ISO 27001 zelf doen of een consultant inschakelen — wat is beter?

Of je ISO 27001 zelf doet of een consultant inschakelt, hangt af van de interne kennis, tijd en capaciteit die jouw organisatie beschikbaar heeft. Voor de meeste organisaties is een combinatie realistisch: een deel zelf uitvoeren, met gerichte ondersteuning op de complexere onderdelen. De vragen hieronder helpen je bepalen welke aanpak bij jouw situatie past.

Wat zijn de grootste valkuilen bij ISO 27001 zelf implementeren?

De grootste valkuilen bij het zelf implementeren van ISO 27001 zijn: onvoldoende begrip van de normvereisten, een te documentatiegerichte aanpak, en het onderschatten van de benodigde tijd en intern draagvlak. Organisaties die zonder begeleiding starten, richten zich vaak op het produceren van papier in plaats van op werkende processen.

Een veelgemaakte fout is dat de norm wordt behandeld als een checklist. ISO 27001 vraagt echter om een risicogericht managementsysteem dat aansluit op de bedrijfsvoering. Wie de norm niet goed begrijpt, bouwt een systeem dat op papier klopt maar in de praktijk niet werkt. Dat leidt niet alleen tot een mislukte externe audit, maar ook tot een gemiste kans om de organisatie echt veiliger te maken.

Andere veelvoorkomende struikelblokken zijn:

• Onvoldoende betrokkenheid van het management
• Te weinig aandacht voor de risicoanalyse en bijbehorende beheersmaatregelen
• Inconsistente documentatie die niet aansluit op de dagelijkse praktijk
• Geen structurele opvolging van bevindingen en verbeteracties
• Onbekendheid met wat een certificerende instelling daadwerkelijk beoordeelt

Hoeveel tijd en capaciteit kost ISO 27001 intern?

Een ISO 27001-implementatie vraagt intern doorgaans honderden uren aan voorbereiding, documentatie, risicoanalyse en interne audits. Voor een gemiddelde organisatie loopt de doorlooptijd van het eerste traject op tot twaalf tot achttien maanden, afhankelijk van de omvang en het volwassenheidsniveau van de bestaande processen.

De tijdsinvestering zit niet alleen bij de Security Officer of projectverantwoordelijke. Ook proceseigenaren, het management en medewerkers worden betrokken bij interviews, bewustwordingstrainingen en het vaststellen van beleid. Wie dat onderschat, loopt het risico dat het project vastloopt doordat de dagelijkse werkzaamheden voorrang krijgen.

Concreet kun je rekening houden met de volgende tijdsblokken:

• Nulmeting en gap-analyse: inzicht in wat er al is en wat nog ontbreekt
• Risicoanalyse: het systematisch in kaart brengen en beoordelen van informatiebeveiligingsrisico’s
• Documentatie: beleid, procedures en registers opstellen en afstemmen
• Bewustwording: medewerkers informeren en trainen
• Interne audit: toetsen of het systeem werkt zoals bedoeld
• Directiebeoordeling: management laat zien dat het systeem wordt bewaakt en bijgestuurd

Een interne audit is daarbij geen formaliteit, maar een waardevolle stap om zwakke plekken te ontdekken voordat de externe auditor langskomt.

Wanneer is ISO 27001 zelf doen realistisch?

ISO 27001 zelf doen is realistisch wanneer jouw organisatie beschikt over iemand met aantoonbare kennis van de norm, voldoende tijd om het traject te trekken, en een management dat actief betrokken is. Zonder die drie elementen is de kans op een succesvolle certificering aanzienlijk kleiner.

Organisaties die goed gepositioneerd zijn om (een groot deel van) het traject zelf te doorlopen, herkennen zichzelf doorgaans in het volgende profiel:

• Er is een interne Security Officer of kwaliteitsmanager met relevante achtergrond
• Er zijn al bestaande processen en documentatie waarop voortgebouwd kan worden
• De organisatie heeft eerder een kwaliteitsnorm zoals ISO 9001 geïmplementeerd
• Er is structureel tijd vrijgemaakt, niet alleen naast het reguliere werk

Is dat niet het geval, dan is volledig zelf doen riskant. Een mislukte externe audit kost tijd, geld en vertrouwen. Dat maakt gedeeltelijke begeleiding, bijvoorbeeld alleen op de complexere onderdelen, voor veel organisaties een betere afweging dan kiezen tussen volledig zelf doen of volledige uitbesteding.

Wat doet een ISO 27001 consultant precies?

Een ISO 27001 consultant begeleidt organisaties bij het opzetten, implementeren en onderhouden van een informatiebeveiligingsmanagementsysteem (ISMS) dat voldoet aan de norm. De consultant vertaalt de abstracte normeisen naar concrete maatregelen die passen bij de bedrijfsvoering van de klant.

In de praktijk omvat de rol van een informatiebeveiligingsconsultant doorgaans de volgende werkzaamheden:

• Uitvoeren van een nulmeting om het huidige beveiligingsniveau in kaart te brengen
• Begeleiden van de risicoanalyse en het selecteren van passende beheersmaatregelen
• Opstellen of reviewen van beleidsdocumenten, procedures en registers
• Adviseren over de structuur van het managementsysteem
• Uitvoeren of begeleiden van interne audits
• Voorbereiden op de externe certificeringsaudit
• Ondersteunen bij de aansluiting op aanverwante normen zoals NEN 7510 of NIS2

Een goede consultant past de norm aan op de organisatie, niet andersom. Het doel is niet een dikke map met beleidsstukken, maar een werkend systeem dat medewerkers begrijpen en dat bijdraagt aan de doelstellingen van de organisatie.

Wat zijn de kosten van ISO 27001 zelf doen versus een consultant?

De kosten van ISO 27001 zelf doen bestaan vooral uit interne uren, opleidingskosten en de externe certificeringsaudit. Externe bronnen noemen voor een gemiddeld MKB-bedrijf totaalkosten van circa 15.000 tot 50.000 euro in het eerste jaar, maar dit varieert sterk per organisatie en aanpak.

Bij zelf doen zijn de directe kosten lager, maar de verborgen kosten zijn hoger. Interne medewerkers besteden veel tijd aan een traject dat buiten hun kerncompetenties valt. Fouten in de implementatie kunnen leiden tot een heraudit, extra kosten en vertraging. Bovendien ontbreekt vaak de kennis om efficiënt te werken, waardoor het traject langer duurt dan nodig.

Met een consultant zijn de directe kosten hoger, maar de totale investering is vaak vergelijkbaar of lager doordat:

• Het traject sneller verloopt door een gestructureerde aanpak en bewezen methodieken
• Interne medewerkers minder tijd kwijt zijn aan uitzoekwerk
• De kans op een succesvolle eerste certificeringsaudit groter is
• Het systeem direct werkbaar is, niet alleen op papier

De juiste vergelijking is dan ook niet alleen de consultantfactuur tegenover de interne uren, maar de totale kosten inclusief de kans op mislukking en de waarde van een werkend systeem op de lange termijn.

Hoe kies je de juiste aanpak voor jouw organisatie?

De juiste aanpak voor ISO 27001 implementeren hangt af van drie factoren: de interne kennis en capaciteit, de urgentie van de certificering en het budget. Breng die drie factoren eerst in kaart voordat je een keuze maakt tussen volledig zelf doen, gedeeltelijke begeleiding of volledige ondersteuning.

Stel jezelf de volgende vragen:

• Heeft de organisatie iemand die de norm kent en er structureel tijd voor vrijmaakt?
• Is er managementbetrokkenheid en draagvlak in de hele organisatie?
• Hoe urgent is de certificering, bijvoorbeeld door een klantvereiste of aanbesteding?
• Zijn er al bestaande processen en documentatie waarop voortgebouwd kan worden?
• Wat zijn de risico’s van een mislukte of vertraagde certificering?

Voor veel organisaties is een hybride aanpak de meest verstandige keuze: zelf de operationele taken uitvoeren, met gerichte begeleiding op de onderdelen waar kennis of capaciteit ontbreekt. Dat combineert kostenbewustzijn met de zekerheid dat het traject goed verloopt.

Bekijk ook welke normen relevant zijn voor jouw sector. Organisaties in de zorg, ICT of het onderwijs hebben soms te maken met aanvullende normenkaders die invloed hebben op de aanpak van het ISO 27001-traject.

Hoe Kwinzo helpt bij ISO 27001 certificering

Wij begeleiden organisaties bij het volledige ISO 27001-traject, van de eerste nulmeting tot de voorbereiding op de externe certificeringsaudit. Onze aanpak combineert slimme standaardisering met persoonlijke begeleiding, zodat het certificeringsproces efficiënt verloopt zonder in te leveren op maatwerk.

Wat wij bieden:

• Implementatietrajecten op maat, waarbij de norm aansluit op jouw bedrijfsvoering
• Interne audits als voorbereiding op de externe certificering, met concrete verbeterpunten
• Maandelijkse workshops voor Security Officers die hun kennis willen verdiepen
• Een eigen ISMS-tool die het beheer van het managementsysteem overzichtelijk en werkbaar maakt
• Begeleidingspakketten variërend van doe-het-zelf met ondersteuning tot volledige begeleiding

Certificeren is voor ons geen doel op zich, maar een middel om jouw organisatie structureel sterker te maken. Wil je weten welke aanpak het beste past bij jouw situatie? Neem contact op voor een vrijblijvend adviesgesprek.