Wat is ISO 27001?
ISO 27001 is de internationale norm voor informatiebeveiliging. De norm schrijft geen technische maatregelen voor, maar eist dat je een managementsysteem inricht waarmee je risico’s structureel beoordeelt, behandelt en aantoonbaar verbetert. De geldende versie is ISO/IEC 27001:2022, met 93 beheersmaatregelen in Annex A verdeeld over vier thema’s. Op deze pagina leggen we uit wat er in de norm staat. Zoek je begeleiding bij de invoering, dan vind je die op onze pagina over ISO 27001-implementatie.
GRATIS EN VRIJBLIJVEND
Doe de gratis ISO 27001-check
Nog niet zeker of ISO 27001 bij je past, of waar je zou moeten beginnen? Plan een gesprek, dan nemen we het samen door. Je krijgt een eerlijk beeld van je startpunt en de route naar certificering, zonder verplichtingen en zonder kosten.
Waar staat je organisatie nu?
We lopen op hoofdlijnen door wat er al staat aan beleid, processen en techniek, en wat de norm daarnaast van je vraagt.
Wat is een realistische route?
Je hoort welke stappen in jouw situatie nodig zijn, in welke volgorde, en wat dat ongeveer aan tijd en geld kost.
Is certificering wel de juiste keuze?
Soms is NIS2 Supply Chain of een ander normenkader logischer. We zeggen het eerlijk als dat zo is.
Wat er in de norm staat
Een managementsysteem, geen maatregelenlijst
De grootste misvatting over ISO 27001 is dat het een technische checklist zou zijn. Dat is het niet. De kern van de norm is een Information Security Management System, in het Nederlands een managementsysteem voor informatiebeveiliging, meestal afgekort als ISMS. Dat is het geheel van beleid, processen, rollen en registraties waarmee je organisatie informatiebeveiliging bestuurt. De norm eist dat je vaststelt welke risico’s je loopt, welke maatregelen je daartegen neemt, waarom je die keuzes maakt, en dat je periodiek controleert of het nog werkt. Welke maatregelen dat concreet zijn, bepaal jij op basis van je eigen risico’s. Twee organisaties kunnen dus allebei volledig aan ISO 27001 voldoen met een verschillende set maatregelen.
De opbouw: de hoofdstukken 4 tot en met 10
De eisen van de norm staan in de hoofdstukken 4 tot en met 10. De eerste drie hoofdstukken bevatten het toepassingsgebied, verwijzingen en definities en zijn niet auditeerbaar. De zeven volgende hoofdstukken zijn dat wel, en ze volgen de logica van een verbetercyclus: je bepaalt de context, je regelt leiderschap en verantwoordelijkheden, je plant en beoordeelt risico’s, je zorgt voor middelen en mensen, je voert uit, je evalueert de prestaties en je verbetert. Een auditor toetst al deze hoofdstukken. Ontbreekt er een, bijvoorbeeld de directiebeoordeling uit hoofdstuk 9, dan kom je niet door de audit, ongeacht hoe goed je techniek op orde is.
Annex A: 93 beheersmaatregelen in vier thema’s
Naast de hoofdstukken kent de norm een bijlage, Annex A, met een referentielijst van beheersmaatregelen. In de versie van 2022 zijn dat 93 maatregelen, verdeeld over vier thema’s: 37 organisatorische, 8 mensgerichte, 14 fysieke en 34 technologische maatregelen. In de oude versie van 2013 waren het 114 maatregelen in veertien hoofdstukken. Er zijn niet simpelweg maatregelen geschrapt: veel oude maatregelen zijn samengevoegd en er zijn elf nieuwe bijgekomen, waaronder dreigingsinformatie, informatiebeveiliging bij gebruik van clouddiensten, configuratiebeheer, gegevensmaskering, preventie van datalekken, monitoring, webfiltering en veilig programmeren. Die elf laten goed zien waar het risicobeeld sinds 2013 naartoe is geschoven.
Het verschil tussen ISO 27001 en ISO 27002
Dit is de vraag die we het vaakst krijgen. ISO 27001 bevat de eisen waaraan je moet voldoen en is de norm waarop je gecertificeerd wordt. ISO 27002 bevat geen eisen maar toelichting: per beheersmaatregel uit Annex A staat daar uitgelegd wat het doel is en hoe je hem in de praktijk kunt invullen. Je wordt dus nooit gecertificeerd tegen ISO 27002, maar je hebt hem in de praktijk wel nodig om te begrijpen wat een maatregel van je vraagt. In Nederland gelden de Europese overnames NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022.
De overgang naar de versie van 2022 is voorbij
ISO/IEC 27001:2022 is in oktober 2022 gepubliceerd. Certificaathouders kregen drie jaar om over te stappen en die termijn liep af op 31 oktober 2025. Certificaten op de versie van 2013 zijn daarmee vervallen. Werk je nog met documentatie die naar de oude hoofdstukindeling of naar 114 maatregelen verwijst, dan is je dossier verouderd. In 2024 is de norm nog licht aangevuld met een wijziging die vraagt om klimaatverandering mee te nemen bij het bepalen van relevante onderwerpen en belanghebbenden.
De norm hoofdstuk voor hoofdstuk
Hier bepaal je waar je managementsysteem over gaat. Je brengt in kaart welke interne en externe onderwerpen relevant zijn, wie je belanghebbenden zijn en wat zij van je verwachten, en je legt het toepassingsgebied vast: welke organisatieonderdelen, locaties, processen en systemen vallen binnen je ISMS en welke niet. Dit hoofdstuk wordt vaak onderschat, maar de scope bepaalt de rest van je traject. Een scope die te ruim is maakt het werk onnodig zwaar, een scope die te krap is maakt je certificaat waardeloos voor de opdrachtgever die ernaar vraagt.
De norm legt de verantwoordelijkheid expliciet bij de directie. Die moet het informatiebeveiligingsbeleid vaststellen, zorgen dat de doelen passen bij de strategie, middelen vrijmaken en rollen en bevoegdheden toewijzen. Dit is het hoofdstuk waarop trajecten in de praktijk het vaakst vastlopen: als informatiebeveiliging in de organisatie het project van één ICT-medewerker blijft, ontbreekt de aantoonbare betrokkenheid van de leiding en dat is een bevinding die je niet met documentatie oplost.
Het hart van de norm. Je stelt een methode vast om risico’s te beoordelen, je voert die beoordeling uit, en je bepaalt per risico wat je ermee doet: verminderen, vermijden, overdragen of accepteren. Vervolgens vergelijk je de gekozen maatregelen met Annex A om te controleren of je niets over het hoofd hebt gezien. Het resultaat leg je vast in de Verklaring van Toepasselijkheid, ook wel Statement of Applicability of SoA: een overzicht van alle 93 maatregelen met per maatregel of je hem toepast en waarom wel of niet. Dat document is verplicht en het is het eerste dat een auditor opvraagt.
Dit hoofdstuk gaat over wat je nodig hebt om het systeem te laten werken: middelen, competente mensen, bewustzijn bij medewerkers, communicatie en beheerste documentatie. De eis rond bewustzijn is meer dan een jaarlijkse e-learning afvinken. Je moet kunnen aantonen dat medewerkers weten wat het beleid van hen vraagt en wat de gevolgen zijn als ze zich er niet aan houden. Zie ook onze aanpak voor security awareness.
Hier voer je uit wat je in hoofdstuk 6 hebt gepland en houd je bij dat je het hebt gedaan. Je herhaalt de risicobeoordeling op vaste momenten en bij wijzigingen, en je voert het behandelplan uit. Het klinkt eenvoudig, maar het is het hoofdstuk waar het verschil zit tussen een dossier dat klopt en een organisatie die daadwerkelijk veiliger is.
Drie verplichtingen: meten en monitoren, interne audits uitvoeren, en een directiebeoordeling houden. De interne audit moet onafhankelijk zijn, dus niemand auditeert zijn eigen werk. De directiebeoordeling is een formeel overleg waarin de leiding op basis van resultaten, bevindingen en veranderingen besluit wat er moet gebeuren. Van beide moet je verslaglegging hebben. Ontbreekt die, dan ontbreekt het bewijs dat je systeem leeft.
Je registreert afwijkingen, pakt de oorzaak aan in plaats van alleen het symptoom, en verbetert het systeem continu. Praktisch betekent dit dat je een register bijhoudt van incidenten, bevindingen en verbeteracties met eigenaar en termijn. Een auditor kijkt hier vooral of acties ook echt worden afgerond.
De 93 beheersmaatregelen zijn verdeeld over vier thema’s. Organisatorisch met 37 maatregelen gaat over beleid, rollen, leveranciers, incidentbeheer en continuïteit. Mensen met 8 maatregelen gaat over screening, arbeidsvoorwaarden, bewustzijn en gedrag. Fysiek met 14 maatregelen gaat over toegang tot gebouwen en ruimtes, apparatuur en opslagmedia. Technologisch met 34 maatregelen gaat over toegangsbeheer, versleuteling, logging, netwerkbeveiliging, kwetsbaarhedenbeheer en veilige ontwikkeling. Elke maatregel heeft daarnaast labels voor onder andere beveiligingsdoel en informatiebeveiligingseigenschap, wat het makkelijker maakt om je maatregelen te koppelen aan andere kaders.
Certificeren doe je bij een certificerende instelling die daarvoor geaccrediteerd is, in Nederland onder toezicht van de Raad voor Accreditatie. De audit bestaat uit twee fasen: in fase 1 wordt beoordeeld of je documentatie en opzet compleet zijn, in fase 2 wordt getoetst of het in de praktijk ook zo werkt. Slaag je, dan is het certificaat drie jaar geldig, met jaarlijkse controleaudits en na drie jaar een hercertificering. Een certificaat is dus geen eindpunt maar een abonnement op discipline.
Waarom kiezen voor BOEM?
- Uitleg voordat er verkocht wordt: deze pagina legt de norm uit zonder dat je een traject hoeft af te nemen. Weet je daarna dat je hulp wilt, dan staan we klaar.
- Actueel op de versie van 2022: wij werken met ISO/IEC 27001:2022 en de vier thema’s van Annex A, niet met de vervallen indeling uit 2013.
- Techniek en governance in een hand: wij toetsen niet alleen het dossier, maar controleren met een pentest of de maatregelen in de praktijk werken.
- Wij weten waar trajecten stokken: in de praktijk struikelen organisaties op leiderschap, scope en interne audit, niet op techniek. Daar richten wij ons werk op in.
- Eerste stap zonder kosten: een gratis ISO-check om te bepalen waar je staat, daarna een GAP-analyse met een vaste prijs.
Wat kost het om aan ISO 27001 te voldoen?
De eerste stap kost niets
Voordat je aan bedragen denkt is de vraag waar je staat. Dat kun je gratis laten vaststellen met onze ISO-check, en met het gratis digitaal vooronderzoek krijg je een beeld van je externe aanvalsoppervlak. Wil je precies weten welke van de 93 maatregelen je al dekt en welke niet, dan doen we een GAP-analyse voor een vaste prijs van 2.500 euro. Daaruit komt een prioriteitenlijst waarmee je een onderbouwd besluit kunt nemen in plaats van een schatting.
Wat een volledig traject globaal kost
De kosten van invoering hangen af van omvang, complexiteit en hoeveel er al staat. Een volledige ISO 27001-implementatie ligt doorgaans tussen 14.000 en 25.000 euro, en wij werken met een dagtarief van 1.200 euro zodat je per stap kunt bijsturen. Daar bovenop komt de audit van de certificerende instelling, die je zelf bij een geaccrediteerde partij inkoopt. Wil je de maatregelen technisch laten valideren, dan loopt een pentest van 5.000 tot 50.000 euro afhankelijk van scope.
Of je pakt het binnen het Security Partner-model
De implementatie van ISO 27001 hoeft geen los project te zijn. Het valt ook binnen ons Security Partner-model van 1.500 euro per maand. Dan bouwen we het managementsysteem en de maatregelen op als onderdeel van het abonnement en houden we het daarna ook bij: risicoregister, interne audits, directiebeoordeling, GRC-tooling en elk kwartaal een technische controle door een ethisch hacker. Voor organisaties zonder eigen securityteam is dat vaak de rustigere route, omdat je een vast bedrag per maand hebt in plaats van een projectbegroting vooraf. In een intake bepalen we samen welke van de twee routes bij je past.
Nee, ISO 27001 is een vrijwillige norm. Er is geen wet die je verplicht om je te laten certificeren. In de praktijk wordt de norm wel vaak verplicht gesteld door anderen: opdrachtgevers die het in een contract of aanbesteding eisen, of ketenpartners die willen zien dat je in control bent. Daarnaast gebruiken wetgevers de norm als referentie. De Cyberbeveiligingswet en de BIO 2.0 verwijzen naar ISO 27001 als manier om aan de zorgplicht te voldoen. Voldoen aan de norm kan dus indirect wel verplicht zijn, ook zonder certificaat.
De versie van 2022 heeft 93 beheersmaatregelen in Annex A, verdeeld over vier thema’s: 37 organisatorisch, 8 mensgericht, 14 fysiek en 34 technologisch. De versie van 2013 had 114 maatregelen in veertien hoofdstukken. Je komt online geregeld het getal 95 tegen, maar dat is onjuist. Belangrijker dan het aantal is dat je niet alle 93 hoeft toe te passen: je bepaalt op basis van risico welke relevant zijn en legt je onderbouwing vast in de Verklaring van Toepasselijkheid.
ISO 27001 bevat de eisen en is de norm waarop je gecertificeerd wordt. ISO 27002 bevat geen eisen maar praktische toelichting per beheersmaatregel uit Annex A: wat het doel is en hoe je hem kunt invullen. Je kunt dus niet gecertificeerd worden tegen ISO 27002, maar je hebt hem wel nodig om te begrijpen wat een maatregel van je vraagt.
De Verklaring van Toepasselijkheid, in het Engels Statement of Applicability of SoA, is een verplicht document waarin je alle 93 beheersmaatregelen uit Annex A langsloopt en per maatregel vastlegt of je hem toepast en waarom wel of niet. Het is de brug tussen je risicobeoordeling en je maatregelen, en het is het eerste document dat een auditor opvraagt. We hebben er een apart artikel over geschreven: Verklaring van Toepasselijkheid ISO 27001.
Drie jaar. In die drie jaar vindt jaarlijks een controleaudit plaats waarbij de certificerende instelling steekproefsgewijs toetst of je systeem nog werkt. Aan het einde van de cyclus volgt een hercertificering waarbij opnieuw de volledige norm wordt beoordeeld. Een certificaat is dus geen momentopname maar een verplichting om de cyclus jaar na jaar te blijven doorlopen.
ISO 27001 is een vrijwillige norm met een managementsysteem als kern. NIS2 is Europese wetgeving, in Nederland uitgewerkt in de Cyberbeveiligingswet, met een zorgplicht, een meldplicht en toezicht met sancties. De norm vertelt je hoe je informatiebeveiliging structureel inricht, de wet vertelt je dat je passende maatregelen moet nemen en incidenten binnen termijnen moet melden. Ze bijten elkaar niet: een werkend ISMS volgens ISO 27001 dekt een groot deel van de zorgplicht. Wat de wet daarnaast vraagt, zoals registratie en meldplicht, moet je apart regelen. Zie NIS2 en de Cyberbeveiligingswet en het Cbw Control Framework.
Dat hangt af van waarom je het doet. Wil je een externe partij overtuigen, bijvoorbeeld in een aanbesteding, dan is een certificaat van een geaccrediteerde instelling het enige dat echt bewijst wat je zegt. Wil je vooral je risico’s beheersen of aan een wettelijke zorgplicht voldoen, dan is aantoonbaar werken volgens de norm meestal genoeg en bespaar je de kosten van audits. Wij bespreken dat vooraf, want een certificaat dat niemand van je vraagt is een dure gewoonte.
Voor een middelgrote organisatie die bij nul begint is zes tot twaalf maanden realistisch tot je auditklaar bent. De doorlooptijd wordt zelden bepaald door de hoeveelheid werk, maar door beschikbaarheid van mensen en door de doorlooptijd van de cyclus zelf: je hebt een interne audit en een directiebeoordeling nodig, en die kun je niet in een week overtuigend organiseren. Staat er al beleid en een risicoregister, dan kan het aanzienlijk sneller.
Plan vandaag nog een vrijblijvende telefonische intake
In een vrijblijvend gesprek bepalen we samen of ISO 27001 voor jouw organisatie het juiste kader is, en of certificering meerwaarde heeft of dat aantoonbaar voldoen genoeg is.
BOEM Cybersecurity als partner, verhalen uit de praktijk
Wij zijn trots op onze klanten. Lees hier meer over deze klanten en hun succesverhalen.