Hoe behaal je een ISO 27001-certificaat?
Het korte antwoord Je bepaalt eerst welke informatie, systemen en activiteiten onder het certificaat vallen. Daarna breng je in beeld welke eisen er gelden, van opdrachtgevers en uit de wet. Dan komt de kern van ISO 27001: weten welke informatie je hebt, waar die staat, en welke risico's eraan kleven.
Op basis van die risico's kies je je maatregelen, en je toetst met een interne audit en een directiebeoordeling of het werkt. Daarna komt de certificerende instelling langs, in twee rondes. Zijn de bevindingen opgevolgd, dan krijg je het certificaat.
Stap 1: welke informatie en welke systemen vallen onder ISO 27001?
Bij informatiebeveiliging is de vraag wat eronder valt geen organisatievraag maar een informatievraag. Niet alleen welke vestiging of welke dienst, maar ook: welke informatie, welke systemen en welke mensen.
Die keuze bepaalt meteen hoe groot het traject wordt. Neem je een applicatie mee die je nauwelijks gebruikt, dan neem je ook alle maatregelen en registraties mee die daarbij horen. Kijk dus eerst wat je opdrachtgever werkelijk vraagt.
Stap 2: welke eisen gelden er voor jouw informatiebeveiliging?
Je kijkt naar binnen en naar buiten. Waar is je bedrijf goed in, en waar gaat het mis? En wat speelt er om je heen: de AVG, NIS2 (in Nederland de Cyberbeveiligingswet), en opdrachtgevers die een vragenlijst sturen voordat ze met je in zee gaan.
Daarna schrijf je op wie iets van je verwacht en wat ze eisen. Klanten zeker, maar ook je softwareleveranciers, je IT-beheerder, je verzekeraar en soms een toezichthouder.
Stap 3: hoe breng je je processen in kaart voor ISO 27001?
Voordat je naar informatie en systemen kijkt, breng je in beeld hoe het werk loopt: hoe komt een opdracht binnen, wie werkt eraan, hoe lever je op, hoe regel je je administratie en je personeelszaken. Op hoofdlijnen, niet tot in detail.
Die processen zijn de basis voor de volgende stap. Per processtap kijk je straks welke informatie er gebruikt wordt, door wie, en in welk systeem. Zo vind je ook de informatie die buiten je bekende systemen omgaat, zoals bestanden die per mail of via een eigen account worden gedeeld.
Stap 4: welke informatie heeft je bedrijf, en waar staat die?
Je maakt een overzicht van de soorten informatie die binnen je organisatie omgaan: klantgegevens, offertes en contracten, personeelsdossiers, broncode, financiële administratie, ontwerpen. Per soort bepaal je hoe kritisch die is. Als een bestand morgen op straat ligt of een week onbereikbaar is, wat betekent dat dan werkelijk?
Daarna inventariseer je waar die informatie staat en waarlangs ze beweegt: servers, laptops, telefoons, netwerkapparatuur, en elke applicatie die je gebruikt. Wie heeft er toegang toe? Dat levert een bedrijfsmiddelenregister op. Samen met je informatiesoorten is dat het beeld waar je op kunt sturen.
Waarom maakt de risicoanalyse bij ISO 27001 het verschil?
Omdat je daarna kunt kiezen. Per informatiesoort en systeem kijk je wat er mis kan gaan, hoe groot de kans is en wat het gevolg zou zijn. Zo zie je welke risico's je moet aanpakken en welke je accepteert.
De norm heeft een bijlage met 93 beheersmaatregelen, en die nodigt uit om alles af te vinken. Dat is juist niet de bedoeling. Je kiest de maatregelen die bij je risico's passen, en legt in een verklaring van toepasselijkheid vast welke je toepast en waarom je andere niet nodig hebt.
Het is ook wat een auditor wil zien. Niet dat je alles doet, maar dat je kunt uitleggen waarom je juist deze maatregelen hebt.
Stap 5: hoe richt je de rest van het ISO 27001-systeem in?
Je voert de gekozen maatregelen in, en zet je IT-partij erbij voor het technische deel: toegangsbeheer, back-ups, updates, versleuteling. Je legt vast wat je doet bij een beveiligingsincident, en hoe je doorwerkt als een systeem uitvalt.
Daarnaast regel je wat elk managementsysteem nodig heeft: de directie stelt het beleid vast, medewerkers weten wat er van ze verwacht wordt en krijgen bewustwordingstraining, en je maakt afspraken met leveranciers die met je informatie werken.
Stap 6: wat toets je in de interne audit voor ISO 27001?
Als alles staat, toets je of het werkt. In de interne audit kijk je of je werkt zoals je hebt afgesproken en of je maatregelen echt doen wat ze moeten doen: worden toegangsrechten bijgehouden, werken de back-ups, worden incidenten gemeld?
Wat je vindt, volg je op. Een bevinding is geen falen, maar precies waar de interne audit voor bedoeld is.
Stap 7: wat bespreek je in de directiebeoordeling voor ISO 27001?
Daarna voert de directie een directiebeoordeling uit. Op tactisch en strategisch niveau komen onder meer langs: hoe staat het met je risico's, welke incidenten waren er, wat kwam er uit de interne audit, en wat verandert er in je omgeving.
Wat er verder in moet, lees je bij wat een directiebeoordeling is. De onderwerpen zijn voor ISO 27001 grotendeels gelijk.
Stap 8: wat toetst de certificerende instelling bij een ISO 27001-audit?
Nu haal je een externe auditor in huis, in twee rondes. In fase 1 toetst hij je documentatie: je scope, je risicoanalyse, je verklaring van toepasselijkheid, je beleid, en of je interne audit en directiebeoordeling hebben plaatsgevonden.
In fase 2 toetst hij je werkwijze en je registraties. Hij neemt steekproeven van je maatregelen, kijkt mee in je systemen, en spreekt met mensen in je bedrijf over hoe ze met informatie omgaan.
Stap 9: wat gebeurt er met de bevindingen van de ISO 27001-audit?
Na fase 2 krijg je vaak een paar bevindingen. Een grote afwijking (major) moet je oplossen en aantonen voordat je het certificaat krijgt. Bij een kleine afwijking (minor) is een plan van aanpak meestal genoeg. Aandachtspunten zijn voor jezelf.
Zodra de bevindingen naar tevredenheid van de certificerende instelling zijn opgevolgd, krijg je het certificaat toegestuurd. Daarna komt de instelling elk jaar terug voor een controle-audit.
| Stap | Wat het oplevert |
|---|---|
| Scope bepalen | duidelijkheid over welke informatie en systemen erbij horen |
| Eisen in beeld | weten wat opdrachtgevers en de wet van je vragen |
| Processen in kaart | waar in je werk informatie wordt gebruikt en gedeeld |
| Informatie en systemen | weten wat je hebt, waar het staat en wat kritisch is |
| Risicoanalyse | de maatregelen die bij jouw risico's passen |
| Systeem inrichten | een managementsysteem met werkende maatregelen |
| Interne audit | weten of je maatregelen doen wat ze moeten doen |
| Directiebeoordeling | bijsturen waar nodig, en nieuwe plannen voor volgend jaar |
| Fase 1 en fase 2 | akkoord op je documentatie en op je werkwijze |
| Bevindingen opvolgen | het certificaat |
Wat verandert er als je NEN 7510 nodig hebt in plaats van ISO 27001?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, en bouwt op dezelfde basis. Je stelt eveneens een bedrijfsmiddelenregister en een overzicht van informatiesoorten op.
Het verschil zit in de focus: het draait om persoonlijke gezondheidsinformatie. Gezondheidsgegevens van cliënten of patiënten, en ook de gegevens die je verwerkt als je dienstverlener bent van een zorgorganisatie. Daar gelden aanvullende regels voor.
Daarbij komt dat je de koppelingen en informatiestromen goed in beeld moet hebben waar het die gegevens betreft — welk systeem stuurt wat naar welk ander systeem — zodat je ze op de juiste manier kunt beveiligen.
Wij hadden ISO-certificering nodig om mee te doen aan gemeentelijke tenders. We wisten alleen niet waar we moesten beginnen.
MeterInsight Veelgestelde vragen
Wat is het verschil tussen ISO 27001 en NEN 7510?
NEN 7510 is de Nederlandse norm voor de zorg en bouwt op dezelfde structuur als ISO 27001, met aanvullende eisen rond persoonlijke gezondheidsinformatie. Werk je voor zorgorganisaties of verwerk je patiëntgegevens, dan is NEN 7510 meestal wat er gevraagd wordt.
Moet ik alle maatregelen uit ISO 27001 invoeren?
Nee. Je bepaalt op basis van je risico's welke maatregelen van toepassing zijn, en legt vast waarom je bepaalde maatregelen niet nodig hebt. Dat is geen ontsnappingsroute maar de bedoeling van de norm — alles invoeren zonder afweging is juist een zwak systeem.
Is ISO 27001 genoeg om aan NIS2 te voldoen?
Het dekt een groot deel, maar niet alles. NIS2 stelt ook eisen aan onder meer meldplicht en bestuurlijke verantwoordelijkheid die verder gaan dan de norm. Wie ISO 27001 heeft, staat er wel aanzienlijk beter voor dan wie bij nul begint.
Kun je ISO 27001 halen als je IT is uitbesteed?
Ja, en dat is heel gebruikelijk. Je blijft zelf verantwoordelijk voor je informatiebeveiliging, ook als een ander de techniek beheert. In de praktijk betekent het dat je afspraken met die partij vastlegt en controleert of ze worden nagekomen.
Hoe lang is een ISO 27001-certificaat geldig?
Drie jaar, met jaarlijks een kortere controle-audit en na drie jaar hercertificering. Hetzelfde ritme als bij de andere normen.
Vijf vragen over je markt en ambitie. Je ziet de uitkomst direct.