Hoe houd ik mijn ISO 27001-certificaat in stand?

Een ISO 27001-certificaat behalen is een prestatie, maar het echte werk begint daarna. Om je ISO 27001-certificaat in stand te houden gaat verder dan het archiveren van je certificaat en hopen dat de volgende audit vanzelf goed gaat. De norm vereist dat je informatiebeveiliging een levend systeem blijft: continu bewaakt, bijgestuurd en verbeterd. Dit artikel legt stap voor stap uit wat je jaarlijks moet doen om je certificering te behouden en je managementsysteem echt te laten werken.

Of je nu net gecertificeerd bent of al een paar jaar met ISO 27001 werkt, de structuur hieronder helpt je om grip te houden op het proces en onaangename verrassingen bij de volgende audit te voorkomen.

Wat je jaarlijks moet bijhouden voor ISO 27001

ISO 27001 is gebaseerd op de Plan-Do-Check-Act-cyclus. Dat betekent dat je managementsysteem voor informatiebeveiliging nooit stilstaat. Jaarlijks terugkerende verplichtingen zijn geen formaliteit, maar de ruggengraat van een werkend systeem. Wie dit verwaarloost, merkt dat bij de surveillance-audit.

Zorg dat je de volgende elementen actief bijhoudt gedurende het jaar:

• Risicoregister: beoordeel minstens jaarlijks of de geïdentificeerde risico’s nog actueel zijn en of nieuwe risico’s zijn ontstaan door organisatorische of technische veranderingen.
• Statement of Applicability (SoA): controleer of de geselecteerde beheersmaatregelen nog aansluiten op de huidige situatie van de organisatie.
• Beleid en procedures: pas documenten aan zodra processen, systemen of wetgeving wijzigen. Verouderde documentatie is een veelvoorkomende bevinding bij audits.
• Incidentenregistratie: leg beveiligingsincidenten en bijna-incidenten vast, ook als ze klein lijken. Dit vormt bewijsmateriaal voor continue verbetering.
• Bewustwording en training: zorg dat medewerkers jaarlijks worden geïnformeerd over informatiebeveiligingsbeleid en hun verantwoordelijkheden.

Controleer aan het einde van elk kwartaal of bovenstaande elementen zijn bijgewerkt. Zo voorkom je dat je aan het einde van het jaar met een achterstand zit die je niet meer kunt inhalen voor de audit.

Plan interne audits en directiebeoordeling in

Twee verplichte activiteiten die organisaties regelmatig vergeten goed in te plannen, zijn de interne audit en de directiebeoordeling. Beide zijn vereist onder ISO 27001 en beide leveren waardevolle informatie op voor de verdere verbetering van het systeem.

Plan de interne audit minimaal één keer per jaar in, ruim voor de externe surveillance-audit. Zo heb je tijd om bevindingen op te lossen voordat de certificerende instelling langskomt. Volg deze stappen:

1. Stel een auditplan op met de te auditen processen, afdelingen en normeisen.
2. Wijs een onafhankelijke auditor aan, iemand die niet direct verantwoordelijk is voor het geauditeerde proces.
3. Voer de audit uit aan de hand van checklists die zijn afgeleid van de ISO 27001-normeisen.
4. Leg bevindingen, non-conformiteiten en verbeterpunten vast in een auditrapport.
5. Presenteer de uitkomsten aan het management als input voor de directiebeoordeling.

De directiebeoordeling volgt idealiter kort na de interne audit. In deze vergadering beoordeelt het management de prestaties van het ISMS op basis van auditresultaten, incidenten, klantfeedback en wijzigingen in de context van de organisatie. Zorg dat de beslissingen en actiepunten uit deze beoordeling worden gedocumenteerd. Dit is verplicht bewijsmateriaal voor de surveillance-audit.

Verwerk verbeteringen en corrigerende maatregelen

Met de uitkomsten van de interne audit en directiebeoordeling in handen, is de volgende stap het omzetten van bevindingen in concrete acties. ISO 27001 vereist dat non-conformiteiten worden opgevolgd met corrigerende maatregelen die de onderliggende oorzaak aanpakken, niet alleen het symptoom.

Werk verbeteringen en corrigerende maatregelen als volgt uit:

1. Analyseer de oorzaak van elke non-conformiteit. Vraag jezelf af waarom het probleem is ontstaan, niet alleen wat er mis ging.
2. Formuleer een maatregel die de oorzaak wegneemt en stel een verantwoordelijke en deadline vast.
3. Voer de maatregel uit en documenteer wat er is gedaan.
4. Controleer na implementatie of de maatregel effectief is geweest. Is het probleem daadwerkelijk opgelost?
5. Sla alle documentatie op in je managementsysteem als bewijs van opvolging.

Een veelgemaakte fout is dat organisaties maatregelen formuleren maar de effectiviteitscontrole overslaan. Juist die controle toont aan dat je systeem werkt en is een belangrijk toetspunt voor de auditor. Houd een overzicht bij van alle openstaande en afgeronde corrigerende maatregelen, zodat je altijd actueel inzicht hebt in de status.

Bereid de surveillance-audit voor

Bij ISO 27001-hercertificering spreek je over een volledige hercertificeringsaudit die plaatsvindt na drie jaar. In de tussenliggende jaren voert de certificerende instelling jaarlijkse surveillance-audits uit. Deze zijn korter dan de initiële certificeringsaudit, maar mogen niet worden onderschat. De auditor controleert of het systeem nog steeds functioneert en of eerdere bevindingen zijn opgelost.

Bereid de ISO 27001-surveillance-audit voor met de volgende acties:

1. Verzamel alle bewijsdocumentatie van het afgelopen jaar: auditrapport, directiebeoordelingsverslag, incidentenlog, trainingsregistraties en bijgewerkte risicoanalyse.
2. Controleer of alle corrigerende maatregelen uit de vorige audit zijn afgerond en gedocumenteerd.
3. Loop de normeisen door die de auditor waarschijnlijk zal toetsen en zorg dat je voor elk onderdeel actueel bewijs kunt tonen.
4. Informeer betrokken medewerkers over de komende audit en hun rol daarin.
5. Plan een korte voorbereiding met de verantwoordelijke Security Officer of CISO om eventuele gaten te identificeren.

Verwacht dat de auditor niet alleen naar papier kijkt, maar ook gesprekken voert met medewerkers. Zorg dat zij weten wat het informatiebeveiligingsbeleid inhoudt en hoe zij omgaan met beveiligingsincidenten. Een goed voorbereid team geeft de auditor vertrouwen dat het systeem niet alleen op papier klopt, maar ook in de praktijk werkt.

Stuur bij na de audit en houd het systeem actueel

Na de surveillance-audit is het verleidelijk om het systeem even los te laten. Toch is dit het moment om direct te handelen op basis van de auditbevindingen en de cyclus opnieuw te starten. ISO 27001 continu verbeteren is geen optioneel onderdeel van de norm, maar een kernvereiste.

Volg na elke audit deze stappen om het systeem actueel te houden:

1. Verwerk auditbevindingen direct als corrigerende maatregelen in je systeem, ook als het gaat om opmerkingen zonder formele non-conformiteit.
2. Actualiseer het auditprogramma voor het komende jaar op basis van de bevindingen en risico-ontwikkelingen.
3. Beoordeel of wijzigingen in de organisatie, zoals nieuwe systemen, fusies of gewijzigde processen, aanpassingen vereisen in het managementsysteem voor informatiebeveiliging.
4. Stel nieuwe doelstellingen voor informatiebeveiliging vast voor het komende jaar en koppel deze aan meetbare indicatoren.

Een goed werkend ISMS is geen statisch document maar een dynamisch systeem dat meebeweegt met de organisatie. Wie het systeem actief onderhoudt via de dienstverlening rondom onderhoud en beheer, merkt dat audits minder belastend worden en het systeem steeds meer waarde toevoegt aan de dagelijkse bedrijfsvoering. Leg ook wijzigingen in de context van de organisatie vast, zoals nieuwe wet- en regelgeving of verschuivingen in het dreigingslandschap, en beoordeel wat deze betekenen voor je risicoanalyse.

Hoe Kwinzo helpt met ISO 27001 in stand houden

Wij begrijpen dat het onderhouden van een ISO 27001-certificaat naast de dagelijkse bedrijfsvoering een flinke opgave kan zijn. Kwinzo ondersteunt organisaties niet alleen bij de initiële certificering, maar ook bij het structureel in stand houden van het systeem. Onze aanpak is gericht op een systeem dat écht werkt in de praktijk, niet alleen op papier.

Wat wij hierin bieden:

• Interne audits: wij voeren onafhankelijke interne audits uit die dienen als een grondige voorbereiding op de surveillance-audit, inclusief een helder rapport met concrete verbeterpunten.
• Onderhoud en beheer van het ISMS: via onze eigen ISMS-tool houden wij het managementsysteem actueel en zorgen wij dat documentatie, risicoanalyses en maatregelen altijd up-to-date zijn.
• Maandelijkse workshops voor Security Officers: elke sessie behandelt een specifiek onderdeel van de ISO 27001-norm, met ruimte voor praktijkvragen en kennisdeling.
• Begeleiding bij directiebeoordeling: wij ondersteunen bij de voorbereiding en uitvoering van de directiebeoordeling, zodat management de juiste beslissingen neemt op basis van actuele informatie.
• Corrigerende maatregelen opvolgen: wij helpen bij het analyseren van bevindingen en het opstellen en monitoren van effectieve corrigerende maatregelen.

Wil je weten hoe wij jouw organisatie kunnen ondersteunen bij het in stand houden van je ISO 27001-certificaat? Neem contact op voor een vrijblijvend adviesgesprek.