Hoe begin ik met het implementeren van ISO 27001?

ISO 27001 implementeren voelt voor veel organisaties als een grote stap. De norm is uitgebreid, de documentatie-eisen zijn aanzienlijk en het is niet altijd duidelijk waar je moet beginnen. Toch is een gestructureerde aanpak goed te volgen, mits je de juiste volgorde aanhoudt en weet wat er in elke fase van je wordt verwacht.

Dit stappenplan begeleidt je van de voorbereiding tot en met de externe certificeringsaudit. Of je nu net begint met nadenken over ISO 27001-certificering of al een eerste verkenning hebt gedaan: na het lezen van dit artikel weet je precies hoe je de implementatie van informatiebeveiliging concreet aanpakt.

Wat je nodig hebt vóór de implementatie

Voordat je begint met het opzetten van een Information Security Management System (ISMS), is het belangrijk dat een aantal randvoorwaarden op orde zijn. Een ISO 27001-implementatie slaagt of faalt grotendeels op basis van wat er vóór de eerste stap al geregeld is.

• Commitment van het management: ISO 27001 vereist aantoonbare betrokkenheid van de directie. Zonder mandaat en budget vanuit de top kom je niet ver.
• Een aangewezen verantwoordelijke: Wijs een projectleider of Security Officer aan die het traject coördineert en als aanspreekpunt fungeert.
• Basiskennis van de norm: Zorg dat de betrokken medewerkers begrijpen wat ISO 27001 inhoudt en welke verplichtingen de norm stelt. De ISO 27001-norm biedt een gestructureerd kader voor risicomanagement en continue verbetering.
• Beschikbare capaciteit: Bepaal hoeveel interne tijd je kunt vrijmaken. Implementaties mislukken regelmatig doordat medewerkers het erbij moeten doen zonder voldoende ruimte.
• Budget: Externe begeleiding, tooling, opleidingen en de certificeringsaudit zelf brengen kosten met zich mee. Wat een traject uiteindelijk kost, verschilt sterk per organisatie en hangt af van factoren zoals de omvang van de organisatie, de complexiteit van de processen, de gekozen scope en de mate waarin al een fundament voor informatiebeveiliging aanwezig is.

Zijn deze randvoorwaarden aanwezig? Dan ben je klaar om de eerste inhoudelijke stap te zetten.

Bepaal de scope van het ISMS

De scope bepaalt op welk deel van de organisatie het ISMS van toepassing is. Dit is een van de meest bepalende beslissingen in het hele traject, omdat alles wat je daarna doet, afgestemd is op deze afbakening.

1. Breng in kaart welke afdelingen, processen, locaties en informatiesystemen je wilt meenemen in de certificering.
2. Beschrijf de grenzen van de scope expliciet: wat valt er wel onder en wat niet, en waarom.
3. Documenteer de interfaces met externe partijen, zoals leveranciers of klanten, die de informatiebeveiliging kunnen beïnvloeden.
4. Leg de scope vast in een formeel scopedocument dat door het management wordt goedgekeurd.

Een te brede scope maakt het traject onnodig zwaar. Een te smalle scope kan de geloofwaardigheid van de certificering ondermijnen. Kies een scope die realistisch is, maar ook voldoende gewicht heeft voor klanten en stakeholders. Na vaststelling van de scope weet je precies op welk speelveld de volgende stappen betrekking hebben.

Voer een risicoanalyse en gap-analyse uit

Met de scope vastgesteld, is het tijd om de huidige situatie te vergelijken met wat de norm vereist. Dit doe je aan de hand van twee analyses die je idealiter gelijktijdig uitvoert.

Gap-analyse

De gap-analyse brengt in kaart welke eisen van ISO 27001 je organisatie al naleeft en waar nog tekortkomingen zijn. Doorloop systematisch alle clausules van de norm en beoordeel per onderdeel de huidige volwassenheid. Het resultaat is een overzicht van wat er nog moet worden ingericht, aangepast of gedocumenteerd.

Risicoanalyse

De risicoanalyse is een kernvereiste van ISO 27001. Identificeer de informatieassets binnen je scope, bepaal welke dreigingen en kwetsbaarheden van toepassing zijn en beoordeel de kans en impact van elk risico. Op basis hiervan stel je een risicobehandelingsplan op: welke risico’s accepteer je, welke beheers je en hoe?

1. Stel een methodiek vast voor het beoordelen van risico’s (bijv. een kwalitatieve of kwantitatieve schaal).
2. Inventariseer alle relevante informatieassets binnen de scope.
3. Koppel dreigingen en kwetsbaarheden aan elk asset.
4. Beoordeel kans en impact per risico en bepaal de prioriteit.
5. Leg de resultaten vast in een risicoregister en een Statement of Applicability (SoA).

Het SoA is een verplicht document waarin je per beheersmaatregel uit Annex A aangeeft of deze van toepassing is en, zo ja, hoe je deze hebt geïmplementeerd. Controleer na afronding of elk geïdentificeerd risico een bijbehorende behandeling heeft. Als dat klopt, ben je klaar voor de volgende fase.

Implementeer de beheersmaatregelen stap voor stap

Nu je weet welke maatregelen nodig zijn, start je met de daadwerkelijke implementatie. Dit is doorgaans de meest tijdrovende fase van het ISO 27001-stappenplan. Werk gestructureerd en prioriteer op basis van het risicobehandelingsplan.

1. Begin met de maatregelen die de hoogste risico’s afdekken of waarvoor al een fundament aanwezig is.
2. Stel beleidsdocumenten op voor de verplichte onderwerpen, zoals informatiebeveiligingsbeleid, toegangsbeleid en incidentbeheer.
3. Richt processen in voor onderwerpen als wijzigingsbeheer, leveranciersbeheer en bewustwording van medewerkers.
4. Zorg voor aantoonbaarheid: leg vast wat je doet, hoe je het doet en wie er verantwoordelijk voor is.
5. Train medewerkers op de nieuwe beleidsregels en procedures, zodat de maatregelen ook in de praktijk worden nageleefd.

Een veelgemaakte fout is het opstellen van uitgebreide documentatie die vervolgens in een la verdwijnt. Richt maatregelen zo in dat ze aansluiten op de dagelijkse werkprocessen van je medewerkers. Informatiebeveiliging moet werken in de praktijk, niet alleen kloppen op papier. Bekijk de beschikbare implementatiediensten als je behoefte hebt aan begeleiding bij deze fase.

Valideer het systeem met een interne audit

Voordat je de externe audit ingaat, voer je een interne audit uit. Dit is geen formaliteit: een goed uitgevoerde interne audit geeft waardevolle inzichten in de werking van je ISMS en laat zien waar nog verbeteringen nodig zijn.

1. Stel een auditprogramma op dat alle relevante clausules en beheersmaatregelen dekt.
2. Wijs een auditor aan die onafhankelijk is van de te auditeren processen. Dit kan een interne medewerker zijn of een externe partij.
3. Voer de audit uit aan de hand van vooraf opgestelde checklists en verzamel bewijsmateriaal.
4. Documenteer bevindingen, non-conformiteiten en verbeterpunten in een auditrapport.
5. Stel correctieve maatregelen op voor elke non-conformiteit en verifieer de opvolging.

Beschouw de interne audit als een generale repetitie voor de externe certificeringsaudit. Externe auditors letten sterk op de kwaliteit van interne audits als bewijs dat je ISMS daadwerkelijk functioneert en dat de organisatie continu verbetert. Meer informatie over hoe een interne audit bijdraagt aan een sterker managementsysteem vind je in het dienstenoverzicht.

Bereid de externe certificeringsaudit voor

Met een functionerend ISMS en een afgeronde interne audit ben je klaar om de externe certificeringsaudit voor te bereiden. De externe audit bestaat doorgaans uit twee fasen: een documentatiebeoordeling (fase 1) en een uitvoeringsaudit op locatie (fase 2).

1. Selecteer een geaccrediteerde certificeringsinstelling en plan de audit ruim van tevoren in.
2. Zorg dat alle verplichte documentatie compleet en up-to-date is, inclusief het risicoregister, het SoA, beleidsdocumenten en auditverslagen.
3. Bereid medewerkers voor op gesprekken met de externe auditor. Ze moeten kunnen uitleggen hoe processen werken en hoe ze bijdragen aan informatiebeveiliging.
4. Verwerk alle openstaande bevindingen uit de interne audit voordat de externe audit plaatsvindt.
5. Plan een interne evaluatie direct na de externe audit om eventuele verbeterpunten snel op te pakken.

Verwacht dat de externe auditor niet alleen naar documentatie kijkt, maar ook naar de praktijk. Kunnen medewerkers uitleggen wat ze doen en waarom? Is er bewijs dat processen daadwerkelijk worden uitgevoerd? Als dat het geval is, sta je sterk. Na een succesvolle audit ontvang je het ISO 27001-certificaat, geldig voor drie jaar, met jaarlijkse surveillance-audits om continuïteit te borgen.

Hoe wij helpen met ISO 27001 implementeren

Een ISO 27001-implementatie is goed te doen, maar vergt tijd, kennis en consistente aandacht. Kwinzo ondersteunt organisaties in zorg, ICT en onderwijs bij het volledige traject: van de eerste nulmeting en gap-analyse tot de interne audit en de voorbereiding op de externe certificering.

• Bewezen methodiek: De Kwinzo-methode combineert slimme standaardisering met persoonlijke begeleiding, zodat het traject efficiënt verloopt zonder in te leveren op maatwerk.
• Eigen ISMS-tool: Wij werken met een eigen tooling-omgeving die het beheer van documentatie, risico’s en maatregelen overzichtelijk maakt.
• Interne audits: Wij voeren interne audits uit als onafhankelijke partij, zodat je goed voorbereid de externe audit ingaat.
• Maandelijkse workshops: Voor Security Officers bieden wij maandelijkse sessies aan gericht op specifieke onderdelen van de norm, met ruimte voor praktijkvragen.
• Flexibele begeleidingspakketten: Van doe-het-zelf met coaching tot volledige begeleiding, afgestemd op jouw organisatie en beschikbare capaciteit.

Wil je weten wat een ISO 27001-traject voor jouw organisatie betekent qua doorlooptijd, kosten en inzet? Neem dan contact met ons op voor een vrijblijvend adviesgesprek.