Aan welke eisen moet je voldoen voor ISO 27001?

Wat zijn de ISO 27001-eisen voor jouw organisatie? Van risicoanalyse tot verplichte documenten, lees wat certificering vraagt.

Om ISO 27001-gecertificeerd te worden, moet je organisatie voldoen aan de eisen uit de ISO/IEC 27001-norm. Die eisen draaien om het inrichten, implementeren, onderhouden en continu verbeteren van een Information Security Management System, ook wel ISMS genoemd. Kort gezegd: je legt systematisch vast hoe je informatiebeveiliging beheert, welke risico’s je loopt en welke maatregelen je treft. De norm geldt voor organisaties van elke omvang en sector. De secties hieronder beantwoorden de meest gestelde vragen over de ISO 27001-vereisten.

Wat zijn de belangrijkste onderdelen van ISO 27001?

ISO 27001 vereist dat je een volledig Information Security Management System opzet. Het ISMS omvat beleid, risicoanalyse, beveiligingsmaatregelen, interne audits en een managementbeoordeling. De norm is opgebouwd rondom de Plan-Do-Check-Act-cyclus: je plant maatregelen, voert ze uit, controleert of ze werken en past ze aan waar nodig.

De kern van de ISO 27001-norm bestaat uit tien hoofdstukken. De eerste drie zijn inleidend; de hoofdstukken vier tot en met tien bevatten de daadwerkelijke eisen. Daarin staan onderwerpen als de context van de organisatie, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Bijlage A van de norm bevat daarnaast een lijst met beveiligingsbeheersmaatregelen, ook wel controls genoemd, waaruit je op basis van je risicoanalyse een selectie maakt.

Wat de norm onderscheidt van een simpele checklist, is dat je moet aantonen dat je keuzes bewust en onderbouwd zijn. Je documenteert niet alleen wat je doet, maar ook waarom je bepaalde maatregelen wel of niet hebt genomen.

Welke documenten en procedures zijn verplicht voor ISO 27001?

ISO 27001 schrijft een aantal verplichte documenten voor. Zonder deze documenten is certificering niet mogelijk. De exacte invulling mag je afstemmen op je eigen organisatie, maar de onderwerpen liggen vast in de norm.

Informatiebeveiligingsbeleid: een overkoepelend beleidsdocument dat de doelstellingen en aanpak van informatiebeveiliging beschrijft.
Risicobeoordelingsproces: een beschrijving van hoe je risico’s identificeert, analyseert en beoordeelt.
Risicobehandelingsplan: een overzicht van welke maatregelen je neemt om geïdentificeerde risico’s te beheersen.
Statement of Applicability (SoA): een document waarin je per control uit Bijlage A aangeeft of die van toepassing is en waarom.
Doelstellingen voor informatiebeveiliging: meetbare doelen die je jaarlijks evalueert.
Resultaten van interne audits en managementbeoordelingen: bewijs dat je het ISMS actief bewaakt en verbetert.

Naast deze verplichte documenten zijn er procedures die je in de praktijk moet kunnen aantonen, zoals een procedure voor het melden van beveiligingsincidenten en een proces voor het beheren van toegangsrechten. Een GRC-tooling kan helpen om al deze documentatie gestructureerd bij te houden en aantoonbaar te maken.

Hoe werkt een risicoanalyse binnen ISO 27001?

Een risicoanalyse binnen ISO 27001 is een gestructureerd proces waarbij je vaststelt welke informatie-assets je organisatie heeft, welke dreigingen daarop van toepassing zijn en wat de kans en impact zijn als er iets misgaat. Op basis daarvan kies je maatregelen die het risico terugbrengen naar een aanvaardbaar niveau.

In de praktijk werkt dat als volgt:

Breng je informatie-assets in kaart, zoals systemen, applicaties, processen en gegevens.
Identificeer de kwetsbaarheden en dreigingen die op die assets van toepassing zijn.
Beoordeel de kans dat een dreiging zich voordoet en de impact als dat gebeurt.
Prioriteer de risico’s en bepaal welke je accepteert, vermindert, overdraagt of vermijdt.
Leg de gekozen aanpak vast in een risicobehandelingsplan en koppel die aan de controls uit Bijlage A.

De risicoanalyse is geen eenmalige exercitie. De norm vereist dat je deze periodiek herhaalt, bijvoorbeeld bij grote organisatorische veranderingen of na een beveiligingsincident.

Wat is het verschil tussen ISO 27001 en NIS2?

ISO 27001 is een internationale norm voor informatiebeveiliging waarvoor je je vrijwillig kunt laten certificeren. NIS2 is een Europese richtlijn die wettelijke verplichtingen oplegt aan organisaties in bepaalde sectoren en van een bepaalde omvang. Het grootste verschil is dat ISO 27001 een keuze is, terwijl NIS2-compliance voor veel organisaties een wettelijke verplichting is.

Inhoudelijk overlappen de twee kaders op veel punten. Beide vereisen een risicogebaseerde aanpak, beveiligingsmaatregelen, incidentmelding en aandacht voor continuïteit. Organisaties die al ISO 27001-gecertificeerd zijn, hebben daarmee een stevige basis voor NIS2-compliance, maar de richtlijn stelt aanvullende eisen, met name rondom meldplichten, bestuursverantwoordelijkheid en ketenveiligheid.

Als je wilt weten in hoeverre jouw organisatie aan NIS2 voldoet, geeft een NIS2-audit snel inzicht in de huidige situatie en de openstaande stappen.

Hoe lang duurt het om ISO 27001-gecertificeerd te worden?

De doorlooptijd voor ISO 27001-certificering ligt voor de meeste middelgrote organisaties tussen de zes en achttien maanden. Hoe lang het precies duurt, hangt af van de huidige volwassenheid van je informatiebeveiliging, de omvang van je organisatie en de beschikbare interne capaciteit.

Het traject bestaat globaal uit drie fasen. Eerst richt je het ISMS in en documenteer je beleid, risicoanalyse en maatregelen. Daarna laat je het systeem een periode draaien, zodat je interne audits en een managementbeoordeling kunt uitvoeren. Tot slot volgt de externe certificeringsaudit, die bestaat uit een documentbeoordeling en een praktijkcontrole op de werkvloer.

Organisaties die al beschikken over gestructureerde beveiligingsprocedures en heldere verantwoordelijkheden, doorlopen het traject doorgaans sneller. Ontbreekt die basis, dan is het verstandig om eerst de governance op orde te brengen voordat je het certificeringstraject start.

Wanneer is ISO 27001 verplicht voor jouw organisatie?

ISO 27001-certificering is in de meeste gevallen niet wettelijk verplicht. De norm is een vrijwillige standaard. Toch kan certificering in de praktijk een harde eis worden, namelijk wanneer klanten, opdrachtgevers of aanbestedende partijen het als voorwaarde stellen in contracten of tenders.

In bepaalde sectoren en situaties neemt de druk om te certificeren toe. Denk aan organisaties die werken met gevoelige klantdata, partijen die diensten leveren aan de overheid of aan bedrijven in sectoren die onder NIS2 vallen. In die gevallen is ISO 27001-certificering geen formele verplichting, maar in de praktijk wel een verwachting.

Voor organisaties die twijfelen of certificering nodig of zinvol is, biedt een risicoanalyse of quickscan een goed startpunt. Daarmee breng je in kaart waar je nu staat en wat de meest logische vervolgstap is, zonder direct een volledig certificeringstraject te starten.

Hoe OpenSight helpt bij het voldoen aan de ISO 27001-eisen

Veel organisaties weten wat ISO 27001 vereist, maar lopen vast op de vraag hoe ze dat in de praktijk moeten organiseren: wie is verantwoordelijk, wat moet er gedocumenteerd worden en hoe houd je het ISMS levend na certificering. Wij helpen organisaties om die stap van inzicht naar uitvoering te maken, met begeleiding op het snijvlak van strategie, beleid en technische implementatie. Onze externe CISO-dienstverlening biedt flexibele expertise zonder vaste aanstelling, afgestemd op de omvang en volwassenheid van jouw organisatie. Daarmee combineren we strategisch advies met praktische uitvoering, zodat ISO 27001 geen papieren oefening wordt maar een werkend systeem. Wil je weten waar jouw organisatie nu staat? Neem contact op en we kijken samen naar de meest logische eerste stap.