Een ISO 27001-implementatie pakken wij aan in vijf fases: een nulmeting op locatie, het opzetten van het managementsysteem, de implementatie van twaalf thema’s, de interne audit, en de externe audit met onderhoud. Dat duurt gemiddeld drie tot negen maanden, in sessies van een dag per maand of een halve dag per twee weken.
In het kort
- Een ISO 27001-implementatie in vijf fases, van nulmeting tot certificaat, in gemiddeld drie tot negen maanden.
- Niet de hoofdstukken van de norm, maar twaalf thema’s die aansluiten op hoe een organisatie werkt.
- Zo min mogelijk afwijken van de bestaande werkwijze: wat al goed gaat, leggen we vast in plaats van opnieuw uit te vinden.
- De interne audit doet een andere consultant dan degene die het traject begeleidt.
- Valt je organisatie onder de Cyberbeveiligingswet, dan implementeren we die 26 maatregelen eerst en bouwen we ISO 27001 eromheen.
Waarom twaalf thema’s en niet de hoofdstukken van de norm?
ISO 27001 bestaat uit tien hoofdstukken en 93 beheersmaatregelen in vier domeinen: organisatorisch, mensgericht, fysiek en technologisch. Wie die lijst van boven naar beneden afwerkt, behandelt hetzelfde onderwerp drie keer en zit steeds met de verkeerde mensen aan tafel. Daarom hebben wij de norm herverdeeld in twaalf thema’s:
- ISMS: risicoanalyse, doelstellingen, scope en de Verklaring van Toepasselijkheid.
- Organisatie en bestuur: het informatiebeveiligingsbeleid, rollen en verantwoordelijkheden.
- HR-beveiliging: screening, in- en uitdiensttreding, het personeelshandboek, training.
- Assetmanagement: welke middelen je hebt, wie de eigenaar is en hoe ze worden afgevoerd.
- Datamanagement: classificatie, veilig opslaan en delen van informatie.
- Toegangsbeheer: de autorisatiematrix, wachtwoorden en meerfactorauthenticatie.
- Technologische beveiliging: bescherming van apparaten, patching en configuratie.
- Incidentmanagement: melden, afhandelen en leren, inclusief de meldplicht.
- Back-ups en continuïteit: back-ups, hersteltests, de bedrijfsimpactanalyse en het continuïteitsplan.
- Softwareontwikkeling: alleen als je zelf software bouwt; anders valt dit buiten de scope.
- Leveranciers en externe partijen: eisen stellen, beoordelen en monitoren.
- Fysieke beveiliging: zones, bezoekers, clear desk.
Elk thema is één sessie, soms twee; samen vormen ze het hart van de ISO 27001-implementatie. Per sessie weet je twee weken van tevoren wat we behandelen, wie erbij moet zijn en hoe laat. Voor HR-beveiliging zit HR aan tafel, voor de technische thema’s je IT-partner. Niemand hoeft een hele dag vrij te houden voor een onderwerp dat niet over zijn werk gaat.
Fase 1: de nulmeting
Een ISO 27001-implementatie begint bij ons op locatie. We bepalen de context van de organisatie, lopen de stakeholders langs, stellen de scope vast en spreken een planning af: hoeveel sessies, welk ritme, welke tussentijdse deadlines. Vaak is dit al gedaan in een GAP-analyse; dan slaan we deze stap grotendeels over.
Twee dingen komen in bijna elke nulmeting terug. Het eerste is dat de techniek sterker is dan de vastlegging. In een recente nulmeting bleek bijna twee derde van de maatregelen in de praktijk al te werken; ze misten alleen beleid en bewijs. Het tweede is de scope. Of softwareontwikkeling erbij hoort, of een dochteronderneming meegaat en hoeveel locaties de auditor moet bezoeken, bepaalt de omvang van het traject en de kosten van de externe audit. Daarover schreven we eerder in het artikel over de scope van ISO 27001.
Fase 2: het managementsysteem opzetten
Voordat er beleid wordt geschreven, regelen we drie dingen.
Rollen. Intern een ISMS-coördinator, het vaste aanspreekpunt dat het traject stuurt. Vanuit BOEM een vast aanspreekpunt, en waar nodig de rol van externe security officer, zodat de functiescheiding die een auditor verwacht er vanaf dag één is. De directie zit vanaf het begin aan tafel: zij neemt de beslissingen en is onder de Cyberbeveiligingswet ook aansprakelijk.
De risicobeoordeling. Die doen we vroeg, omdat alle maatregelen eruit volgen. Een maatregel zonder risico erachter is een papieren tijger, en precies die willen we vermijden. Hoe we dat doen staat in het artikel over de risicobeoordeling.
De documentstructuur. Eén overkoepelend informatiebeveiligingsbeleid, vastgesteld door de directie, met daaronder procedures die de proceseigenaren zelf mogen bijwerken. Heeft de organisatie al een kwaliteitssysteem, dan sluiten we daarop aan: bestaande werkinstructies worden onderdeel van het ISMS, met het versiebeheer dat er al is. Voor medewerkers komt er een korte handreiking met de tien belangrijkste regels, omdat een beleid van twintig pagina’s niet wordt gelezen.
Fase 3: de twaalf thema’s implementeren
Dit is de grootste fase van de ISO 27001-implementatie. Per sessie nemen we een thema door aan de hand van onze vragenlijst: wat doe je nu, wat vraagt de norm, wat ontbreekt. Het uitgangspunt is pragmatisch: zo min mogelijk afwijken van hoe de organisatie al werkt. De norm biedt daar meer ruimte voor dan de meeste mensen denken.
Wat een sessie oplevert is concreet: een beleidsdocument, en de registers die erbij horen. Een assetregister met eigenaren. Een autorisatiematrix die alle systemen dekt. Een incidentregister, een wijzigingsregister, een trainingsregister. En een werklijst voor je IT-partner, want een beleid dat zegt dat meerfactorauthenticatie verplicht is, heeft het nog niet aangezet.
Het schrijfwerk gaat tegenwoordig snel. Wij werken met sjablonen en met AI die het opgenomen gesprek gebruikt om het ontbrekende beleid op te stellen, toegesneden op de organisatie. Daardoor zit de tijd van jouw mensen in de keuzes, niet in het typen.
Waar het misgaat, is zelden in de sessie zelf. Het gaat mis tussen de sessies. Een toegangsreview die elk kwartaal moet gebeuren en drie keer wordt overgeslagen, kun je twee weken voor de audit niet alsnog inhalen. Daarom staan de terugkerende controles vanaf het begin op een kalender, en daarom vragen we de organisatie om tijd vrij te maken tussen de sessies door.
Fase 4: bewijs verzamelen en de interne audit
Als de thema’s staan, draaien we de activiteiten die bewijs opleveren: een toegangsreview, een leveranciersbeoordeling, een hersteltest van de back-up, een bewustwordingsactie die in het trainingsregister wordt vastgelegd. Tegelijk koppelen we in de Verklaring van Toepasselijkheid elk van de 93 maatregelen aan het beleid, de procedure en het bewijs dat erbij hoort. Maatregelen die niet van toepassing zijn, sluiten we met een onderbouwing uit; een organisatie zonder eigen servers hoeft geen onderhoudsprocedure voor serverruimtes te hebben.
Dan volgt de interne audit. Die is verplicht voordat de externe audit mag plaatsvinden, en die doet niet de consultant die het traject heeft begeleid. Een collega neemt het over, of iemand uit de eigen organisatie die daarvoor bekwaam is. De bevindingen gaan in het verbeterregister, met een oorzaakanalyse en een corrigerende maatregel per afwijking. Daarna beoordeelt de directie het geheel in de directiebeoordeling en stuurt bij.
Fase 5: de externe audit en het onderhoud
De externe audit gebeurt door een geaccrediteerde certificerende instelling, in twee stappen. Eerst toetst de auditor de documentatie en de scope. Een paar weken later volgen interviews en steekproeven op locatie, bij verschillende afdelingen. De auditor kijkt naar opzet, bestaan en werking: niet alleen of het beleid er is, maar of het wordt uitgevoerd en of dat aantoonbaar is. We vragen bij meerdere certificerende instellingen een offerte op, omdat de prijzen en de beschikbaarheid uiteenlopen.
Na het certificaat begint het echte werk, want een ISO 27001-implementatie is pas geslaagd als het systeem blijft draaien. Elk jaar is er een controle-audit en na drie jaar een hercertificering. Wij blijven betrokken met een sessie per kwartaal of per half jaar, waarin we het ISMS langslopen, de kalender controleren en bijsturen. Een certificaat halen is leuk; het houden is waar het om gaat.
Wat het van jouw organisatie vraagt
Een ISO 27001-implementatie vraagt een vast aanspreekpunt met mandaat. Een directie die beslist en zich laat trainen. Tussen de sessies door tijd voor de werklijst, bij jezelf en bij je IT-partner. En de bereidheid om op te schrijven wat je al doet, ook als dat voelt als werk dat niets toevoegt aan de veiligheid. Het voegt wel iets toe: een toezichthouder en een auditor kijken naar werking, en werking zonder vastlegging bestaat voor hen niet.
Twijfel je of je dit zelf kunt, of dat begeleiding verstandiger is? Lees dan ISO 27001 zelf doen of uitbesteden. Wil je weten waar je staat? Dan beginnen we met een GAP-analyse, voor een vaste prijs, en daarna een implementatietraject met een planning waarin staat wie wat wanneer oplevert.
Veelgestelde vragen
Hoe lang duurt een ISO 27001-implementatie?
Gemiddeld drie tot negen maanden, afhankelijk van wat er al staat en van het ritme: een dag per maand of een halve dag per twee weken. Moet het certificaat snel, bijvoorbeeld voor een aanbesteding, dan plannen we daarop. Wat het tempo bepaalt is of de organisatie tussen de sessies door tijd vrijmaakt.
Moet ik eerst een GAP-analyse laten doen?
Niet altijd. Een GAP-analyse geeft vooraf een helder beeld van wat er al staat en wat ontbreekt, en is de basis voor een realistische planning. Is er geen GAP-analyse gedaan, dan begint het traject met een nulmeting op locatie waarin we hetzelfde in kaart brengen, alleen minder diep.
Wie voert de interne audit uit?
Niet degene die het traject heeft begeleid. Om het vier-ogenprincipe te bewaren doet een andere consultant van BOEM de interne audit, of iemand uit je eigen organisatie die daarvoor bekwaam is. De bevindingen gaan in het verbeterregister en vormen de basis voor de directiebeoordeling en de externe audit.
Kunnen NIS2 en ISO 27001 in één traject?
Ja, en dat is hoe we het meestal doen. De Cyberbeveiligingswet kent 26 beheersmaatregelen; die implementeren we eerst, omdat de wet al geldt. Daarna bouwen we het managementsysteem van ISO 27001 eromheen. Zo voldoe je aan de zorgplicht zodra de basis staat, en kun je daarna certificeren zonder dubbel werk.
