Wat zijn de verplichte documenten voor ISO 27001?

Voor een ISO 27001-certificering zijn er een aantal documenten die de norm expliciet verplicht stelt. Denk aan het informatiebeveiligingsbeleid, de risicoanalyse, de verklaring van toepasselijkheid (Statement of Applicability) en het behandelplan voor risico’s. Zonder deze kernstukken is een succesvolle externe audit niet mogelijk. In dit artikel beantwoorden we de meest gestelde vragen over ISO 27001-documentatie, zodat je precies weet wat je nodig hebt en waarom.

Welke documenten zijn wettelijk verplicht onder ISO 27001?

ISO 27001 schrijft een specifieke set verplichte documenten voor die elke organisatie moet hebben om gecertificeerd te kunnen worden. De norm zelf bepaalt welke verplichte documenten voor ISO 27001 aanwezig moeten zijn, ongeacht de omvang of sector van de organisatie. Dit zijn geen aanbevelingen, maar harde vereisten waarop een auditor actief controleert.

De volgende documenten zijn expliciet verplicht op basis van ISO 27001:

• Toepassingsgebied (scope) van het Information Security Management System (ISMS)
• Informatiebeveiligingsbeleid, inclusief doelstellingen
• Risicobeoordeling en risicobehandelingsproces, vastgelegd in een methodiek
• Verklaring van toepasselijkheid (Statement of Applicability), met onderbouwing van welke beheersmaatregelen wel of niet van toepassing zijn
• Risicobehandelingsplan, met concrete maatregelen en verantwoordelijken
• Informatiebeveiligingsdoelstellingen per relevant functiegebied
• Competentie-aantoonbaarheid van medewerkers die een rol spelen in het ISMS
• Resultaten van interne audits en managementreviews
• Bewijs van corrigerende maatregelen bij afwijkingen

Bijlage A van de norm bevat aanvullende beheersmaatregelen waarvoor ook documentatie vereist kan zijn, afhankelijk van wat van toepassing is verklaard. De Statement of Applicability is daarin de verbindende schakel: dit document legt vast welke maatregelen worden toegepast en waarom andere zijn uitgesloten.

Wat is het verschil tussen documenten en registraties in ISO 27001?

ISO 27001 maakt een duidelijk onderscheid tussen documenten en registraties. Documenten beschrijven hoe iets moet worden gedaan, zoals beleid, procedures en werkinstructies. Registraties zijn het bewijs dat iets daadwerkelijk is gedaan, zoals auditverslagen, trainingsregistraties en logbestanden van risicobeoordelingen.

Dit onderscheid is in de praktijk belangrijker dan het lijkt. Een beleidsdocument legt de intentie vast, maar een registratie bewijst de uitvoering. Een auditor wil beide zien. Organisaties die wel goed beleid hebben maar geen registraties bijhouden, slagen zelden voor een externe audit, omdat aantoonbaarheid een kernvereiste is van de norm.

Voorbeelden van registraties die de norm vereist:

• Resultaten van risicobeoordelingen (gedateerd en ondertekend)
• Verslagen van de managementreview
• Interne auditresultaten en bevindingen
• Bewijs van uitgevoerde trainingen en bewustwordingsactiviteiten
• Incidentregistraties en de afhandeling ervan

Hoe uitgebreid moeten ISO 27001-documenten zijn?

ISO 27001-documenten hoeven niet omvangrijk te zijn, maar ze moeten wel volledig en functioneel zijn. De norm stelt geen eisen aan de lengte van documenten, maar wel aan de inhoud. Een informatiebeveiligingsbeleid van twee pagina’s kan volledig voldoen, zolang het alle vereiste elementen bevat en aansluit op de werkelijkheid van de organisatie.

Een veelgemaakte fout is het kopiëren van sjablonen van internet zonder deze aan te passen aan de eigen organisatie. Een auditor herkent generieke teksten direct en zal doorvragen op de praktische toepassing. Documenten moeten herkenbaar zijn voor de eigen medewerkers en aansluiten op de werkprocessen die daadwerkelijk worden uitgevoerd.

Praktische richtlijnen voor de juiste diepgang:

• Schrijf voor de doelgroep: operationeel personeel heeft andere documentatie nodig dan het management
• Vermijd jargon dat niet aansluit op de dagelijkse praktijk
• Zorg dat procedures daadwerkelijk worden gevolgd, niet alleen beschreven
• Houd documenten actueel: verouderde documentatie is een veelvoorkomende afwijking bij audits

Bij het implementeren van een ISMS is het verstandig om te beginnen met de minimaal vereiste documentatie en deze stap voor stap uit te bouwen op basis van de risicobeoordeling en de behoeften van de organisatie.

Welke documenten worden het vaakst gemist bij een ISO 27001-audit?

Bij externe audits voor ISO 27001-certificering zijn er een aantal documenten die organisaties structureel onderschatten of onvolledig aanleveren. De meest gemiste of onvolledige stukken zijn de Statement of Applicability, het risicobehandelingsplan en de registraties van de managementreview.

De Statement of Applicability wordt regelmatig te oppervlakkig ingevuld. Organisaties vinken beheersmaatregelen aan zonder te onderbouwen waarom bepaalde maatregelen niet van toepassing zijn. Die motivatie is echter een expliciete eis van de norm.

Andere veelvoorkomende hiaten:

• Onvolledige risicoregistraties: risico’s zijn benoemd, maar de beoordeling van kans en impact ontbreekt
• Ontbrekende bewustwordingsdocumentatie: trainingen zijn gegeven, maar er is geen bewijs van deelname
• Geen actuele doelstellingen: informatiebeveiligingsdoelstellingen zijn niet meetbaar geformuleerd of niet bijgehouden
• Incompleet leveranciersbeleid: de norm vereist aantoonbaar beheer van risico’s bij externe partijen, maar dit ontbreekt vaak
• Geen corrigerende maatregelen gedocumenteerd: afwijkingen zijn opgelost, maar de aanpak is niet vastgelegd

Een interne audit voorafgaand aan de externe certificering helpt om deze hiaten tijdig te identificeren en op te lossen. Zo voorkom je verrassingen tijdens de officiële beoordeling.

Moet elke organisatie dezelfde ISO 27001-documenten aanleveren?

De verplichte documenten zijn voor elke organisatie gelijk, maar de invulling verschilt per organisatie. ISO 27001 is een risicogebaseerde norm, wat betekent dat de inhoud van de documentatie afhankelijk is van de risico’s, de omvang en de context van de specifieke organisatie. Een zorginstelling heeft andere risico’s dan een softwarebedrijf, en dat moet zichtbaar zijn in de documentatie.

Zo bepaalt de risicoanalyse welke beheersmaatregelen uit Bijlage A van toepassing zijn, en dus ook welke aanvullende documentatie nodig is. Een organisatie met veel thuiswerkers zal uitgebreidere procedures voor toegangsbeheer en apparaatbeveiliging nodig hebben dan een organisatie die volledig op locatie werkt.

Factoren die de documentatievereisten beïnvloeden:

• Omvang en complexiteit van de organisatie
• De sector en bijbehorende wet- en regelgeving (zoals NEN-7510 in de zorg)
• Het aantal en de aard van de verwerkte gegevens
• De afhankelijkheid van externe leveranciers en cloudoplossingen
• Het gedefinieerde toepassingsgebied van het ISMS

De norm schrijft dus voor wat er gedocumenteerd moet worden, maar laat ruimte voor organisaties om zelf te bepalen hoe dat gebeurt. Dat maakt maatwerk niet alleen mogelijk, maar ook noodzakelijk voor een werkend managementsysteem.

Hoe Kwinzo helpt met ISO 27001-documentatie

Wij begeleiden organisaties in zorg, ICT en onderwijs bij het opzetten van volledige en werkbare ISO 27001-documentatie. Niet als doel op zich, maar als fundament voor een managementsysteem dat echt werkt in de dagelijkse praktijk. Onze aanpak is concreet en efficiënt:

• We brengen de bestaande situatie in kaart via een nulmeting, zodat direct duidelijk is welke documenten ontbreken of aangevuld moeten worden
• We leveren bewezen sjablonen en procedures die zijn afgestemd op jouw sector en organisatiegrootte
• We ondersteunen bij het opstellen van de Statement of Applicability en de risicoanalyse, de twee meest kritische en meest onderschatte documenten
• We voeren een interne audit uit als generale repetitie voor de externe certificering
• We bieden maandelijkse workshops voor Security Officers via onze trainingen, zodat kennis actueel blijft

Of je nu net begint met de voorbereiding op certificering of al een ISMS hebt dat toe is aan een grondige herziening, wij denken met je mee op basis van jouw specifieke situatie. Neem contact op voor een vrijblijvend adviesgesprek en ontdek wat er nodig is om jouw documentatie auditklaar te maken.