Hoe groot is de kans dat ik zak voor de ISO 27001-audit?

De ISO 27001-audit nadert en je vraagt je af: hoe groot is de kans dat ik zak? Het eerlijke antwoord is dat de meeste organisaties die zakken, dat niet doen omdat ze slecht bezig zijn met informatiebeveiliging. Ze zakken omdat ze onvoldoende weten wat auditors precies beoordelen, en daardoor blinde vlekken laten bestaan die bij de audit alsnog zichtbaar worden.

In dit artikel doorloop je stap voor stap hoe je je risico realistisch inschat, zwakke punten tijdig corrigeert en met gerichte voorbereiding de kans op een succesvol ISO 27001-certificaat aanzienlijk vergroot. Volg de stappen in volgorde: elke fase bouwt voort op de vorige.

Wat auditors écht beoordelen tijdens de ISO 27001-audit

Voordat je kunt verbeteren, moet je begrijpen wat er beoordeeld wordt. Veel organisaties denken dat een ISO 27001-audit draait om technische maatregelen zoals firewalls, encryptie en toegangsbeheer. Dat klopt maar gedeeltelijk. Slechts ongeveer een derde van de maatregelen in de norm is IT-gerelateerd. Het overgrote deel gaat over organisatie en gedrag.

Auditors beoordelen vier samenhangende domeinen:

• Techniek (ICT): encryptie, toegangsbeheer, patchmanagement en logmonitoring
• Fysiek: beveiliging van locaties, apparatuur en toegang tot gevoelige ruimtes
• Mens: bewustwording, gedrag en duidelijke verantwoordelijkheden bij medewerkers
• Organisatie: beleid, processen en aantoonbare risicobeheersing die de andere drie domeinen borgen

Wat auditors boven alles willen zien, is aantoonbaarheid. Niet alleen dat je iets doet, maar dat je kunt bewijzen dat je het doet, dat je het evalueert, en dat je erop verbetert. Een goed beleidsdocument zonder bewijs van uitvoering levert een bevinding op. Een risicobeoordeling die al twee jaar niet is herzien, eveneens. Houd dit principe in gedachten bij elke volgende stap.

De meest voorkomende redenen waarom organisaties zakken

Inzicht in de meest voorkomende valkuilen is de kortste weg naar een betere voorbereiding. De patronen die terugkeren bij organisaties die een bevinding krijgen of zakken voor de ISO 27001-audit, zijn opvallend consistent.

1. Onvolledige of verouderde risicobeoordelingen: De norm vereist een systematische en periodiek bijgewerkte risicobeoordeling. Organisaties die dit eenmalig hebben gedaan en sindsdien niet hebben herzien, lopen hier altijd op vast.
2. Ontbrekende aantoonbaarheid: Beleid bestaat, maar er zijn geen registraties van uitvoering, evaluaties of verbeteracties. Auditors vragen om bewijs, niet om intenties.
3. Directiebetrokkenheid ontbreekt: ISO 27001 vereist aantoonbare betrokkenheid van het management. Als de directie geen actieve rol speelt in het managementsysteem, is dat een structurele tekortkoming.
4. Interne audits zijn niet of onvoldoende uitgevoerd: Een interne audit is verplicht vóór de externe audit. Organisaties die dit overslaan of oppervlakkig uitvoeren, missen de kans om zwakke punten intern te ontdekken.
5. Statement of Applicability (SoA) is niet actueel: De SoA moet alle beheersmaatregelen bevatten met een onderbouwde keuze voor toepassing of uitsluiting. Een verouderde of onvolledige SoA is een veelvoorkomende kritische bevinding.
6. Medewerkers kennen het beleid niet: Bewustwording is een expliciete vereiste. Als medewerkers niet weten wat de gedragsregels zijn of hoe ze een incident melden, signaleert de auditor een zwakke plek in het mensdomein.

Herken je een of meer van deze punten? Dan weet je waar je energie naartoe moet. De volgende stap helpt je dit systematisch in kaart te brengen.

Beoordeel zelf je risico vóór de externe audit

Voer een eerlijke zelfevaluatie uit voordat de auditor arriveert. Dit is geen formele audit, maar een gerichte check waarmee je blinde vlekken opspoort. Reserveer hiervoor minimaal een halve dag met de betrokken collega’s.

1. Loop de eisen van de norm (clausules 4 tot en met 10) punt voor punt door en stel per eis de vraag: hebben wij hier aantoonbaar bewijs van?
2. Controleer de datum van je laatste risicobeoordeling. Is die ouder dan twaalf maanden, of zijn er sindsdien significante wijzigingen in de organisatie of IT-omgeving geweest? Dan is een herziening noodzakelijk.
3. Vraag drie willekeurige medewerkers buiten de IT-afdeling naar het beveiligingsbeleid en de meldprocedure voor incidenten. De antwoorden geven een eerlijk beeld van het bewustzijnsniveau.
4. Controleer of alle maatregelen in de SoA daadwerkelijk zijn geïmplementeerd en of de onderbouwing actueel is.
5. Inventariseer openstaande bevindingen uit eerdere interne audits of managementreviews. Zijn die opgevolgd en afgesloten?

Noteer per punt de status: in orde, gedeeltelijk in orde, of ontbrekend. Dit geeft je een concreet overzicht van de gebieden die aandacht nodig hebben vóór de externe audit. Met dit overzicht in de hand ga je naar de volgende stap.

Corrigeer zwakke punten in de aanloop naar de audit

Prioriteer de bevindingen uit je zelfevaluatie op basis van ernst. Een ontbrekende risicobeoordeling of een niet-uitgevoerde interne audit zijn kritische tekortkomingen die de audit kunnen doen mislukken. Begin daar. Kleinere hiaten, zoals een beleidsdocument dat een kleine update nodig heeft, pak je daarna aan.

Kritische tekortkomingen aanpakken

Plan een risicobeoordelingssessie in met de juiste stakeholders als de huidige versie verouderd is. Documenteer de uitkomst volledig: geïdentificeerde risico’s, beoordeling van kans en impact, en de gekozen beheersmaatregelen. Zorg dat de directie de uitkomst formeel accordeert, want dat is een expliciete eis.

Is de interne audit nog niet uitgevoerd, plan die dan zo snel mogelijk in. Laat de interne audit uitvoeren door iemand die onafhankelijk is van het te auditeren gebied, zodat de bevindingen objectief zijn. De interne audit dient als generale repetitie voor de externe audit: bevindingen die intern worden gevonden, kun je nog corrigeren. Bevindingen die de externe auditor vindt, niet meer.

Documentatie en aantoonbaarheid versterken

Doorloop je beleidsdocumenten en controleer de versiedatum en de goedkeuringsstatus. Zorg dat bewijs van uitvoering beschikbaar is: trainingsregistraties, logbestanden, notulen van managementreviews en incidentregistraties. Leg alles vast op een manier die de auditor eenvoudig kan inzien. Een gestructureerd ISMS helpt hierbij aanzienlijk, omdat alle documentatie op één plek staat en eenvoudig is terug te vinden.

Met de kritische punten gecorrigeerd en de documentatie op orde, is de volgende stap het actief verhogen van je slagingskans in de laatste weken voor de audit.

Vergroot je slagingskans met gerichte voorbereiding

De periode direct voor de ISO 27001-audit is niet de tijd voor grote systeemwijzigingen. Het is de tijd voor verificatie, herhaling en rust. Gebruik deze fase om te bevestigen dat alles wat je hebt ingericht ook daadwerkelijk werkt en aantoonbaar is.

1. Simuleer een auditorvraag: Oefen met collega’s door vragen te stellen zoals een auditor dat zou doen. “Kunt u mij laten zien hoe een medewerker een beveiligingsincident meldt?” of “Waar vind ik de meest recente versie van het toegangsbeleid?” De antwoorden onthullen of processen echt leven of alleen op papier bestaan.
2. Brief alle betrokken medewerkers: Zorg dat iedereen die tijdens de audit gesproken kan worden, weet wat de auditor kan vragen en waar de relevante documentatie staat. Dit hoeft geen uitgebreide training te zijn, een korte sessie van dertig minuten volstaat.
3. Controleer de logistiek: Zorg dat alle documenten toegankelijk zijn, dat de auditor de juiste contactpersonen ontmoet, en dat er tijd is ingepland voor een openings- en slotgesprek.
4. Accepteer dat kleine bevindingen normaal zijn: Vrijwel elke audit levert enkele opmerkingen op. Dat is niet per definitie een probleem. Een kritische bevinding (major non-conformity) is wat de certificering blokkeert. Kleine bevindingen (minor non-conformities of observaties) zijn verbeterpunten die je na de audit oppakt.

Verifieer ten slotte of je managementsysteem als geheel aantoont dat je een cyclus van plannen, uitvoeren, controleren en verbeteren doorloopt. Dat is de kern van ISO 27001-certificering: niet perfectie, maar aantoonbare en systematische beheersing van informatiebeveiliging. Als je dat kunt laten zien, is de kans dat je zakt aanzienlijk kleiner dan je misschien dacht.

Hoe Kwinzo helpt bij de voorbereiding op de ISO 27001-audit

Wij begeleiden organisaties door het volledige ISO 27001-traject, van de eerste nulmeting tot en met de voorbereiding op de externe certificering. Onze aanpak is gericht op wat écht werkt in de praktijk, niet alleen op papier. Concreet bieden wij:

• Implementatiebegeleiding: we richten het ISMS in op basis van jouw bedrijfsvoering, met onze eigen ISMS-tool als fundament voor gestructureerde documentatie en aantoonbaarheid
• Onafhankelijke interne audits: uitgevoerd door een andere consultant dan de begeleidende consultant, zodat de bevindingen objectief en bruikbaar zijn als voorbereiding op de externe audit
• Maandelijkse workshops voor Security Officers, gericht op specifieke onderdelen van de norm met ruimte voor praktijkvragen
• Flexibele begeleiding: van volledige ontzorging tot een meer zelfstandige aanpak, afgestemd op de ervaring en capaciteit van jouw organisatie
• Begeleiding bij aanverwante normen zoals NEN-7510 en NIS2, inclusief GAP-analyses om vanuit ISO 27001 ook aan aanvullende eisen te voldoen

Wil je weten hoe sterk jouw organisatie er nu voor staat en wat er nodig is om de audit succesvol te doorlopen? Neem contact op voor een vrijblijvend adviesgesprek. We maken samen een eerlijke inschatting van de benodigde inzet en de stappen die jouw organisatie nog moet zetten. De doorlooptijd en het werk dat daarvoor nodig is, verschillen per organisatie en hangen af van factoren zoals de huidige volwassenheid van het ISMS, de omvang van de organisatie, het aantal te beoordelen processen en de beschikbare interne capaciteit.