wij zijn niet iso 27001 gecertificeerd maar doen wel veel aan security, wat vul ik in

Nee-op-certificaat, ja-op-praktijk kan allebei waar zijn

Ja, dat mag — mits je het los behandelt van de vraag naar het certificaat zelf. Een ISO 27001-vraag in een vragenlijst is meestal een gesloten ja/nee over het bezit van het certificaat. Heb je dat niet, dan is "nee" het feitelijk juiste antwoord op die specifieke vraag, en daar helpt geen toelichting aan. Wat wel kan: veel vragenlijsten stellen ná of náast de certificaatvraag ook losse vragen over de onderliggende maatregelen — risicoanalyse, toegangsbeheer, incidentafhandeling. Die beantwoord je op hun eigen merites, met hun eigen bewijs, ongeacht het certificaat.

De verwarring ontstaat omdat certificering en maatregelen dezelfde inhoud raken maar geen synoniem zijn. Een auditor die Annex A langsloopt en een bedrijf dat "gewoon" MFA, back-ups en een incidentproces heeft ingericht, kunnen materieel dezelfde controls hebben — het verschil is dat de één een onafhankelijke toets en een certificaat heeft, de ander niet. In het ketendossier zet je dus twee losse antwoorden neer: bij de certificaatvraag "nee", en bij de vraag naar bijvoorbeeld meerfactorauthenticatie of de behandeling van beveiligingsincidenten het feitelijke antwoord met het bewijsstuk dat je daarvoor hebt — een beleidsdocument, een configuratie-export, een procesbeschrijving. Nooit het één invullen als bewijs voor het ander.

Annex A en artikel 21 lid 2 overlappen, maar zijn niet inwisselbaar

ISO/IEC 27001 Annex A beschrijft de beheersmaatregelen die een gecertificeerd managementsysteem moet dekken; Richtlijn (EU) 2022/2555 artikel 21 lid 2 noemt de tien maatregelen die onder NIS2 verplicht zijn voor entiteiten die onder die richtlijn vallen. Beide lijsten noemen risicobeheer, toegang, crypto en incidentrespons, maar de ene is een certificeringsnorm met een auditor die toetst, de andere is wetgeving zonder certificeringsplicht. Een "nee" op het certificaat zegt dus niets over of iemand voldoet aan artikel 21 lid 2 — dat is een aparte vraag, die pas relevant wordt zodra vaststaat of de onderneming zelf onder de NIS2-richtlijn of de Cyberbeveiligingswet valt.