wij zijn niet gecertificeerd maar de vragenlijst vraagt er wel naar

Geen certificaat invullen zonder onderbouwing te verzinnen

Zonder ISO 27001-certificaat vul je "nee" in bij de certificeringsvraag, en dat is geen probleem — een certificaat is niet verplicht, ook niet onder NIS2. Wat wel telt, is of de onderliggende maatregelen er zijn. De vragenlijst van je klant vraagt naar het certificaat meestal als kortste weg om te checken of je risicobeheer op orde is; zonder certificaat moet je dat langs een andere weg aantonen.

Kijk daarom niet alleen naar de ja/nee-vraag, maar naar wat erachter hangt. Vaak volgt er een vervolgvraag over concrete maatregelen: toegangsbeheer, incidentrespons, continuïteit. Dat zijn dezelfde onderwerpen als de Annex A-beheersmaatregelen van ISO 27001, en ook dezelfde onderwerpen als de tien maatregelen uit artikel 21 lid 2 NIS2. Als jouw ketendossier antwoorden heeft op of er beleid is voor risicoanalyse en de beveiliging van informatiesystemen en op of er een procedure is voor beveiligingsincidenten, dan vul je die vervolgvragen wél met een onderbouwd antwoord in, ook al staat er geen certificaat achter. Het systeem stelt dat antwoord voor uit je dossier; jij bevestigt het per vraag met ja of nee voordat het naar het portaal van je klant gaat.

Certificering en maatregelen zijn twee losse vragen

ISO/IEC 27001 kent het certificaat toe op basis van een audit tegen de beheersmaatregelen in Annex A; NIS2 (Richtlijn (EU) 2022/2555, artikel 21 lid 2) verplicht die tien maatregelen zelf, los van certificering. De Nederlandse Cyberbeveiligingswet zet die verplichting om en treedt op 15 augustus 2026 in werking. Een klant die naar het certificaat vraagt, toetst dus eigenlijk of jij aan de onderliggende maatregelen voldoet — het certificaat is het bewijsmiddel, niet de eis zelf. Of je zelf onder die verplichting valt, hangt af van of de onderneming onder de NIS2-richtlijn of de nationale omzetting valt; dat bepaalt hoe zwaar de vervolgvragen wegen, ook zonder certificaat.