ISMS) dat u opzet, onderhoudt en voortdurend verbetert. De huidige versie dateert van oktober 2022 en de clausules 4 tot 10 volgen de gemeenschappelijke structuur van de ISO-managementsysteemnormen, van de context van de organisatie tot verbetering.
Bijlage A telt 93 beheersmaatregelen in vier thema's (organisatorisch, mensgericht, fysiek en technologisch) tegenover 114 in de versie van 2013. U kiest de maatregelen die op uw risico's antwoorden en verantwoordt die keuze in de toepasselijkheidsverklaring (Statement of Applicability of SoA), en een ISO 27001-certificering blijft vrijwillig en wordt toegekend door een onafhankelijke certificatie-instelling, nooit door ISO zelf.
CyFun®, het gratis kader van het CCB afgestemd op NIS2
Het CyberFundamentals Framework wordt gratis gepubliceerd door het CCB en bundelt concrete maatregelen om uw gegevens te beschermen en het risico op de meest voorkomende cyberaanvallen sterk te verkleinen. Het steunt onder meer op NIST CSF, ISO/IEC 27001, de CIS Controls en IEC 62443, en de versie CyFun® 2025 is afgestemd op NIST CSF 2.0 en op NIS2.
Naast het startniveau Small biedt CyFun® drie zekerheidsniveaus, Basic, Important en Essential, die u kiest op basis van uw risicoanalyse en die wij toelichten in ons artikel over de CyFun®-niveaus. De implementatie wordt gevalideerd met een verificatie (Basic of Important) of een certificering (Essential) door een conformiteitsbeoordelingsinstantie die door BELAC geaccrediteerd en door het CCB erkend is, want het CCB reikt zelf geen certificeringen uit.
Twee wegen naar hetzelfde vermoeden van conformiteit
Essentiële entiteiten moeten een regelmatige conformiteitsbeoordeling ondergaan en kiezen daarvoor tussen CyFun®, een ISO/IEC 27001-certificering en een inspectie door het CCB, terwijl belangrijke entiteiten zich daar vrijwillig aan kunnen onderwerpen. Een verificatie of certificering die onder de juiste voorwaarden is behaald, geeft u een vermoeden van conformiteit tot het tegendeel bewezen is, en voor de ISO-route legt het CCB zijn voorwaarden vast in zijn NIS2-FAQ en een richtsnoer van september 2026:
- Het toepassingsgebied omvat de hele entiteit en al haar netwerk- en informatiesystemen, behalve een IT- of OT-omgeving die fysiek of technisch gescheiden is, zelfstandig werkt en geen invloed heeft op de risico's binnen het toepassingsgebied, op voorwaarde dat u die scheiding documenteert
- De toepasselijkheidsverklaring is onderbouwd met bewijzen en haalt een niveau dat gelijkwaardig is aan het CyFun®-niveau dat u hebt gekozen
- Het certificaat wordt uitgereikt door een instantie die door het CCB erkend is en geaccrediteerd door een ondertekenaar van de wederzijdse erkenningsakkoorden van EA of IAF
- Het certificaat van een moederbedrijf volstaat op zich niet om de betrokken NIS2-entiteit te dekken
Voor essentiële entiteiten die sinds de inwerkingtreding van de wet onder NIS2 vallen, moet dat certificaat uiterlijk op 18 april 2027 behaald zijn, en u kunt er ook een CyFun®-label mee verkrijgen via het tabblad ‘Labels’ op Safeonweb@Work.
Wat de twee kaders echt van elkaar onderscheidt
Beide wegen leiden tot hetzelfde juridische resultaat zonder dezelfde logica te volgen:
- Aanpak: ISO 27001 vertrekt van uw risicoanalyse om uw maatregelen te kiezen uit bijlage A, terwijl CyFun® per niveau vastlegt welke maatregelen verwacht worden
- Toepassingsgebied: buiten NIS2 bepaalt u zelf dat van uw ISMS, terwijl de NIS2-route de hele entiteit vereist en u soms een bestaand certificaat moet uitbreiden
- Validatie: een instantie die via EA of IAF geaccrediteerd is voor ISO 27001 of door BELAC voor CyFun®, telkens erkend door het CCB
- Erkenning: meer dan 70.000 ISO 27001-certificaten in 150 landen volgens de ISO Survey 2022, terwijl CyFun® in de eerste plaats een Belgische referentie is
Uw weg kiezen zonder het werk twee keer te doen
Hebt u al een ISO 27001-certificaat of vragen uw klanten erom, dan is de ISO-route vaak de meest logische keuze, op voorwaarde dat u het toepassingsgebied uitbreidt en de toepasselijkheidsverklaring aanvult tot het beoogde CyFun®-niveau, terwijl CyFun® een gratis en meteen leesbaar pad biedt als u van nul begint met een vooral Belgische horizon. Het CCB benadrukt trouwens dat het u CyFun® niet oplegt naast ISO 27001 en wel een gelijkwaardig cyberbeveiligingsniveau verwacht.
Om dubbel werk te vermijden publiceert het CCB bij CyFun® 2025 een concordantietabel die de CyFun®-maatregelen koppelt aan de clausules van ISO/IEC 27001:2022 en de beheersmaatregelen van ISO/IEC 27002:2022, en het raadt aan die tabel te gebruiken om de gelijkwaardigheid aan te tonen. Ze koppelt bijvoorbeeld de CyFun®-eis PR.DS-11 over back-ups aan maatregel 8.13 uit bijlage A, zodat een geteste back-upprocedure die u één keer documenteert voor beide kaders dient. De tabel blijft wel een hulpmiddel en u toont uw maturiteit aan met uw eigen documenten.
Hoe Sinplify u helpt om beide tegelijk aan te pakken
Sinplify structureert en versnelt die aanpak door te vertrekken van wat u al hebt, want onze Europese AI leest uw beleidsdocumenten, procedures en auditrapporten om de goede praktijken te herkennen die al bestaan en bereidt voor wat nog ontbreekt. Elk bewijs dat uw team bevestigt, telt tegelijk voor CyFun®, ISO 27001 en ReCyF, zodat uw back-upprocedure meteen beide frameworks dient en elk nieuw framework start met meters die al deels gevuld zijn en een eigen dossier.
Ontdek het platform of boek een demo om Sinplify aan het werk te zien met uw eigen documenten.