ISO 27001 stappenplan: het certificeringstraject

Een ISO 27001 stappenplan helpt om overzicht te houden in een traject dat al snel een half jaar tot een jaar duurt. De volgorde ligt vrijwel vast, ook al verschilt de doorlooptijd per organisatie sterk.

Wat dat verschil bepaalt is niet de norm maar uw eigen situatie: hoeveel er al ligt, hoe scherp de scope is en hoeveel tijd uw mensen kunnen vrijmaken.

Hieronder staan de negen stappen op volgorde, met per stap wat er gebeurt en waar het vaak stokt.

Stap 1: bepaal de scope

Welke onderdelen, locaties en diensten vallen onder het systeem. Deze keuze bepaalt de omvang van al het werk daarna en ook de kosten van de audit.

Neem hier de tijd voor. Een scope die achteraf moet worden aangepast betekent opnieuw beoordelen, opnieuw vastleggen en opnieuw afstemmen met de certificerende instelling.

Twee vragen helpen bij de afbakening. Waar vragen uw klanten en opdrachtgevers werkelijk naar, en welke systemen en mensen zijn daarvoor nodig? Wat daarbuiten valt, hoeft er in de eerste ronde niet in. Leg de scope in een of twee zinnen vast, want die formulering komt letterlijk op uw certificaat te staan.

Stap 2: doe een nulmeting

Zet naast elkaar wat de norm vraagt en wat u al heeft. Dat levert bijna altijd een geruststellend beeld op, want er ligt meestal meer dan verwacht.

Wat ontbreekt is doorgaans niet de maatregel zelf maar de samenhang en de vastlegging. Zie de ISO 27001 gap-analyse.

Stap 3: beleg de rollen en het mandaat

Wie is verantwoordelijk voor het systeem, wie beslist over risico’s, en wie draagt het vanuit de directie. Zonder mandaat loopt het traject vast op het eerste besluit dat geld of tijd kost.

In de praktijk gaat het om drie rollen. Iemand die het systeem dagelijks bewaakt, meestal een security officer of kwaliteitsmanager. Risico-eigenaren die per onderwerp kunnen besluiten wat er gebeurt. En een directielid dat het geheel draagt en de directiebeoordeling voorzit. Bij kleinere organisaties vallen die rollen samen, en dat mag, zolang de onafhankelijkheid bij de interne audit geborgd blijft.

Stap 4: voer de risicobeoordeling uit

Bepaal eerst uw criteria voor kans en impact en uw acceptatiegrens, en scoor daarna pas. Zonder die afspraken vooraf zijn de uitkomsten onderling niet vergelijkbaar. De methode staat in ISO 27005.

Stap 5: kies de maatregelen en leg ze vast

Bepaal per risico welke maatregelen u inzet en leg de keuze vast in de verklaring van toepasselijkheid. Wat u niet toepast, onderbouwt u daar ook.

Stap 6: richt het systeem in

Beleid vaststellen en delen, procedures inrichten, technische maatregelen invoeren en mensen trainen. Dit is de langste fase en hier gaat het meeste van uw eigen tijd in zitten.

Verzamel vanaf dag een het bewijs: aanwezigheidslijsten, logbestanden, verwerkte meldingen. Achteraf reconstrueren kost een veelvoud.

Houd het licht. Beleid van een paar pagina’s dat mensen kennen werkt beter dan een handboek dat niemand opent. Een goede toets is of u een nieuwe collega in een half uur kunt uitleggen hoe het werkt.

Stap 7: laat het systeem draaien

Een auditor wil zien dat het werkt, niet dat het bestaat. Reken op een periode van enkele maanden waarin het systeem echt loopt en er dus vanzelf bewijs ontstaat.

Deze stap wordt het vaakst overgeslagen door organisaties met haast. Het gevolg is een fase 2 die niet doorgaat omdat er nog niets te toetsen valt.

Stap 8: interne audit en directiebeoordeling

Toets uzelf voordat de externe auditor komt, en laat de leiding vaststellen of het systeem doet wat het moet doen. Beide zijn verplicht en beide moeten hebben plaatsgevonden voor de certificeringsaudit. Zie de ISMS-audit.

Stap 9: de certificeringsaudit

Fase 1 gaat over uw documentatie en of u er klaar voor bent. Fase 2 toetst de praktijk. Slaagt u, dan volgt het certificaat, drie jaar geldig met jaarlijkse controleaudits.

Daarna begint het onderhoud, en dat is geen nieuwe fase maar dezelfde cyclus die blijft draaien. Zie de PDCA-cyclus.

Waar trajecten in de praktijk op vastlopen

Trajecten stranden zelden op de inhoud van de norm. Vier andere dingen zijn de echte oorzaken.

Een scope die te ruim is gekozen. Uit ambitie of uit angst iets te missen wordt de hele organisatie meegenomen, terwijl de vraag van klanten op een dienst ziet. Dat maakt elke volgende stap zwaarder en de audit duurder.

Geen vrijgemaakte tijd. Het traject wordt erbij gedaan door iemand die al een volle baan heeft. Dan schuift het telkens op en verandert de organisatie sneller dan het systeem wordt ingericht.

Besluiten die blijven liggen. De risicobeoordeling is klaar maar wacht op een directievergadering. Plan die momenten vooruit, want dat is wachttijd die u zelf veroorzaakt.

De audit te vroeg inplannen. Het systeem moet een tijd echt hebben gedraaid, anders is er geen bewijs. Fase 2 kan dan niet worden afgerond en dat kost meer tijd dan het scheelt.

Wat u parallel kunt laten lopen

De volgorde ligt grotendeels vast, maar drie dingen hoeven niet te wachten.

De basishygiëne kunt u vanaf dag een oppakken. Updates bijwerken, accounts van vertrokken medewerkers intrekken, meerfactorauthenticatie aanzetten en een herstel van de back-up beproeven zijn maatregelen die hoe dan ook nodig zijn, ongeacht wat er uit de risicobeoordeling komt.

Het inventariseren van leveranciers kan ook meteen. Dat is vooral wachten op antwoord, en die wachttijd loopt door terwijl u aan andere stappen werkt.

En offertes bij certificerende instellingen vraagt u op zodra de scope vaststaat. Er zitten wachttijden op hun planning, en u weet dan meteen hoeveel auditdagen het gaat worden.

Wat u niet parallel kunt doen is de scope. Daaruit volgt alles, dus die is altijd eerst.

Veelgestelde vragen over het ISO 27001 stappenplan

Hoe lang duurt het hele traject?

Voor een organisatie die bij nul begint is een half jaar tot een jaar gebruikelijk. Ligt er al beleid en zijn procedures ingericht, dan kan het sneller. De grootste variabele is de beschikbaarheid van uw eigen mensen, niet de norm.

Kan ik stappen overslaan?

De volgorde ligt grotendeels vast omdat elke stap op de vorige bouwt. Wat u wel kunt versnellen is de inrichting, door vast te leggen wat u al doet in plaats van alles opnieuw te bedenken.

Wanneer schakel ik de certificerende instelling in?

Ruim voor u klaar denkt te zijn, want er zitten wachttijden op de planning. Vraag offertes op zodra de scope vaststaat, dan weet u ook meteen hoeveel auditdagen het gaat worden.

Wat is de meest gemaakte fout?

Te vroeg de audit inplannen. Het systeem moet een tijd echt hebben gedraaid, anders is er geen bewijs te tonen en kan fase 2 niet worden afgerond. Dat kost meer tijd dan het scheelt.

Moet ik de hele organisatie certificeren?

Nee. U bepaalt de scope zelf. Beginnen met de dienst waar uw klanten naar vragen is vaak verstandig: korter traject, goedkopere audit, en uitbreiden kan altijd nog. Let er wel op dat de scope dekt waar de vraag op ziet.