Wat zijn de maatregelen in bijlage A van ISO 27001?

Bijlage A van ISO 27001 bevat in de huidige versie uit 2022 in totaal 93 maatregelen, ook wel controls of beheersmaatregelen genoemd. Deze maatregelen zijn onderverdeeld in vier themagebieden en bieden organisaties een gestructureerd overzicht van mogelijke beveiligingsmaatregelen om informatiebeveiligingsrisico’s te beheersen. De vragen hieronder gaan dieper in op de structuur, de nieuwste wijzigingen en de toepassing van bijlage A in de praktijk.

Hoeveel maatregelen staan er in bijlage A van ISO 27001?

Bijlage A van ISO 27001:2022 bevat 93 maatregelen, verdeeld over vier themagebieden. Ten opzichte van de vorige versie uit 2013, die nog 114 controls kende verdeeld over 14 domeinen, is het aantal maatregelen dus aanzienlijk teruggebracht. Dit is niet omdat er minder aandacht is voor informatiebeveiliging, maar omdat overlappende maatregelen zijn samengevoegd en de structuur logischer is ingedeeld.

De 93 maatregelen ISO 27001 zijn niet allemaal verplicht te implementeren. Bijlage A fungeert als een referentielijst: organisaties kiezen op basis van een risicoanalyse welke controls relevant zijn voor hun situatie. Maatregelen die niet van toepassing zijn, worden gedocumenteerd in de zogeheten Verklaring van Toepasselijkheid (Statement of Applicability).

Wat zijn de vier themagebieden van bijlage A?

De 93 bijlage A ISO 27001-maatregelen zijn ingedeeld in vier themagebieden: organisatorische maatregelen, persoonsgerichte maatregelen, fysieke maatregelen en technologische maatregelen. Deze indeling vervangt de veertien domeinen uit de versie van 2013 en maakt de structuur overzichtelijker en beter toepasbaar voor moderne organisaties.

• Organisatorische maatregelen (Annex A.5): Met 37 controls het grootste themagebied. Denk aan beleid voor informatiebeveiliging, toegangsbeheer, leveranciersrelaties en incidentbeheer.
• Persoonsgerichte maatregelen (Annex A.6): 8 controls gericht op medewerkers, zoals screening voor indiensttreding, bewustwording en verantwoordelijkheden bij uitdiensttreding.
• Fysieke maatregelen (Annex A.7): 14 controls over de fysieke beveiliging van locaties, apparatuur en werkomgevingen, inclusief thuiswerken en clean-deskbeleid.
• Technologische maatregelen (Annex A.8): 34 controls op het gebied van technische beveiliging, zoals encryptie, logging, kwetsbaarheidsbeheer en veilige ontwikkeling van software.

Deze indeling sluit beter aan bij de manier waarop organisaties hun beveiligingsverantwoordelijkheden in de praktijk verdelen: over HR, facilitair beheer, IT en het management.

Welke maatregelen uit bijlage A zijn nieuw in de 2022-versie?

In de ISO 27001:2022-versie zijn 11 volledig nieuwe controls toegevoegd aan bijlage A. Deze nieuwe maatregelen richten zich op actuele ontwikkelingen in informatiebeveiliging die in de vorige versie nog niet of nauwelijks aan bod kwamen.

De elf nieuwe bijlage A-maatregelen zijn:

1. Threat intelligence (A.5.7): het structureel verzamelen en analyseren van informatie over dreigingen
2. Informatiebeveiliging voor het gebruik van clouddiensten (A.5.23)
3. ICT-gereedheid voor bedrijfscontinuïteit (A.5.30)
4. Fysieke beveiligingsbewaking (A.7.4)
5. Configuratiebeheer (A.8.9)
6. Verwijdering van informatie (A.8.10)
7. Data masking (A.8.11)
8. Preventie van datalekken (A.8.12)
9. Activiteitenbewaking (A.8.16)
10. Webfiltering (A.8.23)
11. Veilig coderen (A.8.28)

Organisaties die al gecertificeerd waren op basis van ISO 27001:2013 dienden hun managementsysteem en Verklaring van Toepasselijkheid aan te passen aan deze nieuwe structuur en controls. De overgangsperiode hiervoor liep tot eind 2025.

Moet een organisatie alle maatregelen uit bijlage A implementeren?

Nee, een organisatie hoeft niet alle 93 maatregelen uit bijlage A te implementeren. Welke controls van toepassing zijn, bepaalt de organisatie zelf op basis van een risicoanalyse. Maatregelen die niet relevant zijn voor de specifieke context, risico’s of activiteiten van de organisatie mogen worden uitgesloten, mits dit goed onderbouwd wordt gedocumenteerd.

De Verklaring van Toepasselijkheid (VvT) is het centrale document waarin elke maatregel uit bijlage A wordt beoordeeld: is deze van toepassing of niet, en waarom? Voor elke gekozen maatregel wordt ook vastgelegd hoe deze is geïmplementeerd. Dit document is een verplicht onderdeel van het ISO 27001-implementatietraject en speelt een centrale rol tijdens de externe audit.

Een praktisch voorbeeld: een kleine organisatie zonder eigen softwareontwikkeling zal de controls rondom veilig coderen (A.8.28) waarschijnlijk uitsluiten. Een zorginstelling die persoonsgegevens verwerkt, zal juist extra aandacht besteden aan data masking en preventie van datalekken. De norm dwingt organisaties zo tot een bewuste, risicogerichte keuzeproces in plaats van een blinde checklist.

Hoe worden de maatregelen in bijlage A gecontroleerd tijdens een audit?

Tijdens een ISO 27001-audit controleert de auditor of de geselecteerde bijlage A-maatregelen daadwerkelijk zijn geïmplementeerd en effectief werken. De auditor toetst dit aan de hand van de Verklaring van Toepasselijkheid, beleidsdocumenten, procedures, registraties en gesprekken met medewerkers. Zowel de interne als de externe audit volgen deze aanpak.

Een audit bestaat doorgaans uit twee fasen:

• Fase 1 (documentatiereview): De auditor beoordeelt of de documentatie compleet en consistent is. Zijn alle relevante controls opgenomen in de VvT? Is het beleid actueel en goedgekeurd?
• Fase 2 (implementatietoets): De auditor controleert ter plaatse of de maatregelen ook in de praktijk worden uitgevoerd. Dit gebeurt via interviews, observaties en het inzien van registraties zoals logbestanden, toegangslijsten of trainingsoverzichten.

Een veelgemaakte fout is dat organisaties maatregelen wel op papier hebben vastgelegd, maar in de dagelijkse praktijk niet consequent toepassen. Auditors zijn hier specifiek op getraind en zullen juist die kloof tussen beleid en uitvoering onderzoeken. Een interne audit vooraf helpt organisaties om deze tekortkomingen tijdig te signaleren en op te lossen, zodat de externe certificeringsaudit zonder verrassingen verloopt.

Hoe Kwinzo helpt bij bijlage A van ISO 27001

Bijlage A correct toepassen is meer dan een lijst afvinken. Het vraagt om een doordachte risicoanalyse, een goed onderbouwde Verklaring van Toepasselijkheid en een managementsysteem dat in de praktijk werkt. Wij ondersteunen organisaties in zorg, ICT en onderwijs bij elk onderdeel van dit proces. Concreet bieden we:

• Begeleiding bij de risicoanalyse en het opstellen van de Verklaring van Toepasselijkheid
• Implementatie van de relevante bijlage A-maatregelen, afgestemd op jouw organisatie
• Interne audits als generale repetitie voor de externe certificeringsaudit
• Maandelijkse workshops voor Security Officers gericht op specifieke onderdelen van de norm
• Toegang tot onze eigen ISMS-tool voor efficiënt beheer van het managementsysteem

Onze aanpak is gebaseerd op slimme standaardisering gecombineerd met persoonlijke begeleiding. De norm past zich aan jouw organisatie aan, niet andersom. Wil je weten hoe wij jouw organisatie kunnen helpen met ISO 27001-certificering? Neem contact op voor een vrijblijvend adviesgesprek.