In welke volgorde pak ik ISO 27001 aan?

De juiste volgorde voor een ISO 27001-implementatie is: start met een nulmeting, stel de scope vast, voer een risicoanalyse uit, implementeer de beheersmaatregelen, bouw het managementsysteem op, voer een interne audit uit en sluit af met de externe certificeringsaudit. Deze volgorde volgt de logica van de norm zelf en zorgt ervoor dat elke stap voortbouwt op de vorige. De vragen hieronder lichten elk onderdeel van dit traject verder toe.

Waar begin je met ISO 27001?

Je begint een ISO 27001-traject altijd met een nulmeting en het vaststellen van de scope. De nulmeting brengt in kaart wat er al aanwezig is op het gebied van informatiebeveiliging en waar de grootste hiaten zitten ten opzichte van de norm. De scope bepaalt voor welke onderdelen van de organisatie de certificering gaat gelden.

Deze twee stappen vormen het fundament van alles wat volgt. Zonder een helder beeld van de huidige situatie loop je het risico om maatregelen te implementeren die niet aansluiten op de werkelijke risico’s van jouw organisatie. De scope is bovendien bepalend voor de omvang van het traject: hoe breder de scope, hoe meer processen, systemen en locaties je moet meenemen.

Na de nulmeting en scopebepaling stel je de context van de organisatie vast. Dit betekent dat je in kaart brengt welke interne en externe factoren van invloed zijn op informatiebeveiliging, en wie de relevante belanghebbenden zijn. Denk aan klanten, leveranciers, toezichthouders en medewerkers. Pas als dit helder is, heeft het zin om verder te gaan met de volgende stappen in het traject. Meer over de ISO 27001-norm en wat deze inhoudt, vind je op onze normpagina.

Wat zijn de verplichte stappen in de ISO 27001-implementatie?

De ISO 27001-implementatie kent een aantal verplichte stappen die voortkomen uit de structuur van de norm zelf. In volgorde zijn dat: nulmeting en scopebepaling, contextanalyse, risicoanalyse en risicobeoordeling, opstellen van een risicobehandelplan, implementatie van beheersmaatregelen, opbouw van documentatie, interne audit, directiebeoordeling en tot slot de externe certificeringsaudit.

Elke stap is verplicht en mag niet worden overgeslagen. De norm schrijft voor dat je risicomanagement systematisch aanpakt en dat je beslissingen onderbouwt met documentatie. Dit betekent concreet dat je onder andere de volgende documenten moet opstellen en bijhouden:

• Een informatiebeveiligingsbeleid
• Een risicobeoordeling en risicobehandelplan
• Een Verklaring van Toepasselijkheid (Statement of Applicability)
• Procedures voor incidentbeheer, toegangscontrole en bedrijfscontinuïteit
• Interne auditrapportages en verslagen van de directiebeoordeling

De Verklaring van Toepasselijkheid is een bijzonder belangrijk document: hierin geef je per beheersmaatregel uit Annex A aan of deze van toepassing is op jouw organisatie en waarom. Dit document is verplicht voor de certificeringsaudit en laat de auditor zien dat je bewuste keuzes hebt gemaakt. Bekijk onze implementatiediensten voor meer informatie over hoe een begeleid traject eruitziet.

Hoe lang duurt een ISO 27001-traject gemiddeld?

Een ISO 27001-traject duurt voor de meeste organisaties tussen de zes en achttien maanden, afhankelijk van de omvang van de organisatie, de complexiteit van de scope en de hoeveelheid voorbereiding die al aanwezig is. Kleinere organisaties met een beperkte scope kunnen soms binnen zes maanden klaar zijn; grotere organisaties met meerdere locaties of complexe IT-omgevingen hebben doorgaans meer tijd nodig.

De doorlooptijd wordt sterk bepaald door twee factoren: de beschikbare capaciteit binnen de organisatie en de mate van ondersteuning van het management. Als medewerkers naast hun reguliere werk aan het traject moeten werken zonder vrijgemaakte tijd, loopt het traject vrijwel altijd uit. Managementbetrokkenheid is cruciaal omdat de norm expliciet vraagt om leiderschap en toewijzing van middelen.

Een veelgemaakte vergissing is om de doorlooptijd te onderschatten. De implementatie van maatregelen is slechts een deel van het werk. De norm vereist ook dat maatregelen aantoonbaar werken in de praktijk. Dit betekent dat je een periode nodig hebt waarin het systeem draait, incidenten worden geregistreerd en verbeteringen worden doorgevoerd, voordat de externe auditor kan vaststellen dat het managementsysteem effectief is.

Wanneer voer je de risicoanalyse uit in het traject?

De risicoanalyse voer je uit na de nulmeting en de contextanalyse, maar voordat je begint met het implementeren van beheersmaatregelen. Dit is het logische moment omdat de risicoanalyse bepaalt welke maatregelen noodzakelijk zijn en welke prioriteit ze krijgen. Maatregelen implementeren zonder risicoanalyse leidt tot een systeem dat niet aansluit op de werkelijke bedreigingen.

Tijdens de risicoanalyse breng je systematisch in kaart welke informatiebeveiligingsrisico’s de organisatie loopt. Je beoordeelt voor elk risico de kans dat het zich voordoet en de impact als het daadwerkelijk gebeurt. Op basis van die beoordeling kies je per risico een behandelstrategie: accepteren, vermijden, overdragen of beheersen met een maatregel.

De risicoanalyse is geen eenmalige activiteit. ISO 27001 vereist dat je risico’s periodiek herbeoordeelt, zeker als er veranderingen optreden in de organisatie, de IT-omgeving of de dreigingen van buitenaf. Dit maakt risicomanagement een doorlopend onderdeel van het managementsysteem, niet alleen een stap in het implementatietraject.

Wat is het verschil tussen de interne audit en de externe audit?

De interne audit is een eigen beoordeling van het managementsysteem die de organisatie zelf uitvoert of laat uitvoeren door een onafhankelijke partij, terwijl de externe audit wordt uitgevoerd door een geaccrediteerde certificeringsinstelling die beoordeelt of de organisatie voldoet aan de eisen van ISO 27001. Alleen een externe audit leidt tot een officieel certificaat.

De interne audit heeft een andere functie dan de externe: het doel is om verbeterpunten te identificeren en te controleren of het systeem werkt zoals bedoeld, voordat de externe auditor komt. Denk aan de interne audit als een generale repetitie. Je ontdekt tekortkomingen op een moment dat je ze nog kunt oplossen zonder gevolgen voor de certificering.

De externe audit verloopt doorgaans in twee fasen. In fase één beoordeelt de auditor de documentatie en de gereedheid van de organisatie. In fase twee vindt de feitelijke systeemaudit plaats, waarbij de auditor toetst of de maatregelen in de praktijk werken. Worden er tekortkomingen gevonden, dan moet de organisatie die oplossen voordat het certificaat wordt afgegeven. Meer over hoe een interne audit werkt als voorbereiding op certificering, lees je op onze auditpagina.

Welke fouten vertragen het ISO 27001-certificeringstraject?

De meest voorkomende fouten die een ISO 27001-traject vertragen zijn: een te brede of onduidelijke scope, onvoldoende managementbetrokkenheid, een oppervlakkige risicoanalyse, documentatie die niet aansluit op de werkelijkheid en het uitstellen van de interne audit. Elk van deze fouten leidt tot herstelwerk dat de doorlooptijd aanzienlijk verlengt.

Een te brede scope is een klassieke valkuil. Hoe meer processen en systemen je meeneemt, hoe meer werk het traject oplevert. Een scherp afgebakende scope maakt het traject behapbaarder en vergroot de kans op een succesvolle eerste certificering. Na certificering kun je de scope altijd uitbreiden.

Documentatie die niet overeenkomt met de dagelijkse praktijk is een andere veelvoorkomende oorzaak van vertraging. Auditors toetsen niet alleen of documenten bestaan, maar ook of medewerkers ze kennen en ernaar handelen. Als procedures op papier staan maar in de praktijk anders worden uitgevoerd, leidt dat tot bevindingen die moeten worden opgelost. Zorg er daarom voor dat beleid en procedures worden gedragen door de mensen die ermee werken, niet alleen door de projectleider of de security officer.

Tot slot onderschatten organisaties vaak de tijd die nodig is voor de directiebeoordeling. Dit is een verplicht onderdeel waarbij het management formeel de werking van het systeem beoordeelt en beslissingen neemt over verbeteringen. Als deze beoordeling te laat wordt gepland, kan de externe audit niet doorgaan.

Hoe Kwinzo helpt bij jouw ISO 27001-traject

Wij begeleiden organisaties binnen zorg, ICT en onderwijs bij het volledige ISO 27001-traject, van de eerste nulmeting tot en met de voorbereiding op de externe certificeringsaudit. Onze aanpak combineert slimme standaardisering met persoonlijke begeleiding, zodat het traject efficiënt verloopt zonder dat maatwerk verloren gaat. De norm wordt afgestemd op de bedrijfsvoering van de klant, niet andersom.

Wat wij concreet bieden:

• Een nulmeting die inzicht geeft in de huidige situatie en de afstand tot certificering
• Begeleiding bij scopebepaling, risicoanalyse en het opstellen van de Verklaring van Toepasselijkheid
• Ondersteuning bij de opbouw van documentatie en het inrichten van het ISMS via onze eigen ISMS-tool
• Uitvoering van of begeleiding bij de interne audit als voorbereiding op de externe audit
• Maandelijkse workshops voor security officers om kennis op peil te houden
• Begeleidingspakketten variërend van doe-het-zelf tot volledige ontzorging

Wil je weten wat een ISO 27001-traject voor jouw organisatie betekent in tijd en benodigde inzet? De investering verschilt per organisatie en wordt bepaald door factoren als de omvang van de scope, de complexiteit van de IT-omgeving, de mate van externe begeleiding en hoeveel capaciteit intern beschikbaar is. Neem contact op voor een vrijblijvend adviesgesprek, zodat we samen een realistisch beeld kunnen schetsen van wat het traject voor jouw situatie inhoudt.