ISO 27001-checklist

Wie zoekt naar een ISO 27001-checklist, wil meestal concrete antwoorden: wat moeten we doen, welke documenten hebben we nodig en hoe ver zijn we nog van certificering? Een lijst kan die vragen ordenen. Beantwoorden kan ze ze niet.

Een organisatie kan niet rechtstreeks van een generieke checklist naar een verdedigbare implementatie gaan. Daarvoor is concrete kennis nodig van ISO/IEC 27001:2022, de werkelijke reikwijdte van het ISMS, de informatiebeveiligingsrisico's en de operationele processen. Deze gids legt uit wat een checklist kan bieden, waar die ophoudt en welke sjablonen, cursussen en toolkits de volgende stap kunnen ondersteunen.

Waarom een ISO 27001-checklist niet genoeg is

De certificeerbare eisen staan in de hoofdstukken 4 tot en met 10 van ISO/IEC 27001:2022. Annex A bevat 93 referentiemaatregelen in vier thema's. Dat levert geen universele takenlijst op. Een organisatie moet onder meer begrijpen en onderbouwen:

• welke bedrijfsprocessen, informatie, systemen en locaties tot het ISMS behoren
• welke wettelijke, contractuele en zakelijke eisen van toepassing zijn
• hoe risico's consistent worden beoordeeld en behandeld
• welke maatregelen passen bij het werkelijke risicoprofiel
• welk bewijs echt aantoont dat een maatregel doeltreffend werkt

Twee organisaties kunnen hetzelfde punt op de checklist als afgerond markeren en toch een totaal verschillende mate van gereedheid hebben. Het bestaan van een beleid zegt bijvoorbeeld niets over de vraag of de eigenaren het begrijpen, of het proces werkt en of er betrouwbaar bewijs wordt geleverd.

Onderdelen die een checklist moet behandelen

1. Context en reikwijdte bepalen

• Beschrijf het doel van de organisatie en relevante interne en externe kwesties
• Breng belanghebbenden en hun eisen in kaart
• Leg wettelijke, regelgevende en contractuele verplichtingen vast
• Bepaal duidelijke, verdedigbare grenzen voor het ISMS
• Breng afhankelijkheden van leveranciers, locaties, systemen en processen in kaart

2. Leiderschap en verantwoordelijkheid vastleggen

• Toon betrokkenheid en verantwoordelijkheid van de directie aan
• Keur een informatiebeveiligingsbeleid goed en communiceer het
• Leg rollen, bevoegdheden en verantwoordelijke eigenaren vast
• Zorg voor voldoende mensen, technologie en budget

3. Risico's beoordelen en behandelen

• Leg een consistente methode en criteria voor risicobeoordeling vast
• Houd rekening met informatiemiddelen, dreigingen, kwetsbaarheden en gevolgen
• Evalueer risico's, wijs eigenaren toe en bewaar de resultaten
• Kies behandelopties en stel een risicobehandelplan op
• Houd een Verklaring van Toepasselijkheid bij met selectie, uitsluiting en implementatiestatus
• Laat restrisico's accepteren door de juiste risico-eigenaren

4. Doelstellingen, competentie en documentatie organiseren

• Stel meetbare informatiebeveiligingsdoelstellingen, eigenaren en termijnen vast
• Bepaal de benodigde competenties en bewaar bewijs van training
• Plan bewustwording en interne communicatie
• Voorzie gedocumenteerde informatie van versies, goedkeuring, bescherming en bewaring
• Plan wijzigingen in het ISMS op een beheerste manier

5. Maatregelen implementeren en uitvoeren

• Implementeer de organisatorische, mensgerichte, fysieke en technologische maatregelen die uit de risicobehandeling voortvloeien
• Beheers operationele processen en uitbestede diensten
• Verbind bewijs rechtstreeks met risico's, eisen en maatregelen
• Richt terugkerende controles, reviews en vervaldata voor maatregelen in
• Koppel uitzonderingen en nieuwe risico's terug naar de bedrijfsvoering

6. Doeltreffendheid evalueren en verbeteren

• Leg indicatoren en evaluatiemethoden vast
• Monitor, meet, analyseer en evalueer de resultaten
• Plan en voer een onafhankelijke interne audit uit
• Documenteer directiebeoordelingen, de input ervan en de besluiten
• Pak afwijkingen aan, analyseer oorzaken en volg corrigerende maatregelen op
• Bevestig vóór de certificering dat documentatie en werkelijke praktijk overeenkomen

Welke documenten horen op de checklist?

De norm vereist op verschillende plaatsen gedocumenteerde informatie, maar schrijft geen afzonderlijk beleid voor elke maatregel voor. De juiste omvang hangt af van de grootte, complexiteit en risico's van de organisatie en de grenzen van het ISMS. Een werklijst bevat doorgaans:

• de reikwijdte van het ISMS en het informatiebeveiligingsbeleid
• de methode voor risicobeoordeling, het risicoregister en het risicobehandelplan
• de Verklaring van Toepasselijkheid
• informatiebeveiligingsdoelstellingen en indicatoren
• registraties van competentie, training en bewustwording
• relevante operationele processen, beleidsdocumenten en registraties
• resultaten van monitoring en meting
• het interne auditprogramma en de auditrapporten
• notulen van de directiebeoordeling
• het register van afwijkingen en corrigerende maatregelen

Een sjabloon is slechts een vertrekpunt. De bedrijfsnaam en het logo vervangen is niet genoeg: verantwoordelijkheden, processen, systemen en bewijs moeten weergeven hoe de organisatie werkelijk werkt.

Gratis ISO 27001-hulpmiddelen

Ook de r/ISO27001-community op Reddit kan praktijkervaring bieden. Berichten uit de community zijn niet de officiële norm en geen bindend auditadvies.

ISO 27001-cursussen

Udemy en vergelijkbare platforms laten prijzen vaak variëren per account en actie. Controleer altijd de uiteindelijke prijs bij het afrekenen.

Prijsvergelijking van ISO 27001-toolkits

High Table heeft oudere demo- en productpagina's met andere bedragen dan de centrale prijspagina. Deze vergelijking gebruikt daarom de centrale prijslijst die op de peildatum beschikbaar was. Ook GRC Solutions toont op verschillende winkelpagina's verschillende pakketten of licentiemodellen; controleer vóór aankoop het exacte product, de looptijd en de verlengingskosten.

Welke optie past bij welke behoefte?

Veelgestelde vragen

Bestaat er een officiële gratis ISO 27001-checklist?

Een gratis lijst kan de onderwerpen ordenen, maar is noch de officiële norm, noch een volledige implementatiegids. De toepasselijke normtekst blijft leidend. Voor de toepassing ervan is bovendien kennis nodig van risicobeheer, de reikwijdte van het ISMS en de werkelijke operationele processen.

Moet elke organisatie alle 93 Annex A-maatregelen implementeren?

Nee. ISO/IEC 27001:2022 vereist een risicogebaseerde selectie. De Verklaring van Toepasselijkheid legt vast welke maatregelen nodig zijn, wat hun status is en waarom referentiemaatregelen zijn uitgesloten.

Is een toolkit genoeg om certificering te behalen?

Nee. Een toolkit kan tijd besparen, maar bij certificering wordt een doeltreffend, werkend ISMS beoordeeld. Auditors kijken ook naar verantwoordelijkheden, risicobehandeling, operationeel bewijs, interne audits, directiebeoordelingen en continue verbetering.

Wat is de peildatum van de prijzen in deze gids?

Alle prijzen zijn gecontroleerd op 30 augustus 2026. De actuele prijs bij het afrekenen bij de aanbieder blijft leidend.

Conclusie

Een ISO 27001-checklist kan laten zien welke onderwerpen vóór de certificering aandacht nodig hebben. Hij kan niet automatisch uitleggen hoe die onderwerpen in een specifieke organisatie moeten worden geïmplementeerd of of het resultaat doeltreffend is. Daarvoor zijn kennis van de norm, een degelijke risicomethode, inzicht in de werkelijke bedrijfsvoering en betrouwbaar bewijs nodig.

Sjablonen en toolkits kunnen het werk versnellen wanneer het team al begrijpt welk resultaat het moet bereiken. Zonder die kennis leveren meer documenten vooral meer materiaal op, en niet noodzakelijk een beter ISMS.

Welk materiaal u ook kiest, de doorslaggevende vraag blijft dezelfde: komen gedocumenteerde regels, de werkelijke praktijk en betrouwbaar bewijs met elkaar overeen? Wie die samenhang voortdurend bewaakt, bereidt zich op meer voor dan een audit; die bouwt een duurzaam ISMS. Onze gids over het structureren van auditgereedheid legt uit hoe u het onderliggende bewijs organiseert.