ISO 27001 eisen: wat de norm van u vraagt

De ISO 27001 eisen staan in hoofdstuk 4 tot en met 10 van de norm. Ze beschrijven waaraan uw managementsysteem voor informatiebeveiliging, het ISMS, moet voldoen. Dat loopt van de context van uw organisatie tot het verbeteren na een fout. Wie wil aantonen dat hij aan de norm voldoet, mag geen van die eisen overslaan.

Daarnaast heeft de norm een bijlage met beheersmaatregelen. Daaruit kiest u zelf, op basis van uw risico’s. Dat onderscheid tussen moeten en kiezen is de sleutel tot de hele norm. Zoekt u begeleiding bij de invoering, kijk dan bij onze aanpak voor ISO 27001.

Hieronder lopen we de hoofdstukken een voor een langs, in gewone taal. Per hoofdstuk leest u wat de norm vraagt en wat u zelf invult. De volgorde zegt overigens niets over het belang van een eis of over de volgorde van invoeren. Dat staat in de norm zelf.

Twee soorten ISO 27001 eisen: hoofdstukken en bijlage A

Hoofdstuk 4 tot en met 10 bevatten de ISO 27001 eisen aan het managementsysteem. Ze gelden voor elke organisatie, ongeacht type, omvang of aard. Hoofdstuk 1 tot en met 3 gaan over het onderwerp, de verwijzingen en de begrippen. Daar staan geen eisen in.

Bijlage A is een referentielijst met 93 beheersmaatregelen in vier thema’s: organisatorisch, mensen, fysiek en technologisch. U bepaalt welke u nodig heeft om uw risico’s te behandelen. In de verklaring van toepasselijkheid legt u vast wat u toepast en waarom. De thema’s staan uitgewerkt in Annex A van ISO 27001.

De versie waar het hier om gaat is ISO/IEC 27001:2022. In Nederland is dezelfde norm uitgegeven als NEN-EN-ISO/IEC 27001:2023. Ziet u beide nummers voorbijkomen, dan gaat het dus om dezelfde eisen.

Een handige manier om de hoofdstukken te lezen, is als een cyclus. Ze volgen grofweg de PDCA-cyclus: plannen, uitvoeren, controleren en bijsturen.

Hoofdstuk 4: de context van uw organisatie

Hoofdstuk 4 vraagt dat u uw organisatie en haar omgeving begrijpt voordat u maatregelen kiest.

• Context (4.1). Welke interne en externe factoren bepalen of uw ISMS doet wat het moet doen? Denk aan uw markt, wetgeving, technologie en uw eigen cultuur.
• Belanghebbenden (4.2). Wie heeft belang bij uw informatiebeveiliging, zoals klanten, toezichthouders en medewerkers, en wat verwachten zij?
• Scope (4.3). Welke onderdelen, locaties en diensten onder het ISMS vallen. De scope legt u vast als gedocumenteerde informatie.
• Het ISMS zelf (4.4). U richt het systeem in, houdt het in stand en verbetert het.

In februari 2024 kreeg hoofdstuk 4 een kleine aanvulling over klimaatverandering. U bepaalt sindsdien of klimaatverandering voor uw ISMS een relevant onderwerp is. Een opmerking bij 4.2 wijst erop dat belanghebbenden eisen kunnen hebben die ermee samenhangen. Volgens het International Accreditation Forum verandert de bedoeling van de eisen niet en is geen overgangstraject nodig. Auditors nemen het wel mee.

Voor de meeste organisaties volstaat een korte, onderbouwde afweging. Speelt klimaatverandering een rol, bijvoorbeeld voor de beschikbaarheid van een locatie of datacenter? Neem het dan mee in uw risico’s. De tekst van de aanvulling uit 2024 is bij ISO te vinden.

Hoofdstuk 5 en 6: leiderschap en planning

De ISO 27001 eisen in hoofdstuk 5 draaien om de directie. Zij zorgt dat beleid en doelstellingen passen bij de strategie. Ze verweeft het ISMS in de bedrijfsprocessen en zorgt dat er middelen zijn. Het informatiebeveiligingsbeleid wordt vastgesteld en gedeeld. Rollen, verantwoordelijkheden en bevoegdheden worden toegewezen en bekendgemaakt.

Hoofdstuk 6 is het hart van de norm. U bepaalt risico’s en kansen, en richt een vaste methode in om informatiebeveiligingsrisico’s te beoordelen en te behandelen. Uit die behandeling volgen de maatregelen, de verklaring van toepasselijkheid en een plan voor de risicobehandeling.

Verder stelt u doelstellingen op die meetbaar zijn waar dat kan. Bij elke doelstelling legt u vast wat u gaat doen, wie verantwoordelijk is en wanneer het klaar is. En wilt u iets aan het ISMS veranderen, dan voert u die wijziging gepland door.

Hoofdstuk 7: ondersteuning

Hoofdstuk 7 gaat over wat het systeem nodig heeft om te draaien.

• Middelen (7.1). Mensen, tijd en budget.
• Competentie (7.2). Mensen met een rol in het ISMS zijn daarvoor toegerust door opleiding, training of ervaring, en dat kunt u aantonen.
• Bewustzijn (7.3). Medewerkers kennen het beleid, weten wat hun bijdrage is en wat het betekent als ze zich er niet aan houden.
• Communicatie (7.4). U bepaalt wat u intern en extern communiceert, wanneer, met wie en hoe.
• Gedocumenteerde informatie (7.5). Wat de norm vraagt, plus wat u zelf nodig vindt, beheerst met versies en goedkeuring.

Bij documentatie denken veel organisaties aan een dik boek, maar de norm vraagt dat niet. Hoe u het overzichtelijk houdt, leest u bij het ISO 27001 handboek.

Hoofdstuk 8: uitvoering

In hoofdstuk 8 brengt u het plan in de praktijk. U plant en beheerst de processen die nodig zijn, met criteria waaraan ze moeten voldoen. U legt zoveel vast als nodig is om te laten zien dat het werk is gedaan zoals gepland.

Ook processen, producten of diensten die u van buiten betrekt en die raken aan het ISMS, moet u beheersen. Verder voert u de risicobeoordeling op geplande momenten uit, en opnieuw bij grote wijzigingen. U voert het risicobehandelplan uit en bewaart van beide de resultaten.

Hoofdstuk 9 en 10: evalueren en verbeteren

Hoofdstuk 9 gaat over de vraag of het systeem werkt. U bepaalt wat u meet, hoe en wanneer, en wie de resultaten analyseert. Op geplande momenten voert u een interne audit uit, met een vastgelegd auditprogramma en auditors die objectief kunnen oordelen. En de directie beoordeelt regelmatig of het ISMS nog geschikt, passend en doeltreffend is. In de norm heet dat de management review.

Hoofdstuk 10 vraagt dat u continu verbetert. Gaat er iets mis, dan reageert u: u corrigeert het, zoekt de oorzaak en gaat na of het vaker kan gebeuren. Daarna controleert u of de maatregel effect had. Van de afwijking en de opvolging legt u bewijs vast.

Wat verplicht is en wat u zelf invult

De ISO 27001 eisen zeggen wat er moet gebeuren, maar zelden hoe. Dat geeft ruimte, en juist over die ruimte gaan de meeste vragen.

Wat u kiest, moet u kunnen uitleggen. Een keuze met onderbouwing is verdedigbaar, ook als een andere organisatie het anders doet. Begin bij hoofdstuk 4 en 6: wat is uw scope en welke risico’s spelen er? Dat bepaalt de omvang van al het andere. Een praktische volgorde staat in het ISO 27001 stappenplan.

Waar organisaties op vastlopen

De techniek is zelden het probleem. De ISO 27001 eisen die het meeste werk kosten, gaan over vastleggen en aantonen.

• Een scope die te vaag is. De hele organisatie klinkt eenvoudig, maar maakt elke vraag van de auditor breder. Een scherpe scope houdt het werk overzichtelijk.
• Een risicoanalyse zonder vaste methode. Wie elk jaar anders beoordeelt, kan de uitkomsten niet vergelijken. De norm vraagt juist herhaalbare resultaten.
• Een directiebeoordeling zonder besluiten. Een presentatie is nog geen beoordeling. Er moeten besluiten uit komen over verbeteringen en wijzigingen.
• Een interne audit door wie het systeem bouwde. De norm vraagt objectieve en onpartijdige auditors. Wie zijn eigen werk toetst, ziet zijn eigen blinde vlekken niet.

Veelgestelde vragen over de ISO 27001 eisen

Mag ik eisen uit hoofdstuk 4 tot en met 10 uitsluiten?

Nee. Wie wil claimen dat hij aan de norm voldoet, kan geen van die eisen uitsluiten. Uitsluiten kan alleen bij maatregelen uit bijlage A, en dan met een onderbouwing in de verklaring van toepasselijkheid.

Is bijlage A verplicht?

De afweging is verplicht, de maatregelen niet allemaal. U vergelijkt de maatregelen die u nodig heeft met bijlage A, zodat u niets over het hoofd ziet. Per maatregel legt u vast of u hem toepast en waarom.

Wat betekent de aanvulling over klimaatverandering?

Sinds februari 2024 vraagt hoofdstuk 4 dat u bepaalt of klimaatverandering voor uw ISMS relevant is. De bedoeling van de eisen verandert niet en een nieuw certificaat is niet nodig. Een korte, onderbouwde afweging volstaat meestal.

Gelden de ISO 27001 eisen ook voor een klein bedrijf?

Ja, de eisen gelden voor elke organisatie, ongeacht type, omvang of aard. De invulling mag wel passen bij uw omvang. Een klein bedrijf kan met eenvoudige processen en beperkte documentatie aan de eisen voldoen.

Moet ik gecertificeerd zijn om aan de eisen te voldoen?

Nee. U kunt de norm toepassen zonder certificaat. Een certificaat van een geaccrediteerde instelling laat wel onafhankelijk zien dat uw systeem aan de eisen voldoet. Klanten en aanbestedingen vragen daar vaak om.