DORA, NIS2 en ISO 27001: wat geldt er voor u?

Laatst bijgewerkt: 24 september 2026

DORA en NIS2 zijn allebei Europese wetgeving over digitale weerbaarheid, ISO 27001 is een norm waarvoor u zich kunt laten certificeren. Ze worden vaak in één adem genoemd, maar ze hebben verschillende rollen en gelden zelden alle drie tegelijk op dezelfde manier.

Het verschil in één alinea

DORA is een verordening voor de financiële sector en werkt rechtstreeks in alle lidstaten. NIS2 is een richtlijn voor vitale en belangrijke sectoren buiten de financiële wereld, die per land in nationale wetgeving wordt omgezet; in Nederland in de Cyberbeveiligingswet. ISO 27001 is geen wet maar een internationale norm: vrijwillig, certificeerbaar, en bruikbaar als bewijsmiddel onder beide wetten.

Welke geldt voor u?

Financiële entiteit? Dan geldt DORA. Voor uw sector gaat DORA voor op NIS2, zodat u niet twee keer hetzelfde hoeft te doen onder twee regimes
Vitale of belangrijke sector buiten de financiële wereld? Dan geldt NIS2, in Nederland via de Cyberbeveiligingswet. Zie of u onder NIS2 valt
ICT-leverancier van een van beide? Dan raken de eisen u via de contracten van uw klanten, en bij DORA mogelijk ook via rechtstreeks Europees toezicht
Geen van beide? Dan is ISO 27001 de vrijwillige route, en vaak de route die klanten in aanbestedingen van u vragen

Binnen een groep beoordeelt u per entiteit. Een bank onder DORA kan een zusteronderneming hebben die onder NIS2 valt.

Waar ze overlappen

Inhoudelijk vragen alle drie om dezelfde basis: weten welke systemen en gegevens u heeft, risico’s beoordelen, maatregelen treffen die daarbij passen, incidenten kunnen afhandelen, en kunnen aantonen dat het werkt.

Wie ISO 27001 goed heeft ingericht, heeft een flink deel van het werk voor DORA of NIS2 al liggen. Andersom geldt dat ook: wie DORA serieus implementeert, komt dicht bij een certificeerbaar managementsysteem.

Waar ze verschillen

DORA is het meest voorschrijvend. Concrete meldtermijnen, een informatieregister dat u indient, voorgeschreven contractbepalingen en voor sommige partijen verplichte dreigingsgestuurde tests. U weet precies wat er van u wordt verwacht, en u kunt er ook precies op worden afgerekend.

NIS2 laat meer ruimte in het hoe, maar legt de verantwoordelijkheid nadrukkelijker bij het bestuur, inclusief persoonlijke aansprakelijkheid. In de bestuurskamer weegt dat vaak zwaarder dan een gedetailleerde eis.

ISO 27001 schrijft een systeem voor en laat de inhoud aan uw eigen risicoanalyse. Dat maakt de norm flexibel en tegelijk minder concreet: twee gecertificeerde organisaties kunnen heel verschillende maatregelen hebben.

Waar ISO 27001 niet toereikend is

Het informatieregister van ICT-contracten dat DORA vraagt, kent de norm niet als zodanig
De meldtermijnen naar een toezichthouder staan niet in de norm
Dreigingsgestuurde penetratietests zijn geen ISO-vereiste
De verplichte contractbepalingen zijn specifieker dan wat Annex A over leveranciers zegt
De bestuurlijke verantwoordelijkheid is in de wetgeving explicieter belegd

Omgekeerd levert ISO 27001 iets wat de wetten niet geven: een certificaat van een onafhankelijke partij dat u aan klanten kunt laten zien. Zie ISO 27001 als basis voor NIS2 voor dezelfde vraag vanuit de NIS2-kant.

Een praktische route als u onder DORA valt

Heeft u al ISO 27001: begin met een gap-analyse tegen DORA en richt u op het register, de meldketen en het testprogramma. De rest heeft u grotendeels.

Heeft u nog niets: bouw op de DORA-structuur en houd ISO 27001 in het achterhoofd bij de inrichting. Certificeren kan later, en dan is het een kleine stap in plaats van een tweede traject.

Veelgestelde vragen

Kan ik zowel onder DORA als onder NIS2 vallen?

Als entiteit vrijwel nooit: voor financiële entiteiten gaat DORA voor. Binnen een groep kan het wel voorkomen dat het ene onderdeel onder DORA valt en het andere onder NIS2.

Helpt een ISO 27001-certificaat bij DORA?

Ja, als bewijsmiddel en als fundament, maar het is niet voldoende. Reken op aanvullend werk rond het informatieregister, de meldketen en het testprogramma.

Welke is het strengst?

DORA, in de zin dat hij het meest concreet voorschrijft wat u moet doen en opleveren. NIS2 kent wel persoonlijke bestuurdersaansprakelijkheid, wat een andere soort strengheid is.

Moeten wij beide implementeren om veilig te zitten?

Nee, en dat zou dubbel werk zijn. Bepaal welke van de twee op uw entiteit van toepassing is en implementeer die. Gebruik de andere hooguit als inspiratie waar hij concreter is.