ISO 27001.
Een managementsysteem voor informatiebeveiliging opzetten, risico’s beheersen en het passende bewijs kiezen voor klanten en contractpartners.
- ISO/IEC 27001:2022 + Amd 1:2024
- Door Jonathan Bezdek
- Stand: 22-10-2026
- Leestijd: 7 min.
Kort antwoord.
ISO 27001 is de internationale norm voor managementsystemen voor informatiebeveiliging, kortweg ISMS. De norm beschrijft hoe organisaties hun informatiebeveiliging risicogestuurd organiseren, uitvoeren en verbeteren. ISO/IEC 27001:2022 geldt voor uiteenlopende organisatiegroottes en sectoren. Een onafhankelijke certificatie-instelling kan de conformiteit van het managementsysteem binnen de vastgestelde scope bevestigen; ISO zelf geeft geen certificaten af.
ISO 27001 en ISMS.
ISO 27001 beschrijft eisen aan het management van informatiebeveiliging. Een ISMS verbindt directiebeslissingen met de omgang met informatie, mensen, processen en techniek. Vertrouwelijkheid, integriteit en beschikbaarheid worden beschermd: wie mag informatie zien, hoe blijft die betrouwbaar en wanneer moet die bruikbaar zijn? De openbare beschrijving van ISO/IEC 27001:2022 stelt hiervoor een risicogestuurde aanpak centraal.
De gepubliceerde basisuitgave is ISO/IEC 27001:2022; daar komt Amd 1:2024 bij. Het amendement voegt de beoordeling van klimaatgerelateerde onderwerpen toe aan de context van het managementsysteem. Volgens het gezamenlijke ISO/IAF-communiqué van februari 2024 gaat het erom de relevantie daarvan voor het betreffende managementsysteem te toetsen. Daaruit volgt geen identiek maatregelenprogramma voor elke organisatie.
Het ISMS vormt het doorlopende werk van de organisatie; certificering is een mogelijk extern bewijs daarvan. Een ingevoerd hulpmiddel, een ingevulde vragenlijst of een opleidingscertificaat vervangt noch het onderhouden van het managementsysteem, noch de onafhankelijke beoordeling ervan.
Voor wie ISO 27001 geschikt is.
Volgens de openbare ISO-beschrijving is ISO 27001 geschikt voor organisaties van verschillende groottes en uit verschillende sectoren. De informatie en afhankelijkheden binnen de gekozen scope zijn bepalend. Een kleine dienstverlener kan daarom andere verantwoordelijkheden en procedures nodig hebben dan een onderneming met meerdere locaties, zonder dat de fundamentele taak van beveiligingsmanagement verandert.
Klantvereisten bepalen vaak welke certificeringsscope nodig is. Bepaal of een contractpartner een specifieke dienst, locatie of rechtspersoon wil laten beoordelen. Een bewust afgebakende scope moet rekening houden met relevante interfaces. Een uitbestede activiteit verdwijnt niet uit de beveiligingsbeoordeling alleen doordat een leverancier deze uitvoert.
De eisen van ISO 27001.
De ISO 27001-eisen verbinden de aansturing van het ISMS met het uitvoeren van passende beveiligingsmaatregelen. De volgende zes werkgebieden vatten hoofdstukken 4 tot en met 10 van ISO/IEC 27001:2022 ter oriëntatie in eigen woorden samen.
Context en scope vastleggen.
De organisatie bakent af welke activiteiten en informatie haar ISMS omvat. Daaronder vallen relevante eisen van belanghebbenden en afhankelijkheden van andere gebieden. Voor de implementatie is een beschrijving aan te raden die zowel inhoudelijk verantwoordelijken als externe lezers begrijpen: alleen de naam van een dienst verklaart de ondersteunende systemen en interfaces nog niet.
Leiderschap en verantwoordelijkheid verankeren.
De directie geeft richting, bevoegdheden en middelen aan de beveiligingswerkzaamheden. Verantwoordelijken moeten beslissingen kunnen nemen die bij hun taken passen. Een centraal coördinerende persoon kan het overzicht bewaren; die neemt daardoor niet automatisch alle taken van personeelszaken, inkoop, IT of ontwikkeling over.
Risico’s beoordelen en behandelen.
Risicobeoordeling en risicobehandeling bepalen welke problemen het eerst worden aangepakt. Beoordelingscriteria, verantwoordelijke personen en navolgbare beslissingen verbinden de analyse met concreet werk. De verklaring van toepasselijkheid, ook Statement of Applicability of SoA genoemd, legt de selectie van maatregelen en de onderbouwing vast. Bijlage A dient daarbij als referentie voor beveiligingsmaatregelen.
Middelen en documentatie organiseren.
Competentie, communicatie en actuele gedocumenteerde informatie dragen de uitvoering. Leg praktisch vast wie een voorschrift goedkeurt, wie het toepast en waar de geldige versie te vinden is. Een uitgebreide documentenverzameling helpt weinig wanneer de inhoud afwijkt van het werkelijke werk of verantwoordelijken hun taken niet kennen.
Maatregelen dagelijks uitvoeren.
Beveiligingsmaatregelen moeten binnen de gekozen scope daadwerkelijk werken. Organisatorische, personele, fysieke en technische voorzieningen grijpen in elkaar. Als praktisch hulpmiddel kunnen verantwoordelijken bij elke gekozen maatregel vastleggen welk proces die beschermt en welke registraties de uitvoering aantonen. De blog over Bijlage A gaat dieper in op selectie en uitvoering van maatregelen.
Beoordelen en verbeteren.
Interne audits, directiebeoordelingen en het behandelen van afwijkingen houden het ISMS in beweging. De organisatie toetst of haar werkwijze aan de eisen voldoet en de beoogde resultaten ondersteunt. Voor de dagelijkse praktijk helpt het om bij een correctie al vast te leggen waaraan het effect later herkenbaar moet zijn.
Het traject naar ISO 27001-certificering.
Doel en scope afspreken.
Bepaal als praktische eerste stap welk bewijs voor welke activiteit nodig is en beschrijf de scope, inclusief relevante afhankelijkheden.
Verantwoordelijkheid en capaciteit vastleggen.
Benoem de beslissingsbevoegde directie, de coördinatie en de proceseigenaren en reserveer tijd voor invoering en doorlopend onderhoud.
Risico’s en maatregelen behandelen.
Pas een navolgbare beoordelingsmethode toe, beslis over de behandeling en documenteer de selectie van maatregelen in de verklaring van toepasselijkheid.
Uitvoering en bewijsmateriaal samenbrengen.
Implementeer de gekozen maatregelen en bewaar passende registraties uit de werkelijke uitvoering, in plaats van alleen documentsjablonen in te vullen.
Intern beoordelen en corrigeren.
Gebruik de interne audit en directiebeoordeling om openstaande beslissingen, afwijkingen en de behoefte aan middelen vóór een extern onderzoek aan te pakken.
Extern onderzoek en voortzetting plannen.
Spreek met een geschikte certificatie-instelling de scope en het auditprogramma af en zet het ISMS na de certificatiebeslissing voort met de vereiste controles.
Wat het ISO 27001-certificaat zegt.
Het ISO 27001-certificaat bevestigt de beoordeelde conformiteit van het managementsysteem binnen de vermelde scope. Controleer daarom scope, normuitgave, uitgevende instantie, geldigheidsdatum en actuele status in samenhang. Het certificaat garandeert niet dat elk bedrijfsonderdeel is meegenomen of dat zich in de toekomst geen beveiligingsincident kan voordoen.
Externe certificatie-instellingen voeren de certificering uit; ISO zelf geeft geen certificaten af. ISO/IEC 27006-1:2024 vult de eisen aan dergelijke instellingen voor ISMS-certificeringen aan. Accreditatie betreft hun competentie en moet worden onderscheiden van het certificaat van de onderzochte organisatie. De openbare ISO-pagina over certificering licht toe hoe de certificerings- en accreditatiestatus kan worden gecontroleerd.
De planning eindigt niet bij de eerste afgifte. Laat uw certificatie-instelling het auditprogramma, de voorwaarden voor instandhouding en de procedure voor verlenging uitleggen. Voor de budgetbeslissing tellen deze terugkerende diensten samen met de interne uitvoering mee, naast de eerste offerte.
Verder lezen op de blog.
- Wat is een ISMS?Beveiligingswerk verbinden met organisatorische beslissingen.
- ISO 27001-certificering voorbereidenVoorbereiding, inspanning en onderzoeken uitgebreid plannen.
- ISO 27001 Bijlage AGekozen maatregelen in de bedrijfsvoering verankeren.
- Interne ISO 27001-auditAuditcriteria, bewijsmateriaal en correcties organiseren.
- ISO 27001-checklistWerkgebieden en bestaande starthulpmiddelen vooraf ordenen.
Andere frameworks duiden.
ISO 27002 vult ISO 27001 aan met een leidraad voor de implementatie van informatiebeveiligingsmaatregelen. IT-Grundschutz beschrijft een BSI-methodiek voor beveiligingswerkzaamheden en een eigen certificeringstraject. NIS2 schept zelfstandige wettelijke verplichtingen voor instellingen die eronder vallen; een ISO 27001-certificaat vervangt de toetsing daarvan niet. TISAX gebruikt voor de toeleveringsketen van de auto-industrie een eigen beoordelings- en uitwisselingsprocedure.
In Secani.
Secani biedt een eigen redactionele toetscatalogus voor ISO/IEC 27001:2022 met Amendment 1:2024. In de workspace kunnen maatregelen, bewijsstukken en taken in samenhang worden behandeld. De catalogus bevat eigen implementatieaanwijzingen en vervangt de gelicentieerde normtekst niet; inhoudelijke beoordeling en certificatiebeslissing blijven afzonderlijke taken.
Begin met een concrete scope.
Kies een dienst waarvoor navolgbaar beveiligingsbewijs nodig is. Leg vast welke informatie, betrokken teams en leveranciers daarbij horen en wie over risico’s mag beslissen. Op die basis kunnen de implementatieomvang en de verwachtingen van een certificaat worden besproken.
Vraag vervolgens een auditofferte aan op basis van dezelfde scope. Maak daarbij onderscheid tussen interne inspanning, noodzakelijke verbeteringen en de kosten van het externe onderzoek. Zo worden offertes beter vergelijkbaar, zonder al een certificeringsdatum of resultaat te beloven.
Bronnen.
- ENX: TISAX-deelnemershandboek
- ISO/IEC 27001:2022 – openbare normpagina
- ISO/IEC 27001:2022/Amd 1:2024
- ISO/IAF-communiqué over klimaatgerelateerde aanvullingen, februari 2024
- ISO – certificering en accreditatie
- ISO/IEC 27006-1:2024 – eisen aan certificatie-instellingen
- ISO/IEC 27002:2022 – aanvullende implementatieleidraad
Veelgestelde vragen.
Nee, er bestaat geen algemene ISO 27001-certificeringsplicht voor elke onderneming. Of een concreet bewijs vereist is, hangt af van de toepasselijke wettelijke, contractuele of sectorspecifieke eisen.
Zonder scope en uitgangssituatie is geen betrouwbare vaste prijs te noemen. Begroot interne inspanning, noodzakelijke verbeteringen, externe auditkosten en doorlopende instandhouding afzonderlijk.
De selectie hangt af van risico’s en relevante eisen. De verklaring van toepasselijkheid documenteert benodigde maatregelen, hun implementatiestatus en onderbouwde uitsluitingen van referentiemaatregelen.
Ja. Een ISMS implementeren en het door een externe instantie laten certificeren zijn verschillende beslissingen; ISO beschrijft certificering als een optionele vorm van bewijs.
Nee. Externe certificatie-instellingen geven certificaten af; ISO ontwikkelt en publiceert de normen.
De scope bepalen.
Bespreek hoe u eisen, maatregelen en bewijsmateriaal in Secani kunt behandelen.
Deze pagina duidt ISO 27001 in eigen woorden en vervangt de gelicentieerde normtekst of een deskundig onderzoek niet. De originele publicaties en de toepasselijke certificatieprocedure zijn bepalend.