De 27001 norm, voluit ISO/IEC 27001:2022, is de internationale norm voor een managementsysteem voor informatiebeveiliging (ISMS). De norm stelt eisen aan context, leiderschap, risicobeheer, maatregelen, interne audits en continue verbetering.
De norm oogt zwaarder dan hij in de praktijk is. In de GAP-analyses die wij dit jaar uitvoerden, was gemiddeld ruwweg tweederde van de maatregelen al aanwezig in de dagelijkse praktijk; het werk zat in het vastleggen en aantoonbaar maken, en veel minder in het bouwen van iets nieuws.
In implementatietrajecten merk ik dat organisaties de 27001 norm vaak zien als een lijst technische maatregelen. Dat misverstand kost tijd en geld. De kern zit in de hoofdstukken 4 tot en met 10: dat zijn de eisen. De 93 maatregelen in Annex A zijn een keuzemenu op basis van jouw risico’s. Hieronder leg ik uit welke eisen erin staan, wat ze in de praktijk betekenen en welk bewijs een auditor verwacht.
Kort samengevat
- De actuele versie is ISO/IEC 27001:2022, aangevuld met Amendement 1 uit 2024 dat klimaatverandering als aandachtspunt bij de context van de organisatie toevoegt.
- De eisen staan in clausules 4 tot en met 10: context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Alleen deze clausules zijn verplicht.
- Annex A bevat 93 beheersmaatregelen in vier thema’s: organisatorisch (37), mensen (8), fysiek (14) en technologisch (34). Je selecteert wat past bij je risico’s en verantwoordt dat in de Verklaring van Toepasselijkheid (SoA).
- Certificaten op basis van de oude versie ISO 27001:2013 zijn sinds het einde van de transitieperiode op 31 oktober 2025 niet meer geldig.
- Certificering draait om aantoonbaarheid: risicoanalyse, SoA, incidentregistratie, interne audit en directiebeoordeling moeten actueel vastliggen.
Wat is de 27001 norm precies?
ISO/IEC 27001 is de internationale norm voor informatiebeveiliging, in Nederland verkrijgbaar via normeninstituut NEN. De norm beschrijft geen kant-en-klare beveiligingsarchitectuur, maar een managementsysteem: een vaste manier om risico’s te bepalen, maatregelen te kiezen, uit te voeren, te meten en bij te stellen. Daardoor past de norm zowel bij een softwarebedrijf van 40 medewerkers als bij een ziekenhuis.
Belangrijk onderscheid: ISO 27001 bevat de eisen waartegen je gecertificeerd wordt. Zusternorm ISO 27002 geeft per maatregel richtlijnen voor de invulling en is zelf niet certificeerbaar.
Welke eisen staan er in de 27001 norm?
De verplichte eisen staan in zeven clausules. Dit is wat elke clausule van je vraagt:
- Clausule 4, context van de organisatie: bepaal welke interne en externe thema’s je informatiebeveiliging beïnvloeden, wie je belanghebbenden zijn (klanten, toezichthouders, leveranciers) en leg de scope van je ISMS vast.
- Clausule 5, leiderschap: de directie stelt het informatiebeveiligingsbeleid vast, wijst rollen en verantwoordelijkheden toe en toont zichtbaar betrokkenheid. Dit is de clausule waarop veel organisaties struikelen.
- Clausule 6, planning: voer een risicobeoordeling uit met een vaste methodiek, stel een risicobehandelplan op, maak een Verklaring van Toepasselijkheid en formuleer meetbare beveiligingsdoelstellingen.
- Clausule 7, ondersteuning: zorg voor mensen, budget en middelen, borg competenties en bewustzijn, regel interne en externe communicatie en beheer je documentatie en versies.
- Clausule 8, uitvoering: voer de geplande processen en maatregelen daadwerkelijk uit, beheers wijzigingen en herhaal de risicobeoordeling bij belangrijke veranderingen.
- Clausule 9, evaluatie van de prestaties: monitor en meet, voer interne audits uit volgens een auditprogramma en houd minimaal jaarlijks een directiebeoordeling.
- Clausule 10, verbetering: registreer afwijkingen, neem corrigerende maatregelen op basis van oorzaakanalyse en verbeter het ISMS continu.
Sinds Amendement 1 uit 2024 beoordeel je bij clausule 4 ook of klimaatverandering een relevant thema is. Voor de meeste organisaties is dat een korte, onderbouwde overweging in de contextanalyse.
Wat staat er in Annex A en moet je alle 93 maatregelen invoeren?
Nee. Annex A van ISO/IEC 27001:2022 is een referentielijst van 93 beheersmaatregelen, verdeeld over vier thema’s: organisatorisch (37 maatregelen), mensen (8), fysiek (14) en technologisch (34). In de versie van 2013 waren dit nog 114 maatregelen in 14 domeinen. Je selecteert wat jouw risico’s afdekt en legt in de Verklaring van Toepasselijkheid vast welke maatregelen je toepast en waarom je andere uitsluit.
Voorbeelden van maatregelen die in vrijwel elk traject terugkomen:
- Organisatorisch: beleid, leveranciersbeheer, dreigingsinformatie, incidentbeheer en informatieclassificatie.
- Mensen: screening bij indiensttreding, geheimhouding, security awareness en een disciplinaire procedure.
- Fysiek: toegangsbeveiliging van panden en serverruimtes, clear desk en veilige afvoer van apparatuur.
- Technologisch: toegangsbeheer en multifactorauthenticatie, encryptie, logging en monitoring, back-ups en veilige softwareontwikkeling.
Wat betekenen die eisen in de dagelijkse praktijk?
De norm is abstract geschreven, de uitvoering is dat niet. Zo vertalen de belangrijkste eisen zich naar concreet werk:
- Risicobeoordeling: geen eenmalig Excel-bestand, maar een terugkerend gesprek met proceseigenaren over wat er echt mis kan gaan.
- Leiderschap: de directie keurt niet alleen beleid goed, maar bespreekt periodiek incidenten, risico’s en openstaande acties. Een directietraining met een live dark web-sessie maakt die betrokkenheid vaak in één keer echt.
- Bewustzijn: één jaarlijkse e-learning voldoet zelden. Korte, structurele trainingsmomenten met meetbare deelname leveren beter bewijs op en veranderen gedrag duurzamer.
- Technische verificatie: de norm vraagt om beheer van technische kwetsbaarheden, in de praktijk ingevuld met scans en periodieke pentests. Houd het verschil tussen een audit en een pentest scherp: de eerste toetst je papieren beheersing, de tweede je feitelijke weerbaarheid.
- Interne audit en directiebeoordeling: plan deze vroeg in het jaar in. Zonder uitgevoerde interne audit kan een certificerende instelling geen certificaat afgeven.
Welk bewijs verwacht een auditor bij de 27001 norm?
Een auditor toetst of je doet wat je hebt opgeschreven en of dat aantoonbaar werkt. Deze documenten en registraties komen vrijwel altijd aan bod:
- Scope en contextanalyse van het ISMS.
- Informatiebeveiligingsbeleid, vastgesteld door de directie.
- Risicobeoordelingsmethodiek, risicoregister en risicobehandelplan.
- Verklaring van Toepasselijkheid met onderbouwde in- en uitsluitingen.
- Meetbare doelstellingen en de voortgang daarop.
- Bewijs van competentie en bewustwording, zoals trainingsregistraties.
- Incidentregistratie en afhandeling, inclusief geleerde lessen.
- Auditprogramma, interne auditrapporten en het verslag van de directiebeoordeling.
- Registratie van afwijkingen en corrigerende maatregelen.
Hoe verhoudt de 27001 norm zich tot NIS2, BIO 2.0 en NEN 7510?
ISO 27001 is het fundament waarop andere kaders voortbouwen. NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en volgt de structuur van ISO 27001, met extra eisen rond patiëntgegevens. De BIO is het overheidskader; in ons artikel over het verschil tussen de BIO en ISO 27001 leggen we uit hoe die twee elkaar versterken.
Voor NIS2 en de Nederlandse Cyberbeveiligingswet geldt: een ISO 27001-certificaat maakt je niet automatisch NIS2-compliant, maar dekt wel een groot deel van de zorgplicht af. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden en stelt eisen aan de digitale weerbaarheid van ruim 8.000 organisaties die essentiële of belangrijke diensten leveren, inclusief een registratieplicht en een meldplicht. Wie een werkend ISMS heeft, vult vooral aan op ketenbeheersing, meldprocessen en bestuurlijke verantwoordelijkheid.
Hoe pak je een ISO 27001-implementatie aan?
Een traject bij een middelgrote organisatie duurt doorgaans zes tot twaalf maanden, afhankelijk van scope en volwassenheid. Deze volgorde werkt het best:
- Bepaal scope, context en belanghebbenden.
- Voer een gap-analyse uit tegen de eisen van clausules 4 tot en met 10 en Annex A.
- Stel beleid vast en beleg rollen, inclusief de vraag of je een CISO of security manager nodig hebt.
- Voer de risicobeoordeling uit en stel het risicobehandelplan en de SoA op.
- Implementeer de gekozen maatregelen en betrek medewerkers in het proces.
- Verzamel bewijs, voer de interne audit uit en houd de directiebeoordeling.
- Doorloop de certificatieaudit in twee fasen: documentatie en implementatie.
Wil je weten hoe ver je al bent? Doe de gratis ISO 27001-check of lees hoe wij een ISO 27001-implementatie inrichten met vaste, voorspelbare maandkosten en volledige ontzorging, zodat je vooraf weet waar je aan toe bent.
Veelgestelde vragen over de 27001 norm
Welke versie van de 27001 norm is nu geldig?
ISO/IEC 27001:2022 is de actuele versie, aangevuld met Amendement 1 uit 2024 over klimaatverandering. Certificaten op basis van de 2013-versie zijn na het einde van de transitieperiode op 31 oktober 2025 niet meer geldig.
Hoeveel maatregelen bevat Annex A van ISO 27001?
Annex A bevat 93 beheersmaatregelen, verdeeld over organisatorisch (37), mensen (8), fysiek (14) en technologisch (34). Je implementeert alleen de maatregelen die passen bij je risicoprofiel en verantwoordt je keuzes in de Verklaring van Toepasselijkheid.
Is ISO 27001-certificering verplicht?
Nee, certificering is niet wettelijk verplicht. Klanten, aanbestedingen en toezichthouders vragen er wel steeds vaker om, en de norm helpt aantoonbaar te voldoen aan verplichtingen uit NIS2, de AVG en sectorkaders zoals NEN 7510 en de BIO.
Wat is het verschil tussen ISO 27001 en ISO 27002?
ISO 27001 bevat de eisen waartegen je gecertificeerd wordt, ISO 27002 geeft praktische richtlijnen per beheersmaatregel. ISO 27002 is dus een hulpmiddel bij de implementatie, geen certificeerbare norm.
Voldoe ik met ISO 27001 automatisch aan NIS2?
Nee. Een ISO 27001-certificaat dekt een groot deel van de NIS2-zorgplicht af, maar de Cyberbeveiligingswet stelt aanvullende eisen, waaronder registratie, incidentmelding binnen wettelijke termijnen en expliciete verantwoordelijkheid van het bestuur.
Wat er in de norm staat en hoe certificering werkt, lees je op onze pagina over ISO 27001.
Wat is het verschil tussen de clausules en Annex A van ISO 27001?
De clausules 4 tot en met 10 zijn de verplichte eisen aan het managementsysteem: context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Annex A is de lijst van 93 beheersmaatregelen waaruit je kiest op basis van je risico’s; wat je niet toepast, onderbouw je in de Verklaring van Toepasselijkheid.
Wat kost een ISO 27001-certificering?
Begeleiding kost bij BOEM gemiddeld 15.000 euro, met een bandbreedte van 9000 tot 20.000 euro, afhankelijk van omvang en van wat er al staat. Daar komen de kosten van de certificerende instelling en je eigen uren bij. De opbouw staat op onze pagina over ISO 27001 kosten.
