Informatiebeveiliging aantoonbaar organiseren betekent dat beleid, risico’s, leveranciers en audits samen beheersbaar blijven in plaats van door elkaar te gaan lopen.
ISO/IEC 27001 biedt daarvoor een managementsysteem voor informatiebeveiliging, meestal afgekort tot ISMS. De norm helpt organisaties om risico’s rond informatie systematisch te identificeren, passende maatregelen te kiezen, verantwoordelijkheden vast te leggen en de werking daarvan periodiek te beoordelen. Wie eerst het fundament wil begrijpen, kan zich verdiepen in wat een ISMS is; ISO 27001 is de internationale norm die eisen stelt aan zo’n systeem.
Publicatiecontext: deze uitleg is opgesteld voor organisaties die werken met ISO/IEC 27001:2022. De norm zelf is verkrijgbaar via ISO en in Nederland via NEN. Voor privacycontext is de Autoriteit Persoonsgegevens relevant, maar ISO 27001 garandeert geen AVG-naleving. De norm helpt wel om beveiligingsmaatregelen, risicoafwegingen en verantwoordingsinformatie beter te structureren.
Wat ISO 27001 in de praktijk betekent
ISO 27001 is geen losse lijst technische controles. De kern is een bestuurbaar systeem waarin risico’s, beleid, processen, mensen, technologie en leveranciers met elkaar verbonden worden. Een organisatie bepaalt eerst welke informatie belangrijk is, welke dreigingen en kwetsbaarheden relevant zijn, en welke maatregelen nodig zijn om risico’s te behandelen.
Dat maakt de norm bruikbaar voor uiteenlopende organisaties, van SaaS-bedrijven en zorginstellingen tot financiële dienstverleners en zakelijke dienstverleners. In alle gevallen draait het om dezelfde vraag: kan de organisatie aantonen dat informatiebeveiliging doelgericht wordt bestuurd en dat maatregelen daadwerkelijk werken?
De voordelen liggen vooral in voorspelbaarheid en bewijsbaarheid. Klanten, toezichthouders, aandeelhouders en ketenpartners vragen steeds vaker hoe gegevens worden beschermd. ISO 27001 helpt om daar niet alleen met beleid op te antwoorden, maar met risicoregisters, besluitvorming, controles, incidentregistratie, leveranciersafspraken en managementreviews.
Wat veranderde met ISO/IEC 27001:2022
De overgang van ISO/IEC 27001:2013 naar ISO/IEC 27001:2022 heeft vooral gevolgen voor de inrichting van controls en eigenaarschap. Annex A is anders geclusterd en sluit aan op ISO/IEC 27002:2022, waarin de beheersmaatregelen inhoudelijk worden toegelicht. De nieuwe structuur werkt met vier thema’s: organisatorisch, mensgericht, fysiek en technologisch.
Die verandering lijkt op papier overzichtelijker, maar raakt in de praktijk de governance. Controls die eerder verspreid waren over meer domeinen, moeten opnieuw worden gekoppeld aan control-eigenaren, meetpunten en bewijs. Daardoor kan een CISO of securitymanager niet volstaan met een oude controlmatrix in een nieuw jasje. Proceseigenaren, HR, inkoop, legal, facility management en IT moeten opnieuw begrijpen welk deel van de werking zij dragen.
Een praktisch voorbeeld is leveranciersbeheer. In de 2022-benadering is het onvoldoende om een generieke leverancierspolicy te hebben. Kritieke SaaS-leveranciers vragen om due diligence vooraf, contractuele beveiligingseisen, afspraken over incidentmelding, exit- en continuïteitsclausules en periodieke beoordeling. Een verdiepende uitleg van de beheersmaatregelen is te vinden in ISO 27002-controles uitgelegd.
Voor organisaties die al gecertificeerd waren onder de vorige versie is de wijziging vooral een herijking. Het gaat om het actualiseren van de Statement of Applicability, het opnieuw beoordelen van relevante risico’s en het aantonen dat de gewijzigde controls niet alleen zijn beschreven, maar ook functioneren. Meer detail over de overgang staat in ISO 27001:2022 en wat er is veranderd.
Certificeren of werken conform ISO 27001
Niet elke organisatie hoeft direct voor certificering te kiezen. Werken conform ISO 27001 kan een verstandige tussenstap zijn wanneer de organisatie eerst grip wil krijgen op risico’s, eigenaarschap en basisprocessen. Certificering wordt vooral relevant wanneer klanten, aanbestedingen, concernbeleid of toezichthouders om onafhankelijk bewijs vragen.
Een goede keuze begint met drie vragen. Is er externe druk vanuit klanten, contracten of regelgeving? Zijn de informatie-assets en processen kritisch genoeg om externe toetsing te rechtvaardigen? En heeft de organisatie voldoende verandercapaciteit om beleid, bewijsvoering en verbeteracties consequent te laten landen? Als een van die elementen ontbreekt, kan een te snelle certificeringsroute leiden tot veel documentatie en weinig werkelijke risicoreductie.
Daarmee is certificering geen einddoel op zichzelf. De waarde ontstaat wanneer het certificeringstraject managementaandacht, prioritering en discipline brengt. Een certificaat kan vertrouwen versterken, maar auditors beoordelen of het managementsysteem is ingericht en wordt toegepast binnen de afgesproken scope; zij verklaren niet dat alle risico’s verdwenen zijn.
Scope, rollen en governance goed afbakenen
Een van de belangrijkste keuzes is de scope. Organisaties maken die vaak te breed, bijvoorbeeld door meteen de volledige onderneming, alle landen, alle systemen en alle leveranciers mee te nemen. Dat klinkt ambitieus, maar verhoogt de doorlooptijd en het veranderrisico. Een risicogedreven scope rond kritieke processen, klantdata of een belangrijke SaaS-dienst is vaak beter bestuurbaar.
Een haalbare scope beschrijft welke locaties, processen, systemen, teams en leveranciers onder het ISMS vallen. Daarbij hoort ook wat erbuiten valt, inclusief de reden. Auditors kijken niet alleen naar de tekst van de scope, maar ook naar de logica erachter. Een klantportaal met persoonsgegevens kan bijvoorbeeld moeilijk buiten scope blijven als juist dat portaal de kern vormt van het klantproces.
Governance vraagt vervolgens om duidelijke rollen. De CISO of securitymanager kan het ISMS coördineren, maar is zelden eigenaar van alle risico’s. HR is nodig voor screening, onboarding en uitdienstprocessen. Inkoop en legal zijn nodig voor leveranciersafspraken. IT beheert technische controls. Proceseigenaren moeten accepteren dat zij risico’s bezitten en besluiten nemen over behandeling, acceptatie of escalatie.
Meetpunten helpen om die verantwoordelijkheid concreet te maken. Organisaties hebben vaak genoeg aan enkele ISMS-KPI’s die aansluiten op risico’s, zoals tijdige verwerking van rolwijzigingen in IAM, patchdoorlooptijd voor kritieke systemen, voltooiing van toegangsrecertificaties, resultaten van back-uphersteltests en tijdige afhandeling van security-incidenten. Zulke cijfers maken managementreviews minder abstract.
Hoe de audit er werkelijk uitziet
Een certificeringstraject bestaat doorgaans uit een beoordeling van documentatie en inrichting, gevolgd door een audit op implementatie en werking. Daarna volgen periodieke surveillance-audits en later hercertificering. De exacte aanpak hangt af van de certificerende instelling en de scope, maar het patroon is herkenbaar: eerst wordt gekeken of het ISMS logisch is ontworpen, daarna of het aantoonbaar wordt gebruikt.
Auditors nemen steekproeven. Papier is daarbij zelden genoeg. Een beleid kan correct geformuleerd zijn, maar de auditor vraagt ook naar tickets, logs, vergaderverslagen, risicoacceptaties, incidentregistraties, leveranciersbeoordelingen, toegangsreviews of bewijs dat een medewerker na uitdiensttreding daadwerkelijk is verwijderd uit systemen. De vraag is steeds of de organisatie kan aantonen dat het proces werkt buiten het document om.
Veelvoorkomende non-conformities ontstaan waar beleid en praktijk uiteenlopen. Denk aan risicoanalyses zonder duidelijke eigenaar, controles in de Statement of Applicability zonder bewijs van werking, leveranciers die als kritisch zijn aangemerkt maar nooit opnieuw zijn beoordeeld, of managementreviews waarin beslissingen en acties niet worden vastgelegd. Ook verouderde assetlijsten en incomplete uitdienstprocessen komen vaak naar voren, omdat ze direct raken aan toegang en eigenaarschap.
De eerste 90 dagen verstandig gebruiken
Een goede start vraagt niet meteen om een groot toolingtraject. In de eerste fase is duidelijkheid belangrijker dan automatisering. De organisatie moet begrijpen welke informatie waardevol is, welke processen kritiek zijn, wie eigenaar is en waar de grootste risico’s zitten. Tools kunnen later helpen, maar lossen geen onduidelijke governance op.
- Leg de beoogde scope vast en toets of die aansluit op kritieke processen, klanten en contractuele verplichtingen.
- Voer een eerste risicobeoordeling uit met proceseigenaren, IT, HR, inkoop en management.
- Maak een compacte Statement of Applicability en noteer per control waarom deze wel of niet van toepassing is.
- Verzamel bestaand bewijs, zoals policies, tickets, toegangsreviews, leverancierscontracten en incidentregistraties.
- Kies enkele meetpunten voor managementreview en koppel verbeteracties aan duidelijke eigenaren.
Quick wins liggen vaak in het formaliseren van bestaande werkwijzen. Een organisatie heeft bijvoorbeeld al een servicedeskproces, maar geen duidelijke classificatie voor security-incidenten. Of HR meldt uitdiensttredingen wel aan IT, maar er is geen controle of alle toegangen daadwerkelijk zijn ingetrokken. Door die bestaande processen te versterken ontstaat sneller bewijs van werking.
Wat beter kan wachten, is maatwerktooling, een uitgebreide controlbibliotheek of een te gedetailleerd beleidsraamwerk. Die onderdelen zijn pas nuttig wanneer scope, risico’s en eigenaarschap stabiel genoeg zijn. Anders ontstaat documentatie die later opnieuw moet worden ingericht.
Valkuilen die het traject vertragen
De eerste valkuil is starten met controls zonder risicobeeld. Dat leidt tot lange lijsten maatregelen waarvan niemand kan uitleggen welk risico ermee wordt behandeld. ISO 27001 begint met context, scope, risico’s en besluitvorming; controls volgen daaruit.
Een tweede valkuil is ISO 27001 behandelen als een IT-project. Technologie is belangrijk, maar veel auditbevindingen ontstaan bij mens- en procesonderwerpen: onboarding, training, leveranciersselectie, wijzigingsbeheer, contractafspraken en incidentcommunicatie. Zonder eigenaarschap buiten IT wordt het ISMS kwetsbaar.
Een derde valkuil is beleid schrijven zonder werking te organiseren. Auditors zien snel of documenten alleen zijn opgesteld voor de audit. Beter is een beperkter aantal beleidsstukken dat echt wordt gebruikt, ondersteund door registraties, periodieke controles en managementbesluiten.
Waar ISO 27001 past naast AVG en leveranciersdruk
In Nederlandse organisaties wordt ISO 27001 vaak gekoppeld aan AVG-vragen, informatiebeveiliging in de keten en klantdue-diligence. Dat is logisch, maar het onderscheid blijft belangrijk. De AVG stelt juridische verplichtingen voor persoonsgegevens; ISO 27001 biedt een managementsysteem om beveiligingsrisico’s gestructureerd te beheersen. Het kan helpen bij accountability en passende beveiliging, maar vervangt geen privacybeoordeling of juridisch advies.
Ook leveranciersdruk is een belangrijke aanjager. Grote klanten vragen steeds vaker om bewijs van beveiligingsmaatregelen, vooral bij SaaS, outsourcing en verwerking van gevoelige gegevens. ISO 27001 kan die gesprekken vereenvoudigen doordat scope, controls en verbetercyclus herkenbaar zijn. Toch blijft het nodig om contractueel vast te leggen wat een leverancier doet bij incidenten, audits, onderaannemers, continuïteit en beëindiging van de dienstverlening.
Een duurzame aanpak kiezen
ISO 27001 levert de meeste waarde op wanneer de norm wordt gebruikt als bestuurlijk systeem, niet als documentatieproject. De organisatie moet risico’s begrijpen, keuzes vastleggen, werking aantonen en verbeteringen periodiek bespreken. Dat vraagt om managementsupport, maar ook om praktische betrokkenheid van proceseigenaren en leveranciersverantwoordelijken.
Wie gestructureerd kennis wil opbouwen rond ISO-normen kan bij Readynez starten met ISO 27001 training. Voor bredere securityontwikkeling is er ook Unlimited Security Training. Heeft de organisatie behoefte aan afstemming over een passend leerpad, dan kan zij contact opnemen.
FAQ
Wat is ISO 27001?
ISO/IEC 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging. De norm beschrijft hoe een organisatie informatiebeveiligingsrisico’s identificeert, behandelt, monitort en verbetert.
Is ISO 27001 verplicht?
ISO 27001 is op zichzelf meestal niet wettelijk verplicht. De norm kan wel contractueel worden geëist door klanten, moedermaatschappijen of aanbestedingen. Daarnaast kan zij helpen om beveiligingsmaatregelen aantoonbaar te organiseren, bijvoorbeeld in relatie tot AVG-verplichtingen.
Wat is het verschil tussen ISO 27001 en ISO 27002?
ISO 27001 bevat de eisen waaraan het ISMS moet voldoen en vormt de basis voor certificering. ISO 27002 geeft richtlijnen en toelichting bij beheersmaatregelen, maar is zelf niet de certificeringsnorm.
Hoe werkt ISO 27001-certificering?
Een organisatie richt eerst een ISMS in binnen een vastgestelde scope, voert risicobeoordelingen uit, kiest maatregelen en verzamelt bewijs van werking. Daarna beoordeelt een onafhankelijke certificerende instelling of het managementsysteem voldoet aan de norm en in de praktijk wordt toegepast.
Garandeert ISO 27001 AVG-compliance?
Nee. ISO 27001 kan helpen bij passende beveiliging, risicobeheer en aantoonbaarheid, maar garandeert geen naleving van de AVG. Privacygrondslagen, verwerkersovereenkomsten, rechten van betrokkenen en DPIA’s vragen afzonderlijke juridische en organisatorische aandacht.
