Beide tonen NIS2-compliance aan
Voor de regelmatige conformiteitsbeoordeling van essentiële entiteiten voorziet het Belgische kader drie routes: CyFun, ISO/IEC 27001 of rechtstreekse inspectie door het CCB. Welke route logisch is, hangt af van wat u al heeft, de gewenste scope en de manier waarop u de werking wil organiseren.
De vergelijking in het kort
| CyFun (CyberFundamentals) | ISO 27001 | |
|---|---|---|
| Wat het is | Belgisch framework van het CCB, gratis te gebruiken | Internationale norm (ISO/IEC), met betalende certificering |
| Aanpak | Concrete maatregelenset in niveaus (Small, Basic, Important, Essential); niveau kiest u risicogestuurd | Een managementsysteem (ISMS) dat u zelf inricht, met een Statement of Applicability |
| Erkend voor NIS2 | Ja, via verificatie (Basic/Important) of certificering (Essential) | Ja, via uw ISO-documentatie |
| Instapdrempel | Laag, zeker op niveau Basic | Hoger; vraagt een volwaardig managementsysteem |
| Kosten | Framework gratis; kosten zitten in implementatie en verificatie | Certificeringskosten plus jaarlijkse opvolgingsaudits |
| Internationale erkenning | Belgisch georiënteerd | Wereldwijd erkend, handig bij internationale klanten en aanbestedingen |
| Bewijs / verificatie | Zelfevaluatie als basis; verificatie voor Basic/Important en certificering voor Essential via een geaccrediteerde en erkende CAB | Certificering via een geaccrediteerde certificatie-instelling |
| Basis | Steunt onder meer op NIST CSF 2.0, ISO 27001/27002, CIS Controls en IEC 62443 | Eigen normkader rond een ISMS en de bijhorende maatregelen |
Let op de CyFun-versie. Sinds oktober 2025 bestaan CyFun 2023 en CyFun 2025 naast elkaar; ze blijven allebei geldig tot 18 april 2027, waarna uw met de nieuwste versie verder werkt.
Wanneer ik eerst naar CyFun zou kijken
- Het framework is gratis en meteen bruikbaar.
- U kan het assurance level risicogestuurd bepalen en de maatregelen systematisch opbouwen.
- De maatregelen zijn concreet beschreven en geven daardoor snel een bruikbaar vertrekpunt.
- De niveaukeuze is risicogestuurd en afgestemd op NIS2.
- Er is een officiële self-assessment, wat een aantoonbaar resultaat versnelt.
Wanneer ISO/IEC 27001 logischer kan zijn
- U bent al ISO 27001-gecertificeerd of zit er dichtbij.
- Internationale klanten of aanbestedingen verwachten expliciet ISO.
- U maakt deel uit van een groep die ISO oplegt.
- U wil een breed managementsysteem uitbouwen dat verder gaat dan het NIS2-minimum.
Hoe kies u?
Ik zou vooral kijken naar u huidige situatie, klantcontext en gewenste scope. Enkele herkenbare situaties:
- Kleine of middelgrote kmo zonder certificering, die vooral tijdig NIS2-compliant wil zijn → meestal CyFun (Basic of Important).
- Al ISO 27001 of ver gevorderd → de ISO-route, met indiening van u Statement of Applicability.
- Internationale klanten die ISO vragen → ISO, eventueel naast CyFun.
- Niet zeker van uw scope of niveau → begin met de scope-check en een gap-analyse.
Het is trouwens geen strikt of-of: sommige organisaties starten met CyFun en groeien later door naar ISO 27001.
baseer u keuze op de officiële bronnen: het CyberFundamentals-framework en de CyFun-toolbox met self-assessment (CCB), en de NIS2-pagina van het CCB. ISO 27001-certificering verloopt via een geaccrediteerde certificatie-instelling. InfoSafety verkoopt geen certificaten en adviseert daardoor onafhankelijk over de route die bij u past.