ISO 27001-aantoonbaarheid betekent dat beleid, risicoanalyse en beheersmaatregelen zichtbaar maken dat informatiebeveiliging in de organisatie daadwerkelijk werkt. In de praktijk lopen projecten vaak vast wanneer de scope te vaag blijft, het risicoregister te technisch of te algemeen wordt opgezet, en de Statement of Applicability pas laat in het traject wordt uitgewerkt.
ISO/IEC 27001:2022 is de internationale norm voor een Information Security Management System, meestal afgekort tot ISMS. De norm beschrijft hoe een organisatie informatiebeveiligingsrisico’s systematisch vaststelt, behandelt, monitort en verbetert, terwijl Annex A een referentieset met beheersmaatregelen biedt die op basis van risico’s geselecteerd en verantwoord worden.
Voor Nederlandse organisaties is vooral de aantoonbaarheid belangrijk. Een certificaat zegt niet dat elk incident wordt voorkomen en het is ook geen garantie op AVG-naleving. Het laat zien dat de organisatie een beheersysteem heeft ingericht, risico’s onderbouwd behandelt en periodiek controleert of maatregelen nog passen bij de praktijk. In Nederland wordt vaak verwezen naar NEN-EN-ISO/IEC 27001:2022, terwijl privacyteams daarnaast rekening houden met de AVG, guidance van de Autoriteit Persoonsgegevens en sectorale verwachtingen rond uitbesteding, continuïteit en gegevensbescherming.
Laatst inhoudelijk bijgewerkt: 2026. Deze uitleg is bedoeld als praktische normduiding op basis van publiek beschikbare informatie van onder meer ISO.org, NEN, ENISA en de Autoriteit Persoonsgegevens. De tekst is geen juridisch advies; bij vragen over AVG-verplichtingen, verwerkersovereenkomsten of sectorale toezichtseisen blijft gespecialiseerde juridische beoordeling noodzakelijk.
Wat ISO 27001 concreet van organisaties vraagt
De kern van ISO 27001 ligt in de clausules van de norm. Die gaan onder meer over de context van de organisatie, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Samen vormen zij de managementsysteemkant van ISO 27001: wie is verantwoordelijk, welke risico’s zijn relevant, welke doelen worden nagestreefd, welke processen zijn ingericht en hoe wordt verbetering geborgd.
Annex A ondersteunt dat managementsysteem met beveiligingsmaatregelen. Die maatregelen zijn geen automatische checklist waarbij alles altijd volledig moet worden ingevoerd. De organisatie moet op basis van haar risicobeoordeling bepalen welke maatregelen van toepassing zijn, welke niet, en waarom. Die keuzes worden vastgelegd in de Statement of Applicability, vaak de SoA genoemd.
Een belangrijk misverstand is dat ISO 27001 vooral om documentatie draait. Documenten zijn nodig, maar auditors toetsen ook of de gekozen werkwijze consequent wordt toegepast. Een toegangsbeleid zonder periodieke access review, een leveranciersprocedure zonder bewijs van beoordeling, of een incidentproces zonder lessons learned levert weinig aantoonbare werking op.
De stap van ISO 27001:2013 naar ISO 27001:2022
De 2022-versie heeft vooral invloed op hoe organisaties Annex A lezen en toepassen. De beheersmaatregelen zijn thematischer gegroepeerd en sluiten beter aan op moderne IT-omgevingen, waaronder cloudgebruik, SaaS-diensten, threat intelligence, secure coding, configuratiebeheer en datalekpreventie. Daardoor is de norm praktischer herkenbaar voor organisaties die inmiddels cloud-first werken of veel afhankelijk zijn van leveranciersplatformen.
Voor audits betekent dit dat bestaande maatregelen niet alleen opnieuw gemapt moeten worden, maar ook opnieuw beoordeeld moeten worden op relevantie. Een oude controlmapping uit 2013 kan administratief kloppen en toch inhoudelijk tekortschieten wanneer de organisatie inmiddels gevoelige persoonsgegevens verwerkt in meerdere SaaS-applicaties, remote werkt en cloudlogging slechts beperkt monitort.
Een bruikbaar voorbeeld is een risico rond datalekken via een SaaS-dienst. De dreiging is ongeautoriseerde toegang of ongecontroleerde export van persoonsgegevens. Relevante maatregelen kunnen liggen bij informatiebeveiligingsbeleid, assetmanagement, toegangsbeheer, logging, leveranciersbeheer en de 2022-control voor cloud services. Evidence bestaat dan niet uit één beleidsdocument, maar uit een verwerkersovereenkomst, classificatie van de SaaS-applicatie, toegangsreviews, logginginstellingen, exit-afspraken en periodieke leveranciersbeoordeling.
Scope: de eerste beslissing die het projectrisico bepaalt
De scope bepaalt welke processen, locaties, systemen, teams en informatie-assets onder het ISMS vallen. In de praktijk bepaalt deze keuze een groot deel van het projectrisico, omdat alles wat binnen scope valt aantoonbaar bestuurd, gemonitord en geaudit moet kunnen worden. Een te brede scope kan leiden tot veel uitzonderingen en zwakke bewijsvoering; een te smalle scope kan voor klanten of toezichthouders onvoldoende relevant zijn.
Een verstandige scope is auditbaar en onderhoudbaar. Een mkb-SaaS-bedrijf kan bijvoorbeeld starten met het ontwikkel-, hosting- en supportproces voor één platform, inclusief cloudinfrastructuur, klantdata, servicedesk en kernleveranciers. HR, finance en kantoorautomatisering kunnen later worden toegevoegd als zij geen direct onderdeel vormen van de gecertificeerde dienstverlening, mits de scopeverklaring dat helder maakt en interfaces goed worden beheerst.
| Keuze | Praktische afweging | Audit-implicatie |
|---|
| Smal of breed | Begin met kritieke processen wanneer bewijsvoering nog volwassen moet worden; kies breder wanneer klanten volledige organisatiedekking verwachten. | De auditor kijkt of de scope logisch, volledig beschreven en niet misleidend is. |
| Groepsmodel of per entiteit | Een centraal ISMS kan efficiënt zijn bij uniforme processen; aparte entiteiten passen beter bij verschillende risico’s, landen of diensten. | Er moet bewijs zijn dat centrale maatregelen lokaal werken. |
| Direct naar 2022 of eerst afronden | Bij nieuwe trajecten ligt ISO/IEC 27001:2022 voor de hand; bij lopende trajecten hangt de keuze af van auditplanning en bestaande documentatie. | Mapping, SoA en auditcriteria moeten consistent zijn met de gekozen normversie. |
Een scope-statement hoeft niet lang te zijn, maar wel precies. Een werkbare formulering kan zijn: “Het ISMS is van toepassing op de ontwikkeling, hosting, het beheer en de ondersteuning van het klantportaal voor zakelijke klanten, inclusief de cloudomgeving, servicedeskprocessen, betrokken medewerkers en kritieke leveranciers die toegang hebben tot klantgegevens.” Zo’n verklaring maakt duidelijk wat binnen scope valt en voorkomt dat de audit discussieert over impliciete aannames.
Risicobeoordeling en risicoregister zonder schijnzekerheid
ISO 27001 verwacht dat risico’s worden vastgesteld en behandeld volgens een methode die de organisatie zelf kiest en consequent toepast. De methode moet herhaalbaar zijn: dezelfde soort risico’s moeten op dezelfde manier worden beoordeeld, met duidelijke criteria voor waarschijnlijkheid, impact, risicoacceptatie en risicobehandeling.
Veel organisaties maken hun risicoregister te technisch of te grof. Een lijst met kwetsbaarheidstickets is geen strategisch risicoregister, maar een tabel waarin elk risico “hoog” scoort helpt evenmin. Een bruikbare structuur verbindt asset, dreiging, kwetsbaarheid, impact, eigenaar en maatregel. Daardoor blijft duidelijk waarom een control is gekozen en wie verantwoordelijk is voor opvolging.
| Element | Voorbeeld |
|---|
| Asset | SaaS-klantdatabase met persoonsgegevens |
| Dreiging | Ongeautoriseerde toegang via gecompromitteerd account |
| Kwetsbaarheid | Geen periodieke review van beheerdersrechten |
| Maatregel | Multifactorauthenticatie, logging, kwartaalreview van privileged access |
| Eigenaar | IT Operations Manager |
| Evidence | Reviewverslagen, loggingrapporten, wijzigingsregistraties en uitzonderingenlijst |
De koppeling met de AVG is hier praktisch, maar niet één-op-één. Wanneer persoonsgegevens worden verwerkt, moeten risico’s voor betrokkenen en verplichtingen rond beveiliging, datalekken en verwerkers worden meegenomen. ISO 27001 biedt een beheersysteem om die risico’s gestructureerd te behandelen, terwijl de AVG eigen juridische eisen stelt. De Autoriteit Persoonsgegevens beoordeelt privacyverplichtingen niet op basis van een ISO-certificaat alleen.
Statement of Applicability: het kruispunt tussen risico’s en Annex A
De Statement of Applicability is een van de meest gelezen documenten in een ISO 27001-audit. De SoA laat zien welke Annex A-maatregelen van toepassing zijn, waarom zij wel of niet zijn geselecteerd, hoe zij zijn geïmplementeerd en waar bewijs te vinden is. De SoA is daarmee geen administratieve bijlage, maar de brug tussen risicobeoordeling, beleid, processen en auditbewijs.
Een mini-SoA voor cloudleveranciers kan bijvoorbeeld vermelden dat de cloudservices-control van toepassing is omdat klantdata in een externe cloudomgeving wordt verwerkt. De implementatie verwijst dan naar leveranciersselectie, contractuele beveiligingseisen, verwerkersovereenkomst, logging, toegangsbeheer, exit-plan en periodieke beoordeling. Als een maatregel niet van toepassing wordt verklaard, moet de motivatie concreet zijn. “Niet relevant” is zelden genoeg; de auditor verwacht te zien waarom het risico of de situatie buiten scope valt.
De SoA moet bovendien aansluiten op de dagelijkse werkpraktijk. Wanneer het document zegt dat leveranciers jaarlijks worden beoordeeld, moet er bewijs zijn van die beoordeling. Wanneer secure coding is geselecteerd, moet de organisatie kunnen laten zien hoe ontwikkelaars eisen toepassen, hoe code reviews verlopen en hoe kwetsbaarheden worden opgevolgd.
Leiderschap, rollen en de drie lijnen
ISO 27001 vereist zichtbaar leiderschap. Het management moet niet alleen het informatiebeveiligingsbeleid goedkeuren, maar ook middelen beschikbaar stellen, verantwoordelijkheden beleggen, risicoacceptatie beoordelen en managementreviews uitvoeren. Zonder die betrokkenheid blijft het ISMS vaak hangen in operationele beveiligingsactiviteiten zonder bestuurlijke sturing.
De rolverdeling wordt sterker wanneer organisaties onderscheid maken tussen eerste, tweede en derde lijn. De eerste lijn voert processen uit en beheert risico’s in de dagelijkse operatie. De tweede lijn, bijvoorbeeld security, privacy of compliance, stelt kaders, monitort en adviseert. De derde lijn, vaak interne audit of een onafhankelijke auditfunctie, toetst periodiek of het systeem werkt zoals bedoeld.
Wie het traject inhoudelijk trekt, heeft kennis nodig van norminterpretatie, risicobehandeling, auditbewijs en organisatieverandering. Een educatieve route zoals de ISO-cursussen en certificeringen van Readynez kan helpen om die begrippen te structureren, maar het project blijft afhankelijk van lokale proceskennis, eigenaarschap en besluitvorming.
Wat auditors feitelijk toetsen
Een certificeringsaudit kijkt naar opzet, bestaan en werking. Opzet betekent dat processen, beleid, risicoanalyse en maatregelen logisch zijn ontworpen. Bestaan betekent dat zij daadwerkelijk zijn geïmplementeerd. Werking betekent dat de organisatie kan aantonen dat maatregelen over tijd effectief worden toegepast, gemonitord en verbeterd.
Evidence komt daarom uit verschillende bronnen: beleid, risicoacceptaties, tickets, configuratie-exporten, toegangsreviews, incidentregistraties, leveranciersbeoordelingen, interne audits, managementreviews en corrigerende acties. Een auditor vraagt doorgaans niet alleen “heeft u beleid?”, maar ook “laat zien wanneer dit voor het laatst is toegepast, welke afwijkingen zijn gevonden en wat daarmee is gedaan”.
De PDCA-cyclus is hierbij praktisch. Plan gaat over context, scope, risico’s en doelstellingen. Do gaat over implementatie van maatregelen. Check bestaat uit monitoring, interne audits, metingen en managementreview. Act draait om corrigerende maatregelen en verbetering. Organisaties die alleen in de Do-fase investeren, bouwen veel controles maar missen bewijs dat het ISMS leert van afwijkingen en incidenten.
Een realistische certificeringsaanpak
Een ISO 27001-traject verloopt meestal in fasen, maar de duur hangt af van scope, volwassenheid, beschikbaarheid van bewijs, technische complexiteit en afhankelijkheid van leveranciers. Een organisatie met bestaande securityprocessen en duidelijke eigenaren kan sneller aantoonbaarheid opbouwen dan een organisatie waar beleid, assetmanagement en risicobeoordeling nog moeten worden ingericht.
- Definieer de scope en bepaal welke processen, systemen, locaties en leveranciers binnen het ISMS vallen.
- Kies een risicomethode en bouw een risicoregister met eigenaarschap en acceptatiecriteria.
- Werk de SoA uit en koppel Annex A-maatregelen aan risico’s, implementatie en bewijsbronnen.
- Implementeer ontbrekende maatregelen en verzamel bewijs van toepassing over een redelijke periode.
- Voer een interne audit en managementreview uit voordat de externe audit start.
- Behandel afwijkingen en verbeterpunten aantoonbaar, inclusief eigenaar en deadline.
Een anoniem Nederlands voorbeeld maakt dit tastbaar. Een middelgrote softwareleverancier koos ervoor om niet direct de hele organisatie te certificeren, maar eerst het klantplatform, supportproces en cloudbeheer binnen scope te brengen. De belangrijkste risico’s betroffen beheerdersrechten, logging, verwerkersafspraken en exit-mogelijkheden bij cloud- en supportleveranciers. De SoA selecteerde daarom maatregelen rond cloud services, toegangsbeheer, leveranciersrelaties, incidentmanagement en secure development. Tijdens de interne audit bleek dat beleid aanwezig was, maar leveranciersmonitoring nog onvoldoende bewijs opleverde. Door beoordelingscriteria, contractregistratie en periodieke reviews toe te voegen, werd de werking beter aantoonbaar.
Leveranciers, verwerkers en Nederlandse context
Leveranciersmanagement is voor veel organisaties een zwakke plek, vooral bij SaaS, managed services en cloudplatformen. ISO 27001 verwacht dat leveranciersrisico’s worden geïdentificeerd en beheerst. In de Nederlandse praktijk raakt dit vaak direct aan AVG-verplichtingen, omdat leveranciers persoonsgegevens verwerken of toegang hebben tot systemen waarin persoonsgegevens staan.
Een volwassen aanpak omvat selectiecriteria, beveiligingseisen in contracten, verwerkersovereenkomsten waar nodig, beoordeling van assurance-rapportages, monitoring van incidentmeldingen en exit-afspraken. De AP benadrukt in haar algemene guidance dat organisaties verantwoordelijk blijven voor zorgvuldige omgang met persoonsgegevens, ook wanneer verwerking is uitbesteed. ISO 27001 helpt om die verantwoordelijkheid procesmatig te organiseren, maar vervangt de juridische beoordeling van verwerkingsrollen en contracten niet.
Ook sectorale eisen kunnen meespelen. Zorg, financiële dienstverlening, overheid en vitale infrastructuur kennen aanvullende verwachtingen rond continuïteit, logging, incidentmelding of leveranciersketens. ISO 27001 kan daar een basis voor bieden, maar het projectteam moet expliciet vaststellen welke aanvullende kaders relevant zijn. ENISA-publicaties over cloudsecurity en supply chain-risico’s kunnen daarbij richting geven, naast nationale en sectorale guidance.
Van normtekst naar werkend ISMS
De waarde van ISO 27001 ontstaat wanneer de norm wordt vertaald naar beslissingen die in de organisatie vol te houden zijn. Een beperkte maar goed onderbouwde scope, een begrijpelijk risicoregister, een levende SoA en bewijs van periodieke verbetering zijn sterker dan een groot pakket documenten dat niemand gebruikt.
Training kan nuttig zijn wanneer projectleiders, security officers of proceseigenaren dezelfde taal moeten spreken over risico’s, controls en auditbewijs. Readynez biedt naast losse ISO-trainingen ook security trainingstrajecten voor organisaties die ISO 27001 willen verbinden met bredere beveiligingsvaardigheden.
De meest praktische volgende stap is het toetsen van de huidige scope, het risicoregister en de SoA aan de vraag die een auditor uiteindelijk stelt: kan de organisatie aantonen dat gekozen maatregelen werken en dat afwijkingen leiden tot verbetering? Wie daar gericht antwoord op kan geven, staat sterker in een certificeringsaudit en bouwt tegelijk een ISMS dat buiten de audit waarde heeft. Neem bij opleidingsvragen of het plannen van een passend leertraject contact op met Readynez.
FAQ
Wat is ISO 27001?
ISO 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging. De norm helpt organisaties om informatiebeveiligingsrisico’s gestructureerd te identificeren, behandelen, monitoren en verbeteren.
Is ISO 27001 hetzelfde als AVG-compliance?
Nee. ISO 27001 kan helpen om beveiligingsmaatregelen, leveranciersbeheer en risicobehandeling rond persoonsgegevens aantoonbaar te organiseren, maar de AVG bevat eigen juridische verplichtingen. Een ISO 27001-certificaat vervangt geen privacybeoordeling, DPIA of juridisch advies wanneer die nodig zijn.
Wat is Annex A in ISO 27001:2022?
Annex A is de referentieset met beveiligingsmaatregelen die organisaties gebruiken bij risicobehandeling. In de 2022-versie zijn de maatregelen thematisch ingedeeld en beter aangesloten op moderne onderwerpen zoals cloudservices, threat intelligence, secure coding en datalekpreventie.
Wat is een Statement of Applicability?
De Statement of Applicability, of SoA, legt vast welke Annex A-maatregelen van toepassing zijn, waarom zij zijn gekozen of uitgesloten, hoe zij zijn geïmplementeerd en welk bewijs beschikbaar is. Auditors gebruiken de SoA vaak als ingang om de samenhang tussen risico’s, controls en bewijs te toetsen.
Waar letten auditors vooral op?
Auditors letten op opzet, bestaan en werking. Zij willen zien dat het ISMS logisch is ontworpen, daadwerkelijk is geïmplementeerd en over tijd aantoonbaar functioneert via metingen, interne audits, managementreviews, incidentopvolging en corrigerende acties.
