CyFun of ISO 27001? Dat is de eerste vraag die de meeste Belgische organisaties stellen zodra ze weten dat ze onder NIS2 vallen. Beide kunnen u een vermoeden van conformiteit met de Belgische NIS2-wet opleveren, beide worden beoordeeld door een onafhankelijke instantie en ze bestrijken grotendeels hetzelfde terrein. Toch zijn ze niet inwisselbaar: CyFun® is een gratis, Belgisch raamwerk van concrete maatregelen met drie zekerheidsniveaus, ISO/IEC 27001 is een internationale norm voor een managementsysteem met een certificeringscyclus. Kort gezegd: CyFun® is meestal de snelste route voor een Belgische kmo die vooral het CCB moet overtuigen; ISO 27001 loont zodra internationale klanten erom vragen; en veel organisaties combineren uiteindelijk beide. Deze gids vergelijkt ze punt voor punt, met de deadlines zoals het Centrum voor Cybersecurity België (CCB) ze publiceert.
In het kort
- CyFun® (CyberFundamentals) is het raamwerk van het CCB, met drie zekerheidsniveaus: Basic, Important en Essential. Basic en Important worden geverifieerd; Essential wordt gecertificeerd.
- Volgens de NIS2-wet van 26 april 2024 en het koninklijk besluit van 9 juni 2024 moeten essentiële entiteiten een regelmatige conformiteitsbeoordeling ondergaan: CyFun®, ISO/IEC 27001 of een inspectie door het CCB.
- Een ISO 27001-certificaat telt alleen mee als de scope de hele organisatie dekt en de verklaring van toepasselijkheid gelijkwaardig is aan het toepasselijke CyFun®-niveau.
- Sleuteldatum van het CCB: tegen 18 april 2027 moeten essentiële entiteiten conformiteit op Essential-niveau aantonen, of een remediëringsplan indienen om dat niveau te halen tegen 18 april 2028.
- Belangrijke entiteiten hebben geen formaliteit te vervullen, maar moeten de maatregelen wel toepassen; een vrijwillige verificatie geeft hen een vermoeden van conformiteit.
Wat is CyFun (CyberFundamentals)?
Het CyberFundamentals Framework (CyFun®) is een geheel van concrete cyberbeveiligingsmaatregelen, gepubliceerd door het CCB. Het steunt op het NIST Cybersecurity Framework, ISO/IEC 27001 en 27002, de CIS Critical Security Controls en IEC 62443, en gebruikt geanonimiseerde gegevens over echte cyberaanvallen om de maatregelen te kiezen die er het meest toe doen. Het raamwerk en de zelfevaluatietools zijn gratis.
Er bestaan twee versies naast elkaar: CyFun® 2023 en CyFun® 2025. Die laatste is afgestemd op NIST CSF 2.0 en NIS2, met meer aandacht voor de toeleveringsketen, operationele technologie (OT) en governance op bestuursniveau. Volgens het CCB kunnen entiteiten tot 18 april 2027 kiezen welke versie ze toepassen; na de overgangsperiode wordt alleen de nieuwe versie nog aanvaard.
Elke maatregel krijgt een maturiteitsscore van 1 tot 5, zowel voor het beleid (wat op papier staat) als voor de implementatie (wat in de praktijk gebeurt). Om te slagen moet u de globale maturiteitsdrempel van uw niveau halen en aan elke kernmaatregel voldoen: de onmisbare maatregelen zoals back-ups, multifactorauthenticatie of patchbeheer.
| CyFun®-niveau | Ontworpen tegen | Conformiteitsbeoordeling | Typisch profiel |
|---|---|---|---|
| Basic | Gekende, courante cyberrisico’s, met maatregelen die meestal al beschikbaar zijn | Verificatie door een erkende CAB (verificatieverklaring) | Kleine belangrijke entiteiten, leveranciers van wie een basisniveau wordt gevraagd |
| Important | Gerichte aanvallen door actoren met gangbare vaardigheden en middelen | Verificatie door een erkende CAB (verificatieverklaring) | De meeste belangrijke entiteiten, essentiële entiteiten in het overgangstraject |
| Essential | Geavanceerde aanvallen door actoren met uitgebreide vaardigheden en middelen | Certificering door een erkende CAB (certificaat) | Essentiële entiteiten, tenzij de risicoanalyse een lager niveau verantwoordt |
De niveaus zijn cumulatief: Important bevat Basic, en Essential bevat beide. Zodra de conformiteitsbeoordeling is afgerond, kunt u een CyFun®-label aanvragen via het Safeonweb@work-portaal.
Wat is ISO 27001?
ISO/IEC 27001:2022 is de internationale norm voor een managementsysteem voor informatiebeveiliging (ISMS). Ze legt geen vaste lijst van maatregelen op: ze vraagt dat u een managementsysteem laat draaien (context, leiderschap, risicoanalyse, interne audit, managementreview, continue verbetering) en dat u uit de 93 maatregelen van bijlage A diegene kiest die uw risico’s vereisen, gemotiveerd in een verklaring van toepasselijkheid (VvT, of SoA). Een geaccrediteerde certificatie-instelling reikt het certificaat uit voor drie jaar, met minstens één toezichtsaudit per kalenderjaar en een hercertificatieaudit vóór het verloopt. Voor de audit zelf, zie onze gids over ISMS en de ISO 27001-audit.
Vermoeden van conformiteit in de Belgische NIS2-wet
De Belgische NIS2-wet van 26 april 2024, van kracht sinds 18 oktober 2024, en het koninklijk besluit van 9 juni 2024 bouwen de conformiteitsbeoordeling rond CyFun® op. Een vermoeden van conformiteit verkrijgt u via een CyFun®-verificatie (Basic en Important), een CyFun®-certificering (Essential) of een ISO/IEC 27001-certificering, op voorwaarde dat het CCB de scope en de verklaring van toepasselijkheid aanvaardbaar vindt. Voor essentiële entiteitenis een regelmatige conformiteitsbeoordeling verplicht, via een van drie routes: CyFun®-certificering of -verificatie door een erkende CAB, ISO/IEC 27001-certificering door een erkende CAB, of een beoordeling door de inspectiedienst van het CCB. Belangrijke entiteiten kunnen er vrijwillig voor kiezen; ze hebben geen administratieve formaliteit te vervullen, maar het CCB kan bewijs vragen dat de maatregelen genomen zijn, bijvoorbeeld na een incident. Twijfelt u in welke categorie u valt? Begin bij NIS2-sectoren: wie moet voldoen in België.
De ISO 27001-route: twee voorwaarden van het CCB
- Scope: de conformiteitsbeoordeling betreft de organisatie als geheel, tenzij IT/OT-omgevingen fysiek en/of technisch gescheiden zijn, zodat het uitgesloten deel de risico’s van het deel binnen de scope niet kan beïnvloeden. De verklaring van toepasselijkheid volgt dezelfde scope.
- Gelijkwaardigheid: de verklaring van toepasselijkheid moet maatregelen aantonen die gelijkwaardig zijn aan het CyFun®-niveau dat voor u geldt. Het CCB vergelijkt uw VvT met de overeenkomstige CyFun®-maatregelen, wat in de praktijk een gedocumenteerde mapping vraagt.
In beide routes moet de beoordelaar een conformiteitsbeoordelingsinstantie zijn die geaccrediteerd is (in België door BELAC) en erkend door het CCB; het CCB publiceert de lijst van erkende CAB’s.
Deadlines voor essentiële entiteiten, zoals gepubliceerd door het CCB
| Datum | CyFun®-route | ISO 27001-route |
|---|---|---|
| 18 april 2026 (verstreken) | Minstens een CyFun® Basic- of Important-verificatieverklaring van een erkende CAB | Scope van de toekomstige certificering, verklaring van toepasselijkheid en meest recente interne audit bezorgd aan het CCB |
| 18 april 2027 | CyFun® Essential-certificaat (als Essential het toepasselijke niveau is) | ISO 27001-certificaat met een verklaring van toepasselijkheid die gelijkwaardig is aan CyFun® Essential |
| 18 april 2028 (overgangsaanpak) | Essential behaald, als in 2027 een remediëringsplan met een CyFun® Important-verificatie werd ingediend | Gelijkwaardigheid met Essential behaald, als in 2027 een remediëringsplan met een ISO-certificaat en een VvT op Important-niveau werd ingediend |
De overgangsaanpak komt uit een mededeling van de inspectiedienst van het CCB die in augustus 2026 naar de essentiële entiteiten is verstuurd; ze wijzigt de wettelijke termijnen niet. Een entiteit waarvan de risicoanalyse een lager CyFun®-niveau verantwoordt (artikel 7 van het koninklijk besluit), moet tegen 18 april 2027 haar conformiteit met dat niveau aantonen en die verantwoording documenteren. Organisaties die later onder het toepassingsgebied vielen, controleren hun eigen tijdlijn best bij het CCB. Bron: FAQ van het CCB over NIS2 en CyberFundamentals.
CyFun vs ISO 27001: de vergelijking
| CyFun® | ISO/IEC 27001 | |
|---|---|---|
| Aard | Raamwerk van concrete beveiligingsmaatregelen, per maturiteitsniveau | Norm voor een managementsysteem (ISMS) plus 93 maatregelen uit bijlage A, gekozen op basis van risico |
| Uitgever | Centrum voor Cybersecurity België (CCB) | ISO en IEC |
| Scope voor NIS2 | Hele organisatie (enige uitzondering: IT/OT-scheiding) | Hele organisatie, zelfde regel, plus een VvT gemapt op CyFun® |
| Internationale erkenning | Ontworpen voor België, groeiende erkenning in het buitenland, weinig gekend bij buitenlandse klanten | Wereldwijd; de referentie waar klanten en aanbestedingen naar vragen |
| Inspanning | Lichter: voorschrijvende maatregelen, zelfevaluatietool, stapsgewijze niveaus | Zwaarder: risicomethode, gedocumenteerd ISMS, interne audit, managementreview |
| Kostprijs (grootteorde) | Raamwerk gratis; u betaalt de implementatie en de CAB. Doorgaans het lichtste budget | Betalende norm, meer consultancydagen, auditdagen bepaald door het personeelsbestand. Doorgaans het zwaarste budget |
| Beoordeling | Verificatie (Basic, Important) of certificering (Essential) door een CAB erkend door het CCB | Certificatieaudit in twee fasen door een geaccrediteerde certificatie-instelling (erkend door het CCB voor NIS2) |
| Hernieuwing | Periodieke herbeoordeling volgens het CyFun®-conformiteitsbeoordelingsschema; vraag de cyclus na bij uw CAB | Certificaat van 3 jaar, minstens jaarlijkse toezichtsaudits, daarna hercertificering |
| Vermoeden van NIS2-conformiteit | Rechtstreeks, op het geverifieerde of gecertificeerde niveau | Enkel als het CCB de scope en de VvT aanvaardt |
Voor indicatieve budgetten en doorlooptijden aan de ISO-kant, lees wat een ISO 27001-certificering kost in België.
CyFun of ISO 27001: wat kiezen?
Het juiste antwoord hangt minder af van het raamwerk dan van wie uw beveiliging moet vertrouwen. Vier veelvoorkomende profielen:
1. Kmo, belangrijke entiteit, Belgische klanten
Begin met CyFun® Basic of Important. U hebt geen formaliteit te vervullen, maar u moet de maatregelen toepassen en dat kunnen bewijzen. Een CyFun®-verificatie geeft u een vermoeden van conformiteit, een label dat u aan klanten kunt tonen en een duidelijke, voorschrijvende takenlijst, zonder de last van een volledig ISMS. ISO 27001 kunt u later altijd op dezelfde fundamenten toevoegen.
2. Essentiële entiteit
Kies de route die uw bewijs nu al ondersteunt. Hebt u een ISO 27001-certificaat voor de hele organisatie, of bent u er dichtbij, vul de verklaring van toepasselijkheid dan aan met een mapping op CyFun® Essential. Zo niet, dan is de CyFun®-route (nu een Important-verificatie, daarna een Essential-certificering) doorgaans de kortste weg naar de mijlpaal van 18 april 2027 of het overgangsdoel van 2028. Documenteer in elk geval de risicoanalyse die uw niveau verantwoordt.
3. Multinational of groep met Belgische entiteiten
ISO 27001 als gemeenschappelijke taal, CyFun® als Belgische laag. Een ISMS op groepsniveau is makkelijker over landsgrenzen heen te beheren en wordt door elke toezichthouder en klant erkend. Controleer voor de Belgische NIS2-entiteiten of de scope van het certificaat hen echt als geheel dekt, en voeg de CyFun®-mapping toe aan de verklaring van toepasselijkheid. Het CCB publiceerde op de CyFun®-website richtlijnen voor entiteiten die deel uitmaken van een grotere organisatie.
4. Leverancier die door klanten wordt aangesproken
NIS2 maakt uw klanten verantwoordelijk voor de beveiliging van hun toeleveringsketen, dus komen vragenlijsten en contractclausules terecht bij leveranciers die zelf geen NIS2-entiteit zijn. Zijn uw klanten Belgisch, dan is een CyFun® Basic- of Important-label een proportioneel antwoord. Zijn ze internationaal of vragen ze uitdrukkelijk naar „ISO 27001”, laat u dan certificeren. Vraag het na voor u investeert: veel aankoopdiensten aanvaarden het ene of het andere.
CyFun en ISO 27001 combineren
De twee vullen elkaar aan: ISO 27001 vertelt u hoe u beveiliging beheert, CyFun® vertelt u welkemaatregelen de Belgische toezichthouder verwacht. Een gecombineerde aanpak voorkomt dat u twee programma’s naast elkaar draait.
- Eén scope: definieer de ISMS-scope als de hele organisatie (of documenteer de IT/OT-scheiding), zodat ze zowel voor NIS2 als voor ISO geldt.
- Eén risicoanalyse: gebruik ze om uw CyFun®-niveau te bepalen met de selectietool van het CCB en om de ISO-risicobehandeling te sturen.
- Eén VvT, gemapt: gebruik de CyFun®-mapping van het CCB om elke CyFun®-eis van uw niveau aan maatregelen uit bijlage A te koppelen, en voeg de CyFun®-kernmaatregelen toe die bijlage A niet expliciet dekt.
- Eén bewijsbasis: voer de CyFun®-zelfevaluatie uit als onderdeel van uw interne audit, zodat maturiteitsscores en ISO-bewijs uit dezelfde registraties komen.
- Eén certificaat, twee toepassingen: certificeer het ISMS, bezorg scope en VvT aan het CCB en vraag, als dat nuttig is, een CyFun®-label aan op basis van uw ISO/IEC 27001:2022-certificaat, met bewijs voor elke kernmaatregel.
Voor de volledige koppeling tussen NIS2 en ISO 27001, lees NIS2 en ISO 27001 in België; om te weten waar u staat, begin met een ISO 27001 gap-analyse.
Hoe ICTLAB u helpt kiezen en uitvoeren
De compliancepraktijk van ICTLAB wordt geleid door Caner Korkut, ISO 27001 Lead Implementer. We vertrekken vanuit de regelgevende vraag (essentiële of belangrijke entiteit, welk CyFun®-niveau, welke klanten), raden de lichtste route aan die standhoudt en bouwen die vervolgens uit: risicoanalyse, CyFun®-zelfevaluatie, ISMS en mapping van de VvT, technische maatregelen en voorbereiding op de CAB. Bekijk onze begeleiding bij NIS2-compliance en begeleiding bij ISO 27001-certificering, of plan een verkennend gesprek van 30 minuten.
CyFun of ISO 27001: veelgestelde vragen
Is CyFun of ISO 27001 verplicht voor NIS2 in België?
Voor essentiële entiteiten is een regelmatige conformiteitsbeoordeling verplicht, en het CCB aanvaardt drie routes: CyFun®-certificering of -verificatie door een erkende conformiteitsbeoordelingsinstantie (CAB), ISO/IEC 27001-certificering door een erkende CAB, of een beoordeling door de inspectiedienst van het CCB. Belangrijke entiteiten hebben geen administratieve formaliteit te vervullen, maar moeten de NIS2-beveiligingsmaatregelen wel toepassen; een vrijwillige CyFun®-verificatie of ISO 27001-certificering geeft hen een vermoeden van conformiteit.
Welk CyFun-niveau heb ik nodig: Basic, Important of Essential?
Het niveau volgt uit uw risicoanalyse, ondersteund door de CyFun®-selectietool van het CCB. Voor essentiële entiteiten verwacht het CCB maatregelen op het niveau Essential, tenzij een gedocumenteerde risicoanalyse een lager niveau verantwoordt: een keuze die de entiteit op eigen verantwoordelijkheid maakt (artikel 7 van het koninklijk besluit van 9 juni 2024) en die de inspectiedienst kan toetsen. Belangrijke entiteiten mikken doorgaans op Basic of Important, afhankelijk van hun risicoprofiel.
Geeft een ISO 27001-certificaat automatisch een vermoeden van conformiteit met NIS2?
Nee. Het certificaat moet uitgereikt zijn door een geaccrediteerde CAB die door het CCB erkend is, de scope moet de hele organisatie dekken (uitsluitingen enkel voor fysiek of technisch gescheiden IT/OT-omgevingen) en de verklaring van toepasselijkheid moet maatregelen aantonen die gelijkwaardig zijn aan het CyFun®-niveau dat voor u geldt. Een smal certificaat voor één product of één vestiging volstaat doorgaans niet.
Wat moet een essentiële entiteit tegen 18 april 2027 klaar hebben?
Volgens het CCB ofwel een CyFun® Essential-certificaat, ofwel een ISO 27001-certificaat met een verklaring van toepasselijkheid die gelijkwaardig is aan CyFun® Essential. Entiteiten die daar nog niet staan, kunnen de overgangsaanpak van het CCB volgen: een remediëringsplan indienen met bewijs op CyFun® Important-niveau en een plan om Essential te halen tegen 18 april 2028. Entiteiten die een lager niveau verantwoord hebben, moeten tegen 18 april 2027 hun conformiteit met dat niveau aantonen.
Wat is het verschil tussen een CyFun-verificatie en een CyFun-certificering?
Verificatie geldt voor de niveaus Basic en Important: de CAB controleert uw zelfevaluatie en de kernmaatregelen en reikt een verificatieverklaring uit. Certificering geldt voor het niveau Essential: een grondigere audit, met bewijs van implementatie voor elke kernmaatregel, die tot een certificaat leidt. In beide gevallen moet de CAB geaccrediteerd zijn door BELAC (of een gelijkwaardige accreditatie-instelling) en erkend door het CCB.
Kun je CyFun en ISO 27001 combineren?
Ja, en voor veel organisaties is dat de efficiëntste optie. ISO 27001 levert het managementsysteem (risicoproces, interne audit, managementreview, continue verbetering) en CyFun® een basis van maatregelen die het CCB erkent. Door de CyFun®-eisen op te nemen in uw verklaring van toepasselijkheid dient één certificaat zowel uw internationale klanten als de Belgische NIS2-toezichthouder, en het CCB kan een CyFun®-label uitreiken op basis van een ISO/IEC 27001:2022-certificaat.
Is CyFun goedkoper dan ISO 27001?
Meestal wel. Het CyFun®-raamwerk en de zelfevaluatietools zijn gratis, en de niveaus Basic en Important worden geverifieerd in plaats van gecertificeerd. ISO 27001 vraagt extra werk voor het managementsysteem (gedocumenteerd ISMS, interne audits, managementreviews) en een certificeringscyclus van drie jaar met jaarlijkse toezichtsaudits. De echte kostprijs hangt af van uw omvang, scope en vertrekpunt; een gap-analyse geeft de betrouwbaarste raming.
Algemene informatie op basis van de Belgische NIS2-wet van 26 april 2024, het koninklijk besluit van 9 juni 2024, het CyFun®-raamwerk en de FAQ en mededelingen van het CCB zoals beschikbaar op 8 november 2026; geen juridisch advies. Het CCB kan zijn richtlijnen en termijnen bijwerken: controleer altijd de recentste versie op de websites van het CCB en Safeonweb@work.