Hoeveel maatregelen zijn er in ISO 27001 en moet ik ze allemaal uitvoeren?

ISO 27001 bevat 93 maatregelen, ook wel controls of Annex A-maatregelen genoemd. Een veelgestelde vraag is: moet je ze allemaal uitvoeren? Het korte antwoord is nee. De norm vereist niet dat je elke maatregel implementeert, maar wel dat je bewust en onderbouwd bepaalt welke maatregelen van toepassing zijn op jouw organisatie. Dit artikel legt stap voor stap uit hoe je dat proces doorloopt, van risicobeoordeling tot continue verbetering van je ISO 27001-implementatie.

De 93 ISO 27001-controls zijn onderverdeeld in vier categorieën: organisatorische, mensgerichte, fysieke en technologische maatregelen. Welke je nodig hebt, hangt volledig af van de risico’s die jouw organisatie loopt. Het proces begint dus niet bij de maatregelen zelf, maar bij een grondige risicoanalyse.

Bepaal welke maatregelen relevant zijn voor jouw organisatie

Voordat je ook maar één maatregel implementeert, breng je eerst de informatiebeveiligingsrisico’s van jouw organisatie in kaart. Dit is de basis van de hele ISO 27001-aanpak. Zonder een gedegen risicoanalyse kies je maatregelen op gevoel in plaats van op onderbouwing, en dat is precies wat de norm wil voorkomen.

1. Identificeer de informatieactiva van jouw organisatie, zoals systemen, databases, processen en persoonsgegevens.
2. Breng per activum de relevante dreigingen en kwetsbaarheden in kaart.
3. Beoordeel de kans en impact van elk risico om te bepalen welke risico’s onaanvaardbaar zijn.
4. Koppel aan elk onaanvaardbaar risico een of meerdere passende Annex A-maatregelen.

Na dit proces heb je een overzicht van de controls die voor jouw situatie relevant zijn. Maatregelen die geen enkel risico adresseren, hoef je niet te implementeren, maar je moet wel kunnen uitleggen waarom je ze hebt uitgesloten. Dat is precies wat de volgende stap regelt.

Stel een Statement of Applicability op

Het Statement of Applicability, afgekort SoA, is een verplicht document binnen ISO 27001. Het vormt de schakel tussen jouw risicoanalyse en de daadwerkelijke implementatie van informatiebeveiligingsmaatregelen. In dit document leg je voor alle 93 controls vast of ze van toepassing zijn, en zo ja, in welke mate ze al zijn geïmplementeerd.

1. Neem alle 93 Annex A-controls op in het document.
2. Geef per control aan of deze van toepassing is op jouw organisatie.
3. Motiveer elke uitsluiting met een duidelijke onderbouwing, bijvoorbeeld omdat een control niet relevant is voor jouw bedrijfsvoering of risicoprofiel.
4. Vermeld de implementatiestatus van elke geselecteerde control: gepland, in uitvoering of geïmplementeerd.

Het SoA is niet alleen een intern werkdocument, maar ook een belangrijk bewijsstuk tijdens de externe audit. Een goed opgesteld Statement of Applicability laat zien dat je bewuste keuzes hebt gemaakt op basis van risico’s, en niet willekeurig maatregelen hebt overgeslagen. Controleer of elke uitsluiting aantoonbaar onderbouwd is voordat je verdergaat.

Implementeer de geselecteerde controls stap voor stap

Met het SoA als leidraad begin je aan de daadwerkelijke implementatie van de geselecteerde ISO 27001-controls. Dit is vaak de meest arbeidsintensieve fase, maar door gestructureerd te werken houd je het overzichtelijk en beheersbaar. Prioriteer de maatregelen op basis van de ernst van de risico’s die ze adresseren.

1. Groepeer de te implementeren controls op thema, zoals toegangsbeheer, incidentbeheer of leveranciersbeveiliging.
2. Wijs per thema een verantwoordelijke aan binnen de organisatie.
3. Stel per control een concrete actie op met een realistisch tijdpad.
4. Documenteer de implementatie zodat je later kunt aantonen dat de maatregel daadwerkelijk is ingevoerd.

Een veelgemaakte fout is het implementeren van maatregelen puur op papier, zonder dat ze verankerd zijn in de dagelijkse werkprocessen. Zorg er daarom voor dat medewerkers op de hoogte zijn van nieuwe procedures en dat beleidsdocumenten ook daadwerkelijk worden nageleefd. Trainingen voor medewerkers kunnen hierbij een waardevolle bijdrage leveren.

Controleer of de maatregelen effectief werken

Implementeren is niet hetzelfde als effectief beveiligen. Na de implementatie is het essentieel om te toetsen of de maatregelen in de praktijk het gewenste effect hebben. Dit doe je door periodieke monitoring en interne audits.

1. Stel meetcriteria op per control, zodat je objectief kunt beoordelen of de maatregel werkt.
2. Voer periodieke interne controles uit om te verifiëren of procedures worden nageleefd.
3. Plan een interne audit als generale repetitie voor de externe certificeringsaudit.
4. Registreer afwijkingen en verbeterpunten in een correctieve actielijst.

Na een interne audit weet je precies waar de zwakke plekken zitten en welke maatregelen nog onvoldoende werken. Dit geeft je de kans om verbeteringen door te voeren voordat een externe auditor langskomt. Verwacht na een interne audit altijd een lijst met bevindingen, dat is geen teken van falen maar juist van een goed functionerend managementsysteem.

Pas de maatregelenset aan bij veranderende risico’s

ISO 27001 is geen eenmalig project maar een continu verbeterproces. Risico’s veranderen doordat organisaties groeien, nieuwe technologieën introduceren, van leverancier wisselen of te maken krijgen met nieuwe wet- en regelgeving. Je maatregelenset moet daarin meebewegen.

1. Herhaal de risicoanalyse minimaal jaarlijks of na significante organisatorische veranderingen.
2. Actualiseer het Statement of Applicability op basis van nieuwe of vervallen risico’s.
3. Voeg nieuwe controls toe wanneer risico’s dat vereisen, of sluit bestaande controls uit als ze niet langer relevant zijn.
4. Bespreek de uitkomsten in de directiebeoordeling zodat het management aantoonbaar betrokken blijft.

Door de maatregelenset regelmatig te herzien, blijft informatiebeveiliging aansluiten op de werkelijkheid van jouw organisatie. Een verouderde risicoanalyse leidt tot een verouderde maatregelenset, en dat is precies het soort kwetsbaarheid dat auditors signaleren. Koppel elke wijziging terug aan het SoA zodat de documentatie altijd actueel is. Meer informatie over de verschillende normen en wat ze voor jouw organisatie betekenen, vind je op de normenoverzichtspagina.

Hoe Kwinzo helpt bij ISO 27001 maatregelen

Het selecteren, implementeren en onderhouden van de juiste Annex A-maatregelen kost tijd en vraagt om inhoudelijke kennis. Hoeveel begeleiding een organisatie nodig heeft, verschilt per situatie en hangt af van factoren zoals de omvang van de organisatie, de complexiteit van de IT-omgeving, het bestaande volwassenheidsniveau op het gebied van informatiebeveiliging en de sector waarin je actief bent. Kwinzo begeleidt organisaties in zorg, ICT en onderwijs door dit proces efficiënt en behapbaar te maken, zonder in te leveren op maatwerk.

• Risicoanalyse en SoA: Wij helpen je een gedegen risicoanalyse uitvoeren en stellen samen met jou een volledig en auditproof Statement of Applicability op.
• Implementatiebegeleiding: Via onze eigen ISMS-tool en bewezen implementatiemethodiek begeleiden we je stap voor stap door de implementatie van de geselecteerde controls.
• Interne audits: Onze interne auditors toetsen of de maatregelen effectief werken en bereiden jouw organisatie voor op de externe certificeringsaudit.
• Onderhoud en beheer: We ondersteunen je bij het actueel houden van je maatregelenset en managementsysteem, ook na certificering.
• Workshops voor Security Officers: Maandelijkse sessies gericht op specifieke onderdelen van de norm, met ruimte voor vragen en praktijkervaringen.

Wil je weten welke ISO 27001 maatregelen relevant zijn voor jouw organisatie en hoe je het certificeringstraject slim aanpakt? Neem contact op voor een vrijblijvend adviesgesprek.