Wat moet ik als eerste doen als ik ISO 27001 wil halen?

Begin met een nulmeting om de huidige staat van je informatiebeveiliging in kaart te brengen. Die meting legt bloot waar je organisatie al aan de ISO 27001-eisen voldoet en waar nog werk te doen is. Vanuit die basis bouw je stap voor stap een Information Security Management System (ISMS) op dat past bij jouw organisatie. De secties hieronder beantwoorden de meest gestelde vragen over het ISO 27001-traject, van scope tot certificeringsaudit.

Waar begin je met de voorbereiding op ISO 27001?

De voorbereiding op ISO 27001-certificering begint met een nulmeting: een gestructureerde analyse van je huidige beveiligingsniveau afgezet tegen de eisen van de norm. Die nulmeting geeft direct inzicht in de grootste risico’s en de meest urgente verbeterpunten, zodat je implementatieplan gericht en realistisch is.

Na de nulmeting zet je de volgende stappen:

1. Managementcommitment vastleggen — ISO 27001 vereist actieve betrokkenheid van de directie. Zonder draagvlak aan de top loopt een implementatie vast.
2. Scope bepalen — Stel vast op welk deel van de organisatie de certificering van toepassing is (zie de volgende sectie).
3. Risicobeoordeling uitvoeren — Breng informatiebeveiligingsrisico’s in kaart, beoordeel hun impact en kies passende beheersmaatregelen.
4. ISMS inrichten — Implementeer beleid, procedures en technische en organisatorische maatregelen op basis van de risicoanalyse.
5. Interne audit en directiebeoordeling — Toets het systeem intern voordat de externe auditor komt.

Een veelgemaakte fout is te snel beginnen met documentatie zonder eerst de risico’s te kennen. De norm stuurt op risicomanagement, niet op papier stapelen. Een goede nulmeting voorkomt dat je energie steekt in maatregelen die voor jouw organisatie weinig waarde toevoegen.

Wat is de scope van een ISMS en hoe stel je die vast?

De scope van een ISMS beschrijft welke onderdelen van de organisatie, welke processen en welke locaties onder de ISO 27001-certificering vallen. Een heldere scopeafbakening is verplicht en bepaalt in grote mate de omvang en doorlooptijd van het traject.

Bij het vaststellen van de scope houd je rekening met:

• Organisatiegrenzen — Geldt de certificering voor de gehele organisatie of voor een specifieke afdeling of dienst?
• Informatiestromen — Welke systemen, applicaties en gegevensstromen vallen binnen de scope?
• Externe partijen — Verwerken leveranciers of partners informatie die relevant is voor de scope?
• Contractuele en wettelijke eisen — Stellen opdrachtgevers of wet- en regelgeving eisen aan wat er minimaal binnen de scope moet vallen?

Een te brede scope maakt het traject zwaarder dan nodig; een te smalle scope kan de geloofwaardigheid van het certificaat ondermijnen. De kunst is een scope te kiezen die aansluit op de werkelijke bedrijfsvoering en de verwachtingen van klanten en stakeholders. Bekijk de ISO 27001 norm voor een overzicht van wat de standaard precies vereist ten aanzien van scopedefinitie.

Welke documenten zijn verplicht voor ISO 27001?

ISO 27001 vereist een aantal verplichte documenten en registraties als bewijs dat het managementsysteem daadwerkelijk werkt. De exacte set hangt af van de scope en de gekozen beheersmaatregelen, maar de kern is in de norm vastgelegd.

De belangrijkste verplichte documenten zijn:

• Scope van het ISMS
• Informatiebeveiligingsbeleid
• Risicobeoordeling en risicobehandelingsplan
• Verklaring van toepasselijkheid (Statement of Applicability)
• Doelstellingen voor informatiebeveiliging
• Registraties van training, bewustwording en competentie
• Resultaten van interne audits en directiebeoordelingen
• Registraties van non-conformiteiten en correctieve maatregelen

Naast deze verplichte stukken schrijft de norm ook een reeks beheersmaatregelen voor (Annex A) waarvoor je moet aantonen dat je ze hebt overwogen en, indien van toepassing, geïmplementeerd. De Verklaring van toepasselijkheid is daarin het centrale document: daarin leg je per maatregel vast of die van toepassing is en waarom wel of niet.

Documentatie is een middel, geen doel. De norm vraagt om bewijs dat het systeem werkt, niet om dikke handboeken die niemand leest.

Hoe lang duurt een ISO 27001-certificeringstraject?

Een ISO 27001-implementatie duurt voor de meeste organisaties tussen de zes maanden en anderhalf jaar. De exacte doorlooptijd hangt af van de omvang van de scope, de complexiteit van de organisatie, de beschikbare capaciteit en de mate van voorbereiding bij de start.

Factoren die de doorlooptijd beïnvloeden:

• Startpositie — Organisaties die al werken met een kwaliteitsmanagementsysteem (zoals ISO 9001) of een vergelijkbare norm hebben een voorsprong.
• Organisatiegrootte — Meer medewerkers, locaties en systemen betekenen meer werk bij de risicobeoordeling en de implementatie van maatregelen.
• Beschikbare inzet — Hoeveel tijd medewerkers en management kunnen vrijmaken bepaalt het tempo.
• Externe begeleiding — Met gerichte ondersteuning verloopt het traject doorgaans sneller en efficiënter dan volledig zelfstandig.

Reken na de implementatie ook op een operationele periode van minimaal drie maanden voordat de externe certificeringsaudit plaatsvindt. De auditor wil namelijk bewijs zien dat het ISMS daadwerkelijk in de praktijk wordt toegepast, niet alleen op papier bestaat.

Wat doet een interne audit vóór de externe certificeringsaudit?

Een interne audit toetst of het ISMS voldoet aan de eisen van ISO 27001 en of het effectief werkt in de praktijk. De interne audit is verplicht vanuit de norm en functioneert als een generale repetitie voor de externe certificeringsaudit.

Tijdens een interne audit:

• Controleert een onafhankelijke auditor of beleid, procedures en maatregelen zijn geïmplementeerd zoals bedoeld.
• Worden non-conformiteiten en verbeterpunten in kaart gebracht, zodat je die kunt oplossen vóór de externe auditor komt.
• Wordt getoetst of medewerkers op de hoogte zijn van hun rol binnen het ISMS.
• Worden registraties en documentatie beoordeeld op volledigheid en actualiteit.

De bevindingen van de interne audit vormen ook input voor de directiebeoordeling, een verplicht onderdeel van de norm waarbij het management de werking van het ISMS evalueert en bijstuurt. Een goed uitgevoerde interne audit verkleint de kans op verrassingen bij de externe audit aanzienlijk. Meer over hoe een interne audit werkt lees je op de dienstenpagina.

Moet je ISO 27001 zelf implementeren of externe hulp inschakelen?

Zelf implementeren is mogelijk, maar vergt diepgaande kennis van de norm, ruime beschikbare capaciteit en sterke interne sturing. Externe begeleiding versnelt het traject, vermindert de kans op fouten en zorgt dat de implementatie aansluit op de werkelijke bedrijfsvoering in plaats van op een generieke invulling van de norm.

Wanneer zelf implementeren realistisch is:

• Je organisatie heeft een ervaren Security Officer of CISO in dienst.
• Er is ruime tijd beschikbaar bij de betrokken medewerkers.
• Je hebt eerder gewerkt met vergelijkbare managementsystemen.

Wanneer externe hulp meerwaarde biedt:

• De norm is nieuw voor de organisatie en er is geen interne expertise beschikbaar.
• De doorlooptijd moet zo kort mogelijk zijn.
• Je wilt zeker weten dat de implementatie bij de eerste externe audit slaagt.
• Maatwerk is nodig: de norm moet aansluiten op jouw processen, niet andersom.

Een hybride aanpak, waarbij een externe consultant het traject begeleidt terwijl interne medewerkers het systeem zelf leren kennen en beheren, combineert het beste van beide werelden. Zo bouw je interne kennis op en blijft het ISMS na certificering levend in de organisatie. Bekijk ook de beschikbare trainingen om interne kennis te versterken.

Hoe Kwinzo helpt bij ISO 27001-certificering

Wij begeleiden organisaties in zorg, ICT en onderwijs door het volledige ISO 27001-traject, van de eerste nulmeting tot en met de voorbereiding op de externe certificeringsaudit. Onze aanpak kenmerkt zich door slimme standaardisering gecombineerd met persoonlijke begeleiding, zodat de norm aansluit op jouw bedrijfsvoering en niet andersom.

Wat wij concreet bieden:

• Nulmeting en GAP-analyse — We brengen de huidige situatie in kaart en geven concrete actiepunten, inclusief een vergelijking met aanvullende eisen vanuit de NIS2-richtlijn indien relevant.
• Implementatiebegeleiding — Van risicobeoordeling en documentatie tot de inrichting van beheersmaatregelen, met ondersteuning van onze eigen ISMS-tool.
• Interne audit — Een onafhankelijke toets van het ISMS als generale repetitie voor de externe certificeringsaudit.
• Maandelijkse workshops — Voor Security Officers die hun kennis willen verdiepen op specifieke onderdelen van de norm.
• Flexibele pakketten — Van doe-het-zelf met coaching tot volledige begeleiding, afgestemd op de capaciteit en het budget van jouw organisatie.

Wil je weten waar jouw organisatie staat en wat een realistisch traject voor jou inhoudt? Neem contact op voor een vrijblijvend adviesgesprek. We maken samen een inschatting van de doorlooptijd en de benodigde inzet, waarbij de uiteindelijke investering afhangt van factoren zoals de omvang van de scope, de complexiteit van je organisatie en de mate van externe begeleiding die je kiest.