ISO 27001 certificering

Wat is ISO 27001?

ISO/IEC 27001 is de internationale norm voor een Information Security Management System (ISMS). De norm beschrijft aan welke eisen een organisatie moet voldoen om informatiebeveiliging systematisch in te richten, te beheersen en continu te verbeteren.

De actuele internationale editie is ISO/IEC 27001:2022.

ISO 27001 draait niet alleen om IT-beveiliging. De norm kijkt naar de gehele organisatie: mensen, processen, systemen, leveranciers, fysieke beveiliging en de manier waarop verantwoordelijkheden zijn georganiseerd. Daarbij staan drie eigenschappen van informatie centraal:

• Vertrouwelijkheid: informatie is alleen toegankelijk voor personen die daarvoor bevoegd zijn.
• Integriteit: informatie is juist, volledig en beschermd tegen ongewenste wijzigingen.
• Beschikbaarheid: informatie en systemen zijn beschikbaar wanneer dat nodig is.

Met ISO 27001 brengt u risico’s voor deze drie onderdelen in kaart en bepaalt u welke maatregelen nodig zijn om die risico’s tot een acceptabel niveau terug te brengen.

Wat is een ISMS?

Een ISMS is het managementsysteem waarmee u informatiebeveiliging binnen uw organisatie organiseert.

Het is dus niet per definitie een softwareprogramma of digitaal platform. Een ISMS is vooral een samenhangende manier van werken waarin u onder andere vastlegt:

• welke informatie en processen belangrijk zijn;
• welke risico’s daarbij horen;
• welke beveiligingsmaatregelen nodig zijn;
• wie waarvoor verantwoordelijk is;
• hoe prestaties worden gemonitord;
• hoe incidenten en afwijkingen worden behandeld;
• hoe u informatiebeveiliging blijft verbeteren.

Het ISMS moet aansluiten op uw eigen organisatie. ISO 27001 schrijft daarom niet voor dat ieder bedrijf exact dezelfde technische maatregelen moet nemen. Een softwarebedrijf, zorgorganisatie en productiebedrijf hebben immers verschillende processen, systemen en risico’s. De maatregelen moeten passen bij de risico’s en context van de organisatie.

Wat houdt ISO 27001 certificering in?

Bij een ISO 27001 certificering laat u uw ISMS beoordelen door een onafhankelijke certificerende instelling. De auditor beoordeelt niet alleen of de benodigde documentatie aanwezig is. Er wordt vooral gekeken of het managementsysteem daadwerkelijk is geïmplementeerd en in de praktijk werkt.

U moet bijvoorbeeld kunnen aantonen dat:

• informatiebeveiligingsrisico’s structureel worden beoordeeld;
• verantwoordelijkheden duidelijk zijn vastgelegd;
• passende beheersmaatregelen zijn ingevoerd;
• medewerkers voldoende bewust zijn van informatiebeveiliging;
• controles daadwerkelijk worden uitgevoerd;
• incidenten en afwijkingen worden opgevolgd;
• interne audits plaatsvinden;
• het management het ISMS periodiek beoordeelt;
• verbeteringen aantoonbaar worden doorgevoerd.

Na een succesvolle certificeringsaudit kan de certificerende instelling het ISO 27001 certificaat afgeven. Nieuwhuis Consult kan uw organisatie voorbereiden en begeleiden richting certificering. De uiteindelijke certificeringsaudit wordt vanwege de vereiste onafhankelijkheid uitgevoerd door een externe certificerende instelling.

Voor welke organisaties is ISO 27001 relevant?

ISO 27001 kan worden toegepast door organisaties van iedere omvang en binnen vrijwel iedere sector. De norm is vooral relevant voor organisaties die afhankelijk zijn van informatie, digitale systemen of vertrouwelijke gegevens. Denk bijvoorbeeld aan:

• ICT- en softwarebedrijven;
• zakelijke dienstverleners;
• productie- en technische bedrijven;
• logistieke organisaties;
• financiële dienstverleners;
• organisaties die werken voor overheden;
• leveranciers binnen complexe ketens;
• organisaties die veel persoonsgegevens of bedrijfsgevoelige informatie verwerken.

Ook wanneer klanten, opdrachtgevers of aanbestedingen steeds vaker vragen hoe uw informatiebeveiliging is geregeld, kan ISO 27001 interessant zijn. Voor organisaties in de zorgsector speelt daarnaast NEN 7510 een belangrijke rol. NEN 7510 is specifiek ontwikkeld voor informatiebeveiliging in de zorg en sluit aan op ISO 27001, met aanvullende eisen en beheersmaatregelen voor organisaties die persoonlijke gezondheidsinformatie verwerken.

Werkt uw organisatie in de zorg of verwerkt u gezondheidsinformatie? Dan is het belangrijk om te bepalen of ISO 27001, NEN 7510 of een combinatie daarvan het meest passend is.

Is ISO 27001 verplicht?

ISO 27001 is niet voor iedere organisatie wettelijk verplicht.

Een certificering kan in de praktijk wel noodzakelijk worden doordat een opdrachtgever, aanbesteding, branche of contract verlangt dat u aantoonbaar aan ISO 27001 voldoet.Ook wet- en regelgeving kan eisen stellen aan de manier waarop u informatiebeveiligingsrisico’s beheerst, zonder daarbij letterlijk een ISO 27001-certificaat voor te schrijven.

Daarom kiezen organisaties niet alleen voor certificering vanwege het certificaat zelf. ISO 27001 wordt ook gebruikt als structuur om informatiebeveiliging aantoonbaar en beheersbaar te organiseren.

Waarom ISO 27001 certificering?

Een ISO 27001 certificering levert meer op dan een certificaat aan de muur.

Grip op informatiebeveiligingsrisico’s

Met een risicoanalyse brengt u systematisch in kaart waar kwetsbaarheden zitten. Daardoor worden beveiligingsmaatregelen niet willekeurig gekozen, maar gebaseerd op de daadwerkelijke risico’s voor uw organisatie.

Aantoonbare informatiebeveiliging

U kunt klanten, opdrachtgevers en andere belanghebbenden aantonen dat informatiebeveiliging via een internationaal erkend managementsysteem wordt beheerst en onafhankelijk is beoordeeld.

Meer vertrouwen bij klanten en opdrachtgevers

Organisaties stellen steeds hogere eisen aan leveranciers die toegang krijgen tot informatie, systemen of persoonsgegevens. Een ISO 27001 certificaat kan daarbij vertrouwen geven en vragen tijdens leveranciersbeoordelingen of aanbestedingen eenvoudiger maken.

Duidelijke verantwoordelijkheden

ISO 27001 zorgt ervoor dat informatiebeveiliging niet uitsluitend een verantwoordelijkheid van IT is. Ook directie, management en medewerkers krijgen duidelijke taken en verantwoordelijkheden.

Continu verbeteren

Risico’s, technologie en organisaties veranderen. Daarom is ISO 27001 geen eenmalige exercitie. Met audits, controles, evaluaties en verbetermaatregelen blijft u uw informatiebeveiliging verder ontwikkelen.

Wat zijn de belangrijkste ISO 27001 eisen?

De certificeerbare eisen van ISO 27001 zijn opgebouwd volgens de structuur van managementsysteemnormen. De inhoudelijke eisen bevinden zich voornamelijk in hoofdstuk 4 tot en met 10.

Hoofdstuk 4: Context van de organisatie

U brengt de organisatie en haar omgeving in kaart. Daarbij kijkt u onder andere naar relevante interne en externe ontwikkelingen, belanghebbenden en hun eisen. Ook bepaalt u hier de scope van het ISMS: welk deel van de organisatie, welke processen, locaties, systemen en informatie vallen onder de certificering?

Hoofdstuk 5: Leiderschap

De directie moet betrokken zijn bij het ISMS en verantwoordelijkheid nemen voor informatiebeveiliging. Rollen, bevoegdheden en verantwoordelijkheden moeten duidelijk zijn en er moet passend informatiebeveiligingsbeleid worden vastgesteld.

Hoofdstuk 6: Planning

Risicomanagement vormt een belangrijk onderdeel van ISO 27001. U brengt informatiebeveiligingsrisico’s in kaart, beoordeelt deze en bepaalt hoe risico’s worden behandeld. Daarnaast stelt u informatiebeveiligingsdoelstellingen vast.

Hoofdstuk 7: Ondersteuning

Om het ISMS goed te laten functioneren zijn voldoende mensen, kennis, middelen en communicatie nodig. Ook bewustwording van medewerkers en het beheersen van gedocumenteerde informatie spelen hierin een rol.

Hoofdstuk 8: Uitvoering

De afspraken uit het ISMS worden daadwerkelijk uitgevoerd. Risicobeoordelingen en risicobehandelplannen moeten worden toegepast en beheerst.

Hoofdstuk 9: Evaluatie van prestaties

U controleert of het ISMS doet wat het moet doen. Dat gebeurt onder andere door monitoring, metingen, interne audits en de directiebeoordeling.

Hoofdstuk 10: Verbetering

Afwijkingen worden onderzocht en opgevolgd. Op basis van bevindingen en nieuwe ontwikkelingen wordt het managementsysteem continu verbeterd.

Wilt u uitgebreider weten wat de norm verlangt? Lees dan onze uitleg over de ISO 27001 eisen.

ISO 27001 Annex A: 93 beheersmaatregelen

Naast de eisen uit hoofdstuk 4 tot en met 10 bevat ISO 27001 een Annex A met 93 beheersmaatregelen. Deze zijn in de huidige norm verdeeld over vier thema’s:

• organisatorische beheersmaatregelen;
• mensgerichte beheersmaatregelen;
• fysieke beheersmaatregelen;
• technologische beheersmaatregelen.

Denk bijvoorbeeld aan onderwerpen als toegangsbeheer, leveranciersbeveiliging, back-ups, incidentmanagement, informatieclassificatie, fysieke toegang en veilige ontwikkeling. De 93 maatregelen zijn geen simpel afvinklijstje dat iedere organisatie één-op-één moet implementeren. Op basis van uw risicoanalyse bepaalt u welke beheersmaatregelen noodzakelijk zijn. Vervolgens vergelijkt u deze met Annex A om te controleren of relevante maatregelen niet over het hoofd zijn gezien.

In de Verklaring van Toepasselijkheid, ook wel Statement of Applicability (SoA), legt u vast welke maatregelen van toepassing zijn en onderbouwt u gemaakte keuzes.

In stappen naar ISO 27001 certificering

Een goed ISO 27001 traject begint niet met het schrijven van zo veel mogelijk procedures. Eerst moet duidelijk zijn wat uw organisatie al heeft geregeld, welke risico’s relevant zijn en wat daadwerkelijk nodig is. Nieuwhuis Consult hanteert daarom een praktische aanpak.

Stap 1. Nulmeting en scope bepalen

We brengen in kaart waar uw organisatie op dit moment staat ten opzichte van ISO 27001.

Vaak blijken onderdelen al aanwezig te zijn. Denk aan bestaande IT-procedures, HR-afspraken, toegangsbeheer, leveranciersafspraken of processen vanuit andere managementsystemen. Vervolgens bepalen we welke onderdelen binnen de scope van het ISMS vallen en wat nog moet worden ingericht. Het resultaat is een duidelijk beeld van de uitgangssituatie en een concreet plan van aanpak.

Stap 2. Context en risico’s in kaart brengen

Daarna kijken we naar de context van de organisatie en relevante belanghebbenden, zoals klanten, medewerkers, leveranciers en toezichthouders.

Vervolgens voeren we de informatiebeveiligingsrisicoanalyse uit. Welke informatie is belangrijk? Wat kan daarmee misgaan? Wat zijn de gevolgen? Welke risico’s accepteren we en voor welke risico’s zijn aanvullende maatregelen nodig? Deze analyse vormt de basis voor het verdere ISMS.

Stap 3. ISMS inrichten

Op basis van de risicoanalyse wordt het managementsysteem verder ingericht.

Daarbij worden onder andere beleid, verantwoordelijkheden, doelstellingen, processen en benodigde documentatie vastgesteld. Ook wordt de Verklaring van Toepasselijkheid opgesteld. We sluiten hierbij waar mogelijk aan op bestaande processen. Zo voorkomen we dat er een los managementsysteem ontstaat dat alleen voor de audit wordt gebruikt.

Stap 4. Beheersmaatregelen implementeren

Vervolgens worden de benodigde organisatorische, menselijke, fysieke en technologische maatregelen daadwerkelijk ingevoerd. Denk bijvoorbeeld aan afspraken rondom autorisaties, incidenten, leveranciers, back-ups, awareness, continuïteit of toegangsbeveiliging. Welke maatregelen nodig zijn, verschilt per organisatie en volgt uit de risicoanalyse.

Stap 5. Werking aantoonbaar maken

Voor certificering is het niet voldoende dat beleid en procedures bestaan. U moet ook kunnen laten zien dat ermee wordt gewerkt. Daarom worden controles uitgevoerd, registraties bijgehouden en acties opgevolgd. Zo ontstaat bewijs dat het ISMS daadwerkelijk onderdeel is van de bedrijfsvoering.

Stap 6. Interne audit en directiebeoordeling

Voorafgaand aan certificering wordt beoordeeld of het managementsysteem voldoet aan de gestelde eisen en effectief is geïmplementeerd. Een interne audit geeft inzicht in eventuele afwijkingen en verbeterpunten. Daarnaast beoordeelt de directie het functioneren van het ISMS tijdens de directiebeoordeling.

Eventuele verbeterpunten kunnen daarna worden opgepakt voordat de externe certificeringsaudit plaatsvindt.

Stap 7. Externe certificeringsaudit

De uiteindelijke certificeringsaudit wordt uitgevoerd door een onafhankelijke certificerende instelling. Nieuwhuis Consult kan helpen bij de voorbereiding, afstemming en opvolging van eventuele bevindingen. De beslissing over het afgeven van het certificaat ligt altijd bij de certificerende instelling.

Hoe verloopt de ISO 27001 certificeringsaudit?

De initiële certificeringsaudit bestaat normaal gesproken uit twee onderdelen.

Fase 1: beoordeling van de voorbereiding

Tijdens de eerste auditfase beoordeelt de auditor of het ISMS voldoende is ingericht om de volgende fase te doorlopen. Er wordt onder andere gekeken naar de scope, risicoanalyse, Verklaring van Toepasselijkheid, beleid en belangrijke onderdelen van het managementsysteem.

Fase 2: werking in de praktijk

In de tweede auditfase staat de praktische werking centraal.

De auditor kan documentatie bekijken, medewerkers interviewen en steekproeven uitvoeren om vast te stellen of processen en maatregelen daadwerkelijk worden toegepast en effectief zijn. Als aan de eisen wordt voldaan en eventuele afwijkingen goed zijn afgehandeld, kan de organisatie worden voorgedragen voor certificering.

Hoelang duurt een ISO 27001 certificeringstraject?

Een ISO 27001 traject duurt doorgaans meerdere maanden. Hoeveel tijd precies nodig is, hangt sterk af van de uitgangssituatie.

Factoren die de doorlooptijd beïnvloeden zijn onder andere:

• de omvang en complexiteit van de organisatie;
• de gekozen scope;
• de huidige volwassenheid van informatiebeveiliging;
• de beschikbaarheid van medewerkers;
• het aantal benodigde verbetermaatregelen;
• reeds aanwezige processen en managementsystemen;
• de planning van de certificerende instelling.

Een organisatie die al veel processen goed heeft ingericht, kan sneller vooruit dan een organisatie die informatiebeveiliging vanaf de basis moet opbouwen. Een nulmeting geeft daarom een veel betrouwbaarder beeld van de benodigde doorlooptijd dan een algemene standaardplanning.

Wat kost een ISO 27001 certificering?

Ook de kosten van ISO 27001 verschillen per organisatie. Het is belangrijk om daarbij onderscheid te maken tussen drie soorten kosten:

1. Implementatie en begeleiding

Dit zijn de kosten voor het analyseren van de uitgangssituatie, uitvoeren van risicoanalyses, opzetten van het ISMS, implementeren van processen en eventuele externe begeleiding.

2. Benodigde verbetermaatregelen

Uit de risicoanalyse kunnen aanvullende technische, organisatorische of fysieke maatregelen volgen. Denk aan tooling, trainingen of aanpassingen aan systemen en processen.

3. Certificeringskosten

De onafhankelijke certificerende instelling rekent kosten voor de certificeringsaudit en de daaropvolgende controle-audits.

De totale investering wordt onder andere beïnvloed door de organisatiegrootte, het aantal locaties, de complexiteit van processen, de scope en hoeveel er al aanwezig is. Werkt uw organisatie bijvoorbeeld al met een managementsysteem zoals ISO 9001? Dan kunnen onderdelen zoals interne audits, documentbeheer, doelstellingen en de directiebeoordeling mogelijk worden geïntegreerd. Wilt u weten welke inspanning en investering voor uw organisatie realistisch zijn? Na een oriënterend gesprek kunnen wij hiervoor een voorstel op maat maken.

ISO 27001 en NIS2 / Cyberbeveiligingswet

ISO 27001 en de Cyberbeveiligingswet zijn niet hetzelfde. De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn in Nederland en stelt voor organisaties die onder de wet vallen eisen aan onder andere risicobeheersing en cyberbeveiligingsmaatregelen. ISO 27001 biedt een managementsysteem waarmee veel relevante onderwerpen structureel kunnen worden georganiseerd, zoals:

• risicomanagement;
• beleid en verantwoordelijkheden;
• incidentmanagement;
• leveranciersbeheersing;
• bedrijfscontinuïteit;
• monitoring en evaluatie;
• continue verbetering.

Daarom kan ISO 27001 een sterke basis vormen voor organisaties die ook met de Cyberbeveiligingswet te maken hebben.

Een ISO 27001 certificaat betekent echter niet automatisch dat uw organisatie volledig aan alle verplichtingen uit de Cyberbeveiligingswet voldoet. Welke wettelijke verplichtingen gelden, moet afzonderlijk worden beoordeeld.

ISO 27001 certificaat behaald: wat gebeurt er daarna?

ISO 27001 stopt niet zodra het certificaat is behaald. Een ISO 27001 certificaat heeft normaal gesproken een certificatiecyclus van drie jaar. Tussentijds voert de certificerende instelling periodieke controle-audits uit. Aan het einde van de cyclus volgt een hercertificeringsaudit. Uw organisatie blijft ondertussen het ISMS onderhouden en verbeteren.

Dat betekent onder andere:

• risico’s opnieuw beoordelen wanneer daar aanleiding voor is;
• acties en doelstellingen opvolgen;
• wijzigingen in de organisatie meenemen;
• interne audits uitvoeren volgens het auditprogramma;
• de directiebeoordeling uitvoeren;
• incidenten en afwijkingen opvolgen;
• beleid en documentatie actueel houden.

Zo blijft ISO 27001 een werkend managementsysteem in plaats van een eenmalig certificeringsproject. Nieuwhuis Consult kan ook na certificering ondersteuning bieden bij het onderhouden en verder ontwikkelen van het ISMS.

Waarom Nieuwhuis Consult voor ISO 27001?

Een ISO 27001 traject moet niet leiden tot onnodige procedures en documenten die na de audit in een map verdwijnen. Het managementsysteem moet passen bij uw organisatie en helpen om informatiebeveiliging daadwerkelijk beter te beheersen.

Daarom richten wij ons op:

• Praktische oplossingen: passend bij uw processen en manier van werken.
• Deskundige begeleiding: ondersteuning bij de norm én de praktische toepassing ervan.
• Ontzorgen waar mogelijk: formats, kennis en ondersteuning waar dat waarde toevoegt.
• Strak projectmanagement: duidelijkheid over acties, verantwoordelijkheden en voortgang.
• Voorbereiding op certificering: van nulmeting en risicoanalyse tot interne audit en externe certificeringsaudit.
• Continue verbetering: niet alleen het certificaat behalen, maar zorgen dat het ISMS daarna blijft functioneren.

Na een vrijblijvend oriënterend gesprek brengen we uw situatie in kaart en kunnen we een passende aanpak voorstellen.

Contact Offerte aanvragen

Gerelateerde kennisbank-artikelen