Naar inhoud
IT-Checklist

Normen & wetgeving: checklist en advies

Laatst bijgewerkt: · Redactie IT-Checklist · Alle wijzigingen

Steeds meer klanten, verzekeraars en aanbestedingen vragen om informatiebeveiliging die je kunt aantonen. Soms is dat een certificaat zoals ISO 27001 of NEN 7510. Soms is het een wettelijke plicht, zoals DORA voor de financiële sector of de Cyber Resilience Act voor makers van software en slimme producten.

Dit thema helpt je bepalen welke regels voor jou gelden. En of je de basis hebt om dat aan te tonen: een beleid, een eigenaar, periodieke toetsing en bewaard bewijs.

Kijk waar jouw bedrijf staat op normen & wetgeving

De gratis IT-check stelt je deze vragen. Daarna zie je je score per thema en advies bij elk verbeterpunt. Je hebt geen account nodig.

Start de IT-check →

Waarom dit ertoe doet

Certificaten op de oude ISO/IEC 27001:2013-norm zijn sinds 31 oktober 2025 niet meer geldig. Heb je dat gemist, dan sta je bij een klantaudit of aanbesteding ineens zonder geldig certificaat.

Voor de Cyber Resilience Act geldt sinds 11 september 2026 de meldplicht voor actief misbruikte kwetsbaarheden in producten met digitale elementen. Verkoop je software of slimme apparaten, dan moet je die meldingen kunnen doen.

De 11 vragen in dit thema, met advies

Elke vraag beschrijft de situatie die je wilt hebben. Het label laat zien hoe zwaar de maatregel meetelt in je score. 'Eerst regelen' telt het zwaarst.

  1. Wij werken gestructureerd aan informatiebeveiliging, bijvoorbeeld volgens de ISO 27001-norm (beleid, risicoanalyse, maatregelen, periodieke evaluatie).

    Belangrijk

    Je hoeft niet meteen gecertificeerd te zijn: gebruik ISO 27001 als kapstok. Begin met een kort beveiligingsbeleid, een risicoanalyse en een jaarlijkse evaluatie.

    Geldt voor: mkb, bv

  2. Onze ISO 27001-certificering (indien aanwezig) is bijgewerkt naar de actuele 2022-versie van de norm.

    Belangrijk

    Certificaten op de oude ISO/IEC 27001:2013-norm zijn sinds 31 oktober 2025 niet meer geldig. Ben je gecertificeerd, controleer dan bij je certificerende instelling of je op de 2022-versie zit.

    Geldt voor: mkb, bv

  3. Onze beveiligingsmaatregelen worden periodiek getoetst, bijvoorbeeld met een interne controle, audit of pentest.

    Aanbevolen

    Plan minimaal jaarlijks een toetsmoment: loop de maatregelen na, laat een externe scan of pentest uitvoeren en verwerk de bevindingen.

    Geldt voor: mkb, bv

  4. Wij weten welke sectorspecifieke regels voor ons gelden, zoals DORA (financieel), NEN 7510 (zorg) of PCI DSS (kaartbetalingen).

    Aanbevolen

    Naast NIS2 en de AVG gelden er per sector eigen eisen: DORA voor financiële dienstverleners, NEN 7510 in de zorg, PCI DSS bij kaartbetalingen. Vraag je brancheorganisatie wat voor jou geldt.

  5. Onze afspraken en verantwoordelijkheden rond informatiebeveiliging staan in een kort, actueel beleid dat medewerkers kennen.

    Aanbevolen

    Een beveiligingsbeleid hoeft geen boekwerk te zijn: Ă©Ă©n Ă  twee A4 met de belangrijkste afspraken en wie waarvoor verantwoordelijk is. Bespreek het bij indiensttreding en jaarlijks.

    Geldt voor: mkb, bv

  6. Wij bewaren bewijs van onze maatregelen (instellingen, trainingen, tests), zodat we bij controles of incidenten kunnen aantonen wat we doen.

    Aanbevolen

    Leg vast wát je doet: screenshots van instellingen, presentielijsten van trainingen, testrapporten. Onder NIS2 en de AVG moet je maatregelen kunnen aantonen — en je verzekeraar vraagt er ook om.

  7. Wij volgen nieuwe wet- en regelgeving rond IT en beveiliging, bijvoorbeeld via een brancheorganisatie, nieuwsbrief of adviseur.

    Aanbevolen

    Wetgeving verandert snel (NIS2, AI-verordening, ISO-updates). Abonneer je op een nieuwsbrief van bijv. het Digital Trust Center (ministerie van EZ) — gratis en gericht op ondernemers.

  8. Wij loggen belangrijke gebeurtenissen in onze systemen (inlogpogingen, wijzigingen, foutmeldingen) en controleren deze logs periodiek op afwijkingen.

    Belangrijk

    Zet logging aan op je belangrijkste systemen (server, firewall, cloudomgeving) en spreek af wie de logs Ă©Ă©n keer per maand doorloopt op vreemde afwijkingen.

  9. Wij hebben een concreet cloudbeveiligingsbeleid: het is vastgelegd wie een nieuwe clouddienst mag opzetten, waar de data mag staan en wie er toegang toe heeft.

    Belangrijk

    Schrijf een half A4 met cloudregels: alleen de IT-verantwoordelijke zet nieuwe diensten op, data blijft binnen de EU tenzij anders afgesproken, en toegang wordt per dienst bijgehouden.

  10. Er is Ă©Ă©n persoon aangewezen die verantwoordelijk is voor de naleving van de AVG en (indien van toepassing) NIS2 binnen ons bedrijf.

    Aanbevolen

    Compliance zonder eigenaar verwatert. Wijs iemand aan als aanspreekpunt (kan de eigenaar zelf zijn) die overzicht houdt op verplichtingen, meldingen en documentatie.

  11. Werken wij in de zorg en hebben wij een NEN 7510-certificering? Dan is die bijgewerkt (of wordt uiterlijk 20 februari 2027 bijgewerkt) naar de NEN 7510:2024-versie van de norm.

    Aanbevolen

    Zorgorganisaties moeten uiterlijk 20 februari 2027 zijn overgestapt op NEN 7510:2024. Ben je gecertificeerd, plan de overgangsaudit dan tijdig in bij je certificerende instelling.

Hier begin je

  • Zet op Ă©Ă©n pagina welke normen en wetten voor jouw sector gelden. Schrijf erbij wie in het bedrijf daarvoor verantwoordelijk is.
  • Schrijf een kort informatiebeveiligingsbeleid dat medewerkers ook echt lezen. Wat zijn de afspraken en bij wie kun je terecht?
  • Bewaar bewijs van wat je doet. Denk aan schermafdrukken van instellingen, deelnamelijsten van trainingen en uitkomsten van tests.
  • Werk je in de zorg met een NEN 7510-certificaat? Plan de overstap naar NEN 7510:2024 vóór 20 februari 2027.

Veelgemaakte fouten

  • Een certificaat halen en het beleid daarna tot de volgende audit in een la laten liggen.
  • Logging aanzetten en de logs nooit bekijken. Een inbraak blijft dan maanden onopgemerkt.
  • Denken dat regels als DORA of de CRA alleen voor grote bedrijven gelden. Ook toeleveranciers krijgen eisen.

Officiële bronnen

Lees verder

Alle thema's in de checklist