6 tot 12 maanden
Gemiddelde doorlooptijd voor een mkb-organisatie, bij ongeveer 4 uur per week van jouw kant.
Norm
Wat is ISO 27001? De norm en certificering uitgelegd
ISO/IEC 27001 is de internationale norm voor informatiebeveiliging. Een certificaat laat klanten, partners en aanbestedende diensten zien dat je informatiebeveiliging aantoonbaar op orde is. Hier lees je wat de norm vraagt en hoe je er komt.
Waarom ISO 27001
Waarom klanten en aanbestedingen om ISO 27001 vragen
Steeds meer klanten en aanbestedingen vragen om een ISO 27001-certificaat. Zonder certificaat moet je bij elke vragenlijst opnieuw uitleggen hoe je informatie beveiligt, en soms doe je niet eens mee. Tegelijk voelt de norm groot en abstract.
De kern is eenvoudiger dan het lijkt. ISO 27001 vraagt dat je weet welke informatie belangrijk is, welke risico's daarop spelen, welke maatregelen je neemt en hoe je blijft verbeteren. Dat heet een managementsysteem voor informatiebeveiliging (ISMS).
Werk je in de zorg? Dan is NEN 7510:2024 meestal het uitgangspunt. Die norm heeft dezelfde opbouw als ISO 27001:2022 en voegt zorgspecifieke eisen toe. Met één ISMS kun je aan beide voldoen.
De norm
Hoe ISO/IEC 27001:2022 is opgebouwd
De verplichte eisen staan in de clausules 4 tot en met 10. De maatregelen in Annex A worden verder uitgewerkt in de richtlijn ISO/IEC 27002:2022.
| Onderdeel | Wat het vraagt |
|---|---|
| Clausule 4 – Context | Interne en externe factoren, belanghebbenden en de scope van het ISMS. |
| Clausule 5 – Leiderschap | Betrokkenheid van het management, beleid, rollen en verantwoordelijkheden. |
| Clausule 6 – Planning | Risicoanalyse, risicobehandeling, Verklaring van Toepasselijkheid en doelstellingen. |
| Clausule 7 – Ondersteuning | Middelen, competenties, bewustzijn, communicatie en documentatie. |
| Clausule 8 – Uitvoering | Het uitvoeren van de risicoanalyse en de maatregelen, ook bij extern geleverde diensten. |
| Clausule 9 – Evaluatie | Meten, interne audit en management review. |
| Clausule 10 – Verbetering | Afwijkingen oplossen en continu verbeteren. |
| Annex A | 93 beheersmaatregelen in vier thema's: organisatorisch (37), mensen (8), fysiek (14) en technologisch (34). Je kiest op basis van je risico's welke van toepassing zijn. |
Aanpak
Zo kom je tot certificering
Nulmeting
Waar sta je ten opzichte van de norm?
Implementatie
Risicoanalyse, maatregelen en documentatie in je eigen omgeving.
Interne audit en management review
Aantonen dat het ISMS werkt.
Certificeringsaudit
Fase 1 (gereedheid) en fase 2 (werking) door een geaccrediteerde certificerende instelling.
Certificaat en onderhoud
Drie jaar geldig, met jaarlijkse controle-audits.
Weet waar je staat
Doe de gratis volwassenheidsscan met 50 vragen over de 12 domeinen van ISO 27001.
Start de scan over Weet waar je staatVeelgestelde vragen
Beantwoord door Jan Willem van Hoorn, lead auditor NEN 7510 en ISO 27001. Staat je vraag er niet bij? Stel hem gerust; je krijgt binnen 24 uur een reactie.
Is ISO 27001 verplicht?
Niet wettelijk. Wel eisen klanten en aanbestedende diensten het steeds vaker. Bovendien helpt een ISMS om aan te tonen dat je voldoet aan de zorgplicht van de Cyberbeveiligingswet en de beveiligingseisen van de AVG.
Wat is het verschil tussen ISO 27001 en ISO 27002?
ISO 27001 bevat de eisen waarop je wordt gecertificeerd. ISO 27002 is een richtlijn met uitleg en implementatieadvies bij de maatregelen uit Annex A. Op ISO 27002 kun je niet worden gecertificeerd.
Moeten we alle 93 maatregelen invoeren?
Nee. Je bepaalt op basis van je risicoanalyse welke maatregelen van toepassing zijn, en legt in de Verklaring van Toepasselijkheid vast waarom je een maatregel wel of niet toepast.
Wie geeft het certificaat af?
Een certificerende instelling die daarvoor is geaccrediteerd, in Nederland door de Raad voor Accreditatie (RvA). VeeHa geeft geen certificaten af maar bereidt je voor.
Wat kost ISO 27001?
De kosten bestaan uit interne tijd, begeleiding en de audit door de certificerende instelling. Ze hangen sterk af van de omvang en complexiteit van je organisatie. Op de pagina Wat kost ISO 27001 of NEN 7510? lees je de bandbreedtes per kostenpost.
Op weg naar ISO 27001?
Plan een vrijblijvend kennismakingsgesprek; je krijgt binnen 24 uur een reactie. Jan Willem kijkt met je naar je situatie, je deadline en de beschikbare tijd, en vertelt eerlijk wat haalbaar is.