Voordelen van ISO 27001 en ISO 31000 voor sterkere risico’s en audits

ISO 27001 is een norm om informatiebeveiliging aantoonbaar te beheersen; ISO 31000 geeft richting aan risicomanagement voor de bredere organisatie.

Het onderscheid is belangrijk omdat beide normen vaak in hetzelfde gesprek terechtkomen, maar verschillende vragen beantwoorden. ISO/IEC 27001:2022 beschrijft eisen voor een Information Security Management System, meestal afgekort als ISMS. ISO 31000:2018 beschrijft principes en richtlijnen voor risicomanagement, zonder een certificeringsmodel voor organisaties.

Voor CISO’s, risk managers, compliance officers en IT-leiders zit de waarde daarom niet in het kiezen van één norm als universele oplossing. De praktische vraag is welke norm het primaire probleem oplost: aantoonbare informatiebeveiliging, enterprise risk governance, of een combinatie van beide.

Het kernverschil tussen ISO 27001 en ISO 31000

ISO 27001 is een managementsysteemnorm. Een organisatie gebruikt de norm om een ISMS op te zetten, te onderhouden en continu te verbeteren binnen een gekozen scope, bijvoorbeeld een cloudplatform, een businessunit of de volledige organisatie. De norm vraagt om beleid, rollen, risicobeoordeling, risicobehandeling, prestatiemeting, interne audits, managementreviews en corrigerende maatregelen.

ISO 31000 is geen managementsysteemnorm in dezelfde zin en is niet bedoeld voor derde-partij certificering van een organisatie. De norm helpt bestuur, management en risicofuncties om risico’s op een consistente manier te definiëren, beoordelen, behandelen en rapporteren. Daardoor is ISO 31000 breder toepasbaar dan informatiebeveiliging alleen, bijvoorbeeld voor strategische, operationele, financiële, juridische en reputatierisico’s.

De bron van veel verwarring is dat ISO 27001 ook risicomanagement bevat. Dat klopt, maar binnen een specifieke context: risico’s voor de vertrouwelijkheid, integriteit en beschikbaarheid van informatie. ISO 31000 kijkt naar onzekerheid ten opzichte van organisatiedoelstellingen in bredere zin. Een cyberincident kan daardoor in ISO 27001 verschijnen als informatiebeveiligingsrisico, terwijl hetzelfde incident in een ISO 31000-gebaseerd enterprise risk framework ook wordt besproken als bedrijfscontinuïteitsrisico, financieel risico of strategisch reputatierisico.

Wanneer kiest een organisatie voor ISO 27001?

ISO 27001 ligt voor de hand wanneer klanten, toezichthouders, tenders of interne governance vragen om aantoonbare informatiebeveiliging. De norm is vooral nuttig wanneer een organisatie moet laten zien dat risico’s niet ad hoc worden beheerst, maar via een herhaalbaar managementsysteem. Dat bewijs wordt belangrijk bij leveranciersbeoordelingen, uitbesteding, SaaS-dienstverlening, gereguleerde sectoren en organisaties die gevoelige gegevens verwerken.

Een ISO 27001-traject begint meestal met het bepalen van de scope en context. Daarna volgen risicocriteria, risicobeoordeling, risicobehandeling en de Statement of Applicability, vaak SoA genoemd. Die SoA is een belangrijk auditobject: de organisatie legt daarin vast welke Annex A-maatregelen relevant zijn, welke zijn uitgesloten en waarom. In ISO/IEC 27001:2022 zijn de Annex A-maatregelen geordend in vier thema’s: organisatorisch, mensgericht, fysiek en technologisch.

Een veelgemaakte fout is om Annex A te behandelen als een standaardchecklist die volledig moet worden afgevinkt. De norm vraagt juist om een risicogebaseerde selectie. De betere volgorde is eerst context en criteria bepalen, daarna risico’s beoordelen, vervolgens behandeling kiezen, daarna de SoA onderbouwen en pas daarna meten of de maatregelen werken.

Organisaties die kennis willen opbouwen rond ISMS-eisen, audits en implementatie kunnen zich verdiepen in ISO-cursussen en certificeringen. Dat is vooral relevant wanneer security-, compliance- en auditrollen dezelfde taal moeten gebruiken rond scope, risicoacceptatie, bewijsvoering en continue verbetering.

Wanneer kiest een organisatie voor ISO 31000?

ISO 31000 past beter wanneer de organisatie een bredere risicotaal wil ontwikkelen dan informatiebeveiliging alleen. Dat speelt vaak wanneer het bestuur risico’s wil vergelijken over afdelingen heen, wanneer strategische doelstellingen onder druk staan, of wanneer risicorapportages per domein te veel van elkaar verschillen. De norm helpt dan bij vragen als: wat bedoelt de organisatie met risico, welke criteria worden gebruikt, wie accepteert welk risico en hoe wordt hierover gerapporteerd?

De norm biedt geen certificeringstraject zoals ISO 27001. Dat maakt ISO 31000 niet vrijblijvender, maar wel anders van aard. De kwaliteit zit in de governance: duidelijke rollen, consistente besluitvorming, escalatiecriteria, rapportages en aansluiting op strategie. ISO.org en NEN beschrijven ISO 31000 daarom als richtlijn voor risicomanagement, niet als certificeerbare managementsysteemnorm voor organisaties.

Governance en eigenaarschap verdienen bijzondere aandacht. Een ISMS valt in veel organisaties onder de CISO of information security manager, terwijl enterprise risk management vaak bij een CRO, risk committee of bestuurssecretariaat ligt. Als deze functies verschillende risicocriteria gebruiken, kunnen tegenstrijdige besluiten ontstaan. Een hoog cyberrisico kan dan technisch urgent lijken, terwijl het op bestuursniveau anders wordt gewogen omdat financiële impact, klantimpact of juridische verplichtingen anders zijn gedefinieerd.

Hoe de normen samenwerken in de praktijk

De sterkste toepassing ontstaat vaak wanneer ISO 31000 richting geeft aan het algemene risicokader en ISO 27001 de informatiebeveiligingskant aantoonbaar maakt. ISO 31000 helpt dan bij context, risk appetite, risicocriteria, governance en rapportage. ISO 27001 gebruikt die uitgangspunten om binnen Clause 6.1 risico’s en kansen te bepalen, informatiebeveiligingsrisico’s te beoordelen en passende risicobehandeling te plannen.

In de praktijk wordt ISO 27005 vaak gebruikt als methode om de informatiebeveiligingsrisicobeoordeling gestructureerd uit te voeren. De organisatie kan dan één risicoregister onderhouden met labels voor domein, eigenaar, impacttype, risicobehandeling en relatie met Annex A-maatregelen. Zo voorkomt men dat enterprise risk, IT risk en compliance elk een eigen spreadsheet gebruiken met andere definities voor waarschijnlijkheid en impact.

1. Bepaal eerst de organisatiedoelstellingen, context en risicocriteria op basis van het bredere risicokader.
2. Vertaal die criteria naar de ISMS-scope en de informatiebeveiligingsrisico’s binnen ISO 27001 Clause 6.1.
3. Gebruik een consistente methode, bijvoorbeeld gebaseerd op ISO 27005, om risico’s te beoordelen en te prioriteren.
4. Kies risicobehandeling en koppel maatregelen aan de Annex A-thema’s van ISO/IEC 27001:2022.
5. Leg keuzes vast in het risicoregister, de risicobehandelplannen en de Statement of Applicability.
6. Rapporteer zowel aan ISMS-management als aan enterprise risk governance, met dezelfde kerncriteria.

Een geanonimiseerd voorbeeld maakt dit concreet. Een middelgrote dienstverlener wil meedoen aan aanbestedingen waarin ISO 27001-certificering wordt gevraagd, maar het bestuur wil tegelijk beter zicht op operationele risico’s. De organisatie start met ISO 31000-principes om risicocriteria, escalatieniveaus en rapportageafspraken vast te leggen. Daarna wordt voor de klantgerichte SaaS-omgeving een ISMS-scope vastgesteld volgens ISO 27001. De informatiebeveiligingsrisico’s worden beoordeeld, maatregelen worden gekozen, en de SoA wordt gebruikt om auditbaar te maken waarom bepaalde Annex A-controls wel of niet van toepassing zijn.

Het voordeel van deze volgorde is dat informatiebeveiliging niet los komt te staan van de bredere besluitvorming. De CISO kan risico’s onderbouwen met dezelfde impactcategorieën die het bestuur gebruikt, terwijl auditors kunnen zien hoe het ISMS tot concrete maatregelen, metingen en verbeteracties leidt. Aanvullende guidance van ENISA en NIST kan helpen bij inhoudelijke verdieping, bijvoorbeeld rond cyberrisico’s, controls, incidentrespons en maturity, maar verandert niets aan het certificeringsverschil tussen ISO 27001 en ISO 31000.

Audit en bewijslast verschillen wezenlijk

Bij ISO 27001 is bewijsvoering een centraal onderdeel van het managementsysteem. Een auditor verwacht onder meer een gedefinieerde scope, informatiebeveiligingsbeleid, risicobeoordeling, risicobehandelplan, SoA, doelstellingen, competentiebewijs, operationele registraties, interne auditresultaten, managementreview en bewijs van corrigerende maatregelen. De vraag is niet alleen of maatregelen bestaan, maar ook of ze worden bestuurd, gemeten en verbeterd.

Bij ISO 31000 ligt de nadruk anders. Omdat er geen organisatiecertificering is, draait het minder om een formeel certificeringsdossier en meer om de vraag of risicomanagement daadwerkelijk is ingebed in governance en besluitvorming. Relevante artefacten zijn bijvoorbeeld een risicobeleid, risk appetite statements, mandaten, risicorapportages, escalatieafspraken en notulen waarin risicobesluiten zichtbaar zijn.

Dit verschil beïnvloedt ook de planning. Als een tender binnen korte tijd om ISO 27001-certificering vraagt, is het logisch om eerst de ISMS-scope scherp te maken en auditbewijs op te bouwen. Als het bestuur vooral volwassenere enterprise risk management wil, is ISO 31000 een beter startpunt. Parallel werken kan, maar dan moeten risicocriteria en eigenaarschap vroeg worden afgestemd; anders wordt de ISO 27001-risicobeoordeling later opnieuw gedaan omdat de organisatiebrede definities niet passen.

Relatie met ISO 27005, ISO 9001 en andere guidance

ISO 27005 sluit inhoudelijk dicht aan op ISO 27001 omdat de norm zich richt op risicomanagement voor informatiebeveiliging. Waar ISO 27001 eisen stelt aan het ISMS, helpt ISO 27005 om de risicobeoordeling en risicobehandeling methodisch in te richten. Daardoor is ISO 27005 vaak nuttig voor organisaties die moeite hebben om Clause 6.1.2 en 6.1.3 praktisch te vertalen naar criteria, scenario’s en behandelkeuzes.

ISO 9001 komt regelmatig in beeld omdat ISO-managementsystemen vergelijkbare elementen gebruiken, zoals context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Een organisatie met een volwassen kwaliteitsmanagementsysteem kan die managementsysteemdiscipline benutten bij ISO 27001. Dat betekent echter niet dat kwaliteitsrisico’s en informatiebeveiligingsrisico’s hetzelfde zijn; de criteria, maatregelen en bewijsstukken blijven domeinspecifiek.

NIST, ENISA en nationale guidance kunnen nuttige praktische aanvullingen bieden, vooral voor controlselectie, cyberweerbaarheid, incidentrespons en technische beveiligingsmaatregelen. Ze vervangen de ISO-normen niet. Een volwassen aanpak gebruikt externe guidance als verdieping, terwijl de formele structuur van het ISMS en de governance van risicomanagement helder blijven.

Een praktisch besliskader

De keuze tussen ISO 27001 en ISO 31000 hangt vooral af van de aanleiding. Wanneer klanten, contracten of audits vragen om aantoonbare informatiebeveiliging, is ISO 27001 meestal het directe antwoord. Wanneer bestuur en management risico’s organisatiebreed consistenter willen sturen, past ISO 31000 beter. Wanneer beide behoeften bestaan, is de meest robuuste aanpak om ISO 31000 te gebruiken voor de overkoepelende risicotaal en ISO 27001 voor het auditbare ISMS.

De volgorde doet ertoe. Een organisatie die begint met ISO 27001 zonder heldere risicocriteria kan later merken dat securitybesluiten niet aansluiten op enterprise risk reporting. Omgekeerd kan een organisatie die alleen ISO 31000 invoert nog steeds moeite hebben om klanten of auditors concreet bewijs te tonen van informatiebeveiligingsbeheersing. In veel gevallen is de praktische route daarom gefaseerd: eerst de zakelijke aanleiding bepalen, daarna scope en eigenaarschap vastleggen, vervolgens criteria harmoniseren en pas daarna maatregelen selecteren.

Veelgestelde vragen

Wat is het verschil tussen ISO 27001 en ISO 31000?

ISO 27001 is een certificeerbare norm voor een managementsysteem voor informatiebeveiliging. ISO 31000 is een richtlijn voor organisatiebreed risicomanagement en biedt geen organisatiecertificering.

Kunnen ISO 27001 en ISO 31000 samen worden gebruikt?

Ja. ISO 31000 kan helpen om risicocriteria, risk appetite en governance organisatiebreed vast te leggen, terwijl ISO 27001 die uitgangspunten vertaalt naar een auditbaar ISMS met risicobeoordeling, risicobehandeling, Annex A-maatregelen en een Statement of Applicability.

Welke norm is meer gericht op risicomanagement?

ISO 31000 is breder gericht op risicomanagement in de hele organisatie. ISO 27001 bevat ook risicomanagement, maar dan specifiek voor informatiebeveiliging binnen de gekozen ISMS-scope.

Zijn ISO 27001 en ISO 31000-certificeringen uitwisselbaar?

Nee. ISO 27001 kan leiden tot certificering van een ISMS binnen een afgebakende scope. ISO 31000 is een richtlijn en kent geen vergelijkbare organisatiecertificering.

Moet een organisatie eerst ISO 27001 of ISO 31000 implementeren?

Dat hangt af van de aanleiding. Bij klant- of tendervereisten is ISO 27001 meestal urgenter. Bij bredere governance- en bestuursvragen is ISO 31000 vaak een logischer startpunt. Wanneer beide spelen, helpt het om risicocriteria eerst organisatiebreed af te stemmen en daarna de ISMS-implementatie daarop te baseren.

De juiste norm in de juiste context

ISO 27001 en ISO 31000 versterken elkaar wanneer hun rollen helder blijven. ISO 27001 maakt informatiebeveiliging aantoonbaar en auditbaar. ISO 31000 helpt de organisatie om risico’s breder, consistenter en bestuurlijker te benaderen. De combinatie voorkomt dat security een geïsoleerd complianceproject wordt en voorkomt tegelijk dat enterprise risk management te abstract blijft voor concrete beveiligingsmaatregelen.

Een praktische volgende stap is om de belangrijkste aanleiding te benoemen: certificering, klantvertrouwen, governancevolwassenheid of betere besluitvorming. Daarna kan de organisatie bepalen welke norm leidend is en welke ondersteunend werkt. Wie meerdere ISO- en securityonderwerpen wil combineren, kan het Unlimited Security Training-aanbod van Readynez bekijken of contact opnemen voor gerichte opleidingsvragen.