Wat is het stappenplan voor ISO 27001-certificering?

Een ISO 27001-certificeringstraject bestaat uit een vaste reeks stappen: nulmeting, risicoanalyse, implementatie van het managementsysteem, interne audit, directiebeoordeling en tot slot de externe certificeringsaudit in twee fasen. Het volledige traject duurt voor de meeste organisaties tussen de zes maanden en anderhalf jaar, afhankelijk van de startpositie en de complexiteit van de organisatie. In dit artikel beantwoorden we de meest gestelde vragen over het stappenplan voor ISO 27001, van de eerste stap tot aan de verlenging van het certificaat.

Hoe lang duurt een ISO 27001-certificeringstraject?

Een gemiddeld ISO 27001-certificeringstraject duurt tussen de zes en achttien maanden. Organisaties die al een volwassen beveiligingscultuur hebben of eerder met vergelijkbare normen hebben gewerkt, komen sneller uit. Organisaties die vrijwel van nul beginnen, hebben meer tijd nodig om beleid, processen en bewustwording op orde te brengen.

De doorlooptijd wordt bepaald door drie factoren: de omvang van de organisatie, de beschikbare interne capaciteit en de startpositie ten opzichte van de norm. Een kleine ICT-dienstverlener met twintig medewerkers kan het traject soms in zes maanden doorlopen. Een zorginstelling met meerdere locaties en complexe informatiestromen heeft realistisch gezien twaalf tot achttien maanden nodig. Houd er ook rekening mee dat de certificerende instelling doorgaans een wachttijd hanteert voor het inplannen van de externe audit. Plan dit vroeg in het traject.

Welke stappen zitten er in een ISO 27001-implementatie?

Een ISO 27001-implementatie volgt een gestructureerde aanpak die begint met een nulmeting en eindigt met de externe certificeringsaudit. Tussendoor worden risico’s geanalyseerd, beleid opgesteld, maatregelen ingevoerd en medewerkers getraind. Het is een cyclisch proces, geen eenmalig project.

De belangrijkste stappen in volgorde zijn:

1. Nulmeting: Breng de huidige situatie in kaart en vergelijk deze met de eisen van de norm. Dit legt de basis voor een realistisch projectplan.
2. Scope bepalen: Stel vast op welke onderdelen van de organisatie de certificering van toepassing is.
3. Risicoanalyse: Identificeer informatiebeveiligingsrisico’s, beoordeel hun impact en kans, en bepaal welke beheersmaatregelen nodig zijn.
4. Implementatie: Stel beleid, procedures en maatregelen op en voer deze in de organisatie door. Betrek medewerkers actief bij dit proces.
5. Bewustwording en training: Zorg dat medewerkers begrijpen wat informatiebeveiliging inhoudt en wat er van hen wordt verwacht.
6. Interne audit: Toets of het managementsysteem functioneert zoals bedoeld en identificeer verbeterpunten.
7. Directiebeoordeling: Het management evalueert de werking van het systeem en neemt beslissingen over verbetering en middelen.
8. Externe audit (fase 1 en fase 2): De certificerende instelling beoordeelt de documentatie en de praktijk. Bij een positief oordeel volgt het certificaat.

Meer informatie over de implementatie van informatiebeveiliging en wat dit in de praktijk betekent, helpt je om een realistisch beeld te vormen van de benodigde inzet.

Wat is het verschil tussen een fase 1- en fase 2-audit?

Bij de externe ISO 27001-certificeringsaudit voert de certificerende instelling twee afzonderlijke audits uit. De fase 1-audit is een documentatiebeoordeling: de auditor controleert of het managementsysteem op papier voldoet aan de norm. De fase 2-audit is een implementatiebeoordeling: de auditor toetst of het systeem ook daadwerkelijk werkt in de praktijk.

In de fase 1-audit beoordeelt de auditor onder andere de scope, het informatiebeveiligingsbeleid, de risicoanalyse en de Statement of Applicability. Ontbrekende of onvolledige documenten worden aangemerkt als bevindingen die voor fase 2 moeten zijn opgelost. De fase 1-audit geeft de organisatie dus een laatste kans om documentaire tekortkomingen te corrigeren.

In de fase 2-audit spreekt de auditor met medewerkers, bekijkt processen in de praktijk en controleert of de beschreven maatregelen ook echt worden uitgevoerd. Bevindingen worden geclassificeerd als majeure of mineure afwijkingen. Een majeure afwijking blokkeert de certificering totdat deze is opgelost. Mineure afwijkingen mogen worden opgenomen in een verbeterplan dat na certificering wordt afgehandeld. Tussen fase 1 en fase 2 zit doorgaans een periode van enkele weken tot enkele maanden.

Welke documenten zijn verplicht voor ISO 27001?

ISO 27001 stelt een reeks documenten verplicht die samen het Information Security Management System (ISMS) vormen. De kern wordt gevormd door het informatiebeveiligingsbeleid, de risicoanalyse, de risicobehandeling, de Statement of Applicability en de interne auditresultaten. Zonder deze documenten is certificering niet mogelijk.

De verplichte documentatie omvat onder andere:

• Scope van het ISMS
• Informatiebeveiligingsbeleid
• Risicobeoordelingsproces en risicobehandelingsplan
• Statement of Applicability (SoA): een overzicht van alle beheersmaatregelen uit bijlage A, met motivatie voor opname of uitsluiting
• Informatiebeveiligingsdoelstellingen
• Bewijs van competentie en bewustwording van medewerkers
• Intern auditprogramma en auditresultaten
• Directiebeoordeling
• Registraties van non-conformiteiten en corrigerende maatregelen

Naast de verplichte documenten zijn er veel aanbevolen procedures en werkinstructies die de norm niet expliciet eist, maar die in de praktijk onmisbaar zijn. Denk aan een incidentprocedure, een toegangsbeheerbeleid en een procedure voor het classificeren van informatie. Een goed ingericht ISMS bevat altijd meer dan het minimum.

Hoe bereid je je voor op de interne audit?

Een goede voorbereiding op de interne audit begint met het opstellen van een auditprogramma en het selecteren van een onafhankelijke interne auditor. De auditor moet voldoende kennis hebben van de norm en mag niet zijn eigen werk beoordelen. Vervolgens worden auditcriteria, scope en methode vastgesteld voordat de feitelijke audit plaatsvindt.

De interne audit is geen formaliteit, maar een waardevol instrument om zwakke plekken in het managementsysteem op te sporen voordat de externe auditor langskomt. Bereid de audit voor door:

• Alle verplichte documenten actueel te houden en beschikbaar te stellen
• Medewerkers te informeren over het doel en de werkwijze van de audit
• Checklists op te stellen op basis van de normeisen en de eigen procedures
• Interviews voor te bereiden met sleutelpersonen binnen de scope
• Eerdere bevindingen en corrigerende maatregelen te documenteren

Na de interne audit worden bevindingen vastgelegd in een auditrapport. Non-conformiteiten worden opgevolgd met corrigerende maatregelen. De resultaten vormen vervolgens een vast agendapunt in de directiebeoordeling. Meer over de aanpak van een interne audit voor informatiebeveiliging lees je op de dienstenpagina.

Wanneer moet je ISO 27001-certificering vernieuwen?

Een ISO 27001-certificaat is drie jaar geldig. Na drie jaar vindt een hercertificeringsaudit plaats. Tussendoor zijn er jaarlijkse surveillance-audits, waarbij de certificerende instelling controleert of het ISMS nog steeds functioneert en wordt verbeterd. Het certificaat vervalt als de surveillance-audits worden overgeslagen of als ernstige tekortkomingen niet worden opgelost.

De driejarige cyclus ziet er in de praktijk als volgt uit:

• Jaar 1: Certificeringsaudit (fase 1 en fase 2), gevolgd door uitgifte van het certificaat
• Jaar 2: Eerste surveillance-audit, gericht op continuering en verbeteringen
• Jaar 3: Tweede surveillance-audit
• Jaar 4: Hercertificeringsaudit, waarna de cyclus opnieuw begint

Organisaties die de norm serieus nemen, behandelen informatiebeveiliging als een doorlopend proces en niet als een driejaarlijks project. Regelmatige interne audits, een actuele risicoanalyse en een actieve directiebeoordeling zijn de sleutels tot een soepele surveillance-audit en een succesvolle hercertificering. Meer over onderhoud en beheer van het ISMS na certificering helpt je dit structureel goed te borgen.

Hoe Kwinzo helpt bij ISO 27001-certificering

Wij begeleiden organisaties in zorg, ICT en onderwijs door het volledige ISO 27001-traject. Van de eerste nulmeting tot en met de voorbereiding op de externe certificeringsaudit. Onze aanpak is gericht op een ISMS dat écht werkt in de praktijk, niet alleen op papier. Wat wij bieden:

• Nulmeting en gap-analyse: We brengen de startpositie in kaart en stellen een realistisch projectplan op
• Implementatiebegeleiding: Van risicoanalyse en beleidsontwikkeling tot het inrichten van beheersmaatregelen, afgestemd op de bedrijfsvoering
• Eigen ISMS-tool: Een praktisch hulpmiddel dat het beheer van het managementsysteem overzichtelijk en efficiënt maakt
• Interne auditondersteuning: We verzorgen of begeleiden de interne audit als generale repetitie voor de externe audit
• Maandelijkse workshops: Voor Security Officers die hun kennis willen verdiepen op specifieke onderdelen van de norm
• Flexibele begeleidingspakketten: Van doe-het-zelf met coaching tot volledige ontzorging

Wil je weten wat een ISO 27001-traject voor jouw organisatie betekent in tijd en inzet? De benodigde investering verschilt per organisatie en hangt af van factoren zoals de omvang van de organisatie, de complexiteit van de informatiestromen, de startpositie ten opzichte van de norm en de mate waarin intern capaciteit beschikbaar is. Neem contact op voor een vrijblijvend adviesgesprek. We maken graag een concrete inschatting op maat.