ISMS inrichten

Een ISMS is een managementsysteem waarmee u informatiebeveiliging structureel inricht, uitvoert en verbetert. Het bestaat uit beleid, processen, rollen en registraties, en het is nadrukkelijk geen software. Organisaties richten een ISMS in voor ISO 27001, NEN 7510 of de zorgplicht uit de Cyberbeveiligingswet (CBW), de Nederlandse uitwerking van NIS2.

Op deze pagina leest u wat een ISMS precies bevat, welke documenten erbij horen, hoe u het in zeven stappen inricht en hoe lang dat ongeveer duurt. Zonder verkooppraat over tooling, want de tool is niet het systeem.

Wij komen deze vraag vaak tegen bij organisaties die net te horen hebben gekregen dat een klant om ISO 27001 vraagt, of die uitzoeken wat de Cyberbeveiligingswet van hen verwacht. De term klinkt zwaarder dan het hoeft te zijn.

Wat is een ISMS?

Een ISMS is het geheel van afspraken waarmee uw organisatie bepaalt wat zij beschermt, waarom, en hoe zij controleert of dat werkt.

De afkorting staat voor Information Security Management System, in het Nederlands managementsysteem voor informatiebeveiliging. De term komt uit ISO 27001, de internationale norm voor informatiebeveiliging.

Die norm schrijft geen vaste set maatregelen voor. In plaats daarvan beschrijft de norm een systeem waarmee u zelf bepaalt welke maatregelen bij uw risico’s passen. Dat is een belangrijk verschil. Twee organisaties die allebei aan ISO 27001 voldoen kunnen heel andere maatregelen hebben genomen, omdat ze andere risico’s lopen.

Het verschil met losse beveiligingsmaatregelen is de samenhang. Een firewall en tweefactorauthenticatie zijn maatregelen. Een ISMS is de reden waarom u juist die maatregelen heeft gekozen, wie ervoor verantwoordelijk is, en hoe u merkt dat er iets moet veranderen.

In de praktijk herkent u een werkend ISMS aan een paar dingen. Medewerkers weten bij wie ze een verdachte e-mail melden. Er is een actueel overzicht van welke systemen en gegevens er zijn. Bij een nieuwe leverancier kijkt iemand naar de beveiligingsafspraken voordat het contract getekend wordt. En de directie hoort periodiek hoe het ervoor staat, in gewone taal.

Een ISMS is geen software: wat een tool wel en niet voor u regelt

Een ISMS-tool ondersteunt uw managementsysteem, maar vormt het niet. De keuzes, het mandaat en het eigenaarschap blijven mensenwerk.

Dit onderscheid is belangrijk, want als u zoekt op ISMS komt u vooral softwareleveranciers tegen. Dat is logisch, want zij adverteren op deze term. Maar het geeft een vertekend beeld van waar het werk zit.

Wat een tool goed doet: registraties bijhouden, acties toewijzen, vervaldata bewaken, versiebeheer regelen en rapportages genereren voor de auditor. Bij meerdere locaties of veel maatregelen scheelt dat echt werk.

Wat een tool niet doet: bepalen wat uw kroonjuwelen zijn, de scope afbakenen, de directie meekrijgen, of beoordelen of een risico acceptabel is. Een leeg systeem blijft een leeg systeem, ook met de beste software eronder.

Wij zien met enige regelmaat organisaties die een tool hebben aangeschaft en daarna zijn blijven steken. Het pakket staat er, de velden zijn leeg, en niemand weet wie ze moet vullen. Ons advies is daarom bijna altijd hetzelfde: bepaal eerst wat u wilt beheersen, kijk daarna of een tool daarbij helpt.

Voor kleinere organisaties werkt een goed ingerichte gedeelde omgeving met een vaste mappenstructuur prima. Wij adviseren pas over tooling als duidelijk is wat u nodig heeft.

Wanneer uw organisatie een ISMS nodig heeft

Er zijn vijf situaties waarin het onderwerp meestal op tafel komt. Vaak spelen er twee tegelijk.

U wilt ISO 27001-certificering. Dan is een ISMS niet optioneel, het is de kern van de norm. Een auditor toetst niet in de eerste plaats uw firewall, maar uw managementsysteem. Meer daarover leest u op onze pagina over ISO 27001.

U valt onder de Cyberbeveiligingswet. De Cyberbeveiligingswet (CBW) is de Nederlandse uitwerking van de Europese NIS2-richtlijn en is per 15 augustus 2026 van kracht. De wet vraagt van essentiële en belangrijke entiteiten dat zij risicogebaseerd werken en dat het bestuur aantoonbaar betrokken is. Een ISMS is de meest praktische manier om dat te organiseren. Wij hebben de verplichtingen uitgewerkt op de pagina over de Cyberbeveiligingswet (NIS2).

U werkt in de zorg. Voor zorginstellingen geldt NEN 7510, die op ISO 27001 is gebaseerd met aanvullende eisen voor patiëntgegevens. Het managementsysteem is grotendeels hetzelfde. Zie NEN 7510 in de zorg.

Uw klanten vragen erom. Steeds vaker staat in tenders en verwerkersovereenkomsten dat u een managementsysteem voor informatiebeveiliging moet hebben. Ook zonder certificaat wilt u dan kunnen laten zien dat het er is.

U bent gegroeid en het overzicht is weg. Dit is de minst besproken maar meest voorkomende aanleiding. Bij twintig medewerkers weet iedereen wie waarover gaat. Bij tachtig medewerkers, drie locaties en een handvol cloudapplicaties is dat niet meer zo.

De scope van uw ISMS bepalen

De scope legt vast welke delen van uw organisatie, welke diensten en welke locaties onder het managementsysteem vallen.

Dit is de belangrijkste keuze van het hele traject en tegelijk de keuze waar de meeste trajecten op vastlopen. Een te brede scope maakt het project onbeheersbaar. Een te smalle scope levert een certificaat op waar uw klant niets aan heeft, omdat juist hun dienst er niet in zit.

Drie vragen helpen bij het afbakenen. Welke dienst of welk product vraagt uw klant om aan te tonen? Welke gegevens zijn zo belangrijk dat verlies of lekken uw bedrijfsvoering raakt? En welke systemen, locaties en leveranciers zijn nodig om die dienst te leveren?

Wat er buiten de scope valt, moet u ook opschrijven, inclusief de reden. Een auditor kijkt daar altijd naar. Een scope die alleen zegt wat er wel in zit is niet compleet.

In de praktijk adviseren wij vaak om te beginnen bij de dienst waar de vraag vandaan komt, en de scope daarna uit te breiden. Dat is beter dan in één keer het hele bedrijf willen dekken en na negen maanden vastlopen.

Een ISMS inrichten in zeven stappen

Het inrichten volgt een vaste volgorde. Elke stap levert iets op dat de volgende stap nodig heeft.

1. Bepaal de context en de scope

Wij brengen in kaart wat uw organisatie doet, welke partijen iets van u verwachten en welke diensten onder het systeem vallen. U levert de belangrijkste klantcontracten en een overzicht van uw diensten aan. Het resultaat is een vastgestelde scope-verklaring waar iedereen zich in herkent.

2. Leg het beleid en het mandaat vast

Wij schrijven het informatiebeveiligingsbeleid en beleggen de rollen. U zorgt voor een directiebesluit en wijst een interne eigenaar aan. Het resultaat is een beleid van enkele pagina’s dat is vastgesteld, en duidelijkheid over wie waarover gaat.

3. Breng uw informatie en systemen in kaart

Wij inventariseren welke gegevens, systemen en leveranciers binnen de scope vallen. U levert toegang tot uw applicatieoverzicht en leverancierslijst. Het resultaat is een actueel register dat de basis vormt voor de risicobeoordeling.

4. Voer de risicobeoordeling uit

Wij bepalen samen met u welke risico’s u loopt en hoe ernstig die zijn, volgens een methodiek die u kunt herhalen. U levert de kennis van uw eigen processen. Het resultaat is een risicoregister met een onderbouwde weging, en de aanzet voor de nulmeting tegenover de norm.

5. Kies de maatregelen en stel het behandelplan op

Wij vertalen de risico’s naar maatregelen en leggen vast waarom u bepaalde beheersmaatregelen wel of niet toepast. U beslist wat acceptabel is. Het resultaat is een risicobehandelplan en de verklaring van toepasselijkheid, het document waar een auditor als eerste naar vraagt.

6. Voer de maatregelen in en registreer

Wij begeleiden de invoering en zorgen dat het bewijs wordt vastgelegd. Uw mensen voeren de maatregelen uit in hun eigen werk. Het resultaat is een werkend systeem waarin incidenten, wijzigingen en afwijkingen worden bijgehouden.

7. Toets, evalueer en stuur bij

Wij voeren de interne audit uit of begeleiden die, en bereiden de directiebeoordeling voor. U levert de directie die het gesprek voert. Het resultaat is een systeem dat aantoonbaar draait en dat klaar is voor een externe audit.

Welke documenten en registraties uw ISMS bevat

ISO 27001 vraagt een vaste set vastgelegde informatie. Dit is de lijst die u aan een auditor moet kunnen laten zien.

De volgorde is niet toevallig. U begint met afbakenen, daarna legt u de richting vast, vervolgens beheerst u de risico’s en tot slot toetst u of het werkt.

Scope-verklaring. Welke diensten, locaties en systemen onder het ISMS vallen, en wat er buiten valt met reden.
Informatiebeveiligingsbeleid. De uitgangspunten en het mandaat, vastgesteld door de directie.
Risicobeoordelingsmethodiek. Hoe u risico’s weegt, zodat een herhaling hetzelfde resultaat geeft.
Risicoregister. De geïdentificeerde risico’s met eigenaar, weging en status, doorlopend bijgehouden.
Verklaring van toepasselijkheid. Welke beheersmaatregelen u toepast en waarom, en welke niet.
Risicobehandelplan. Welke maatregelen u neemt, door wie en wanneer.
Auditprogramma en auditrapporten. Wat u wanneer toetst, en wat daar uitkwam.
Verslag directiebeoordeling. Wat de directie heeft beoordeeld en welke besluiten zijn genomen.

Deze lijst schrikt af als u hem in één keer ziet, maar de meeste documenten zijn kort. Een informatiebeveiligingsbeleid van drie pagina’s dat klopt is meer waard dan dertig pagina’s die niemand leest.

Twee documenten worden het vaakst vergeten: de verklaring van toepasselijkheid en het verslag van de directiebeoordeling. Juist die twee vraagt een auditor als eerste op.

De PDCA-cyclus: zo houdt u het ISMS actueel

Een ISMS draait op een vaste cyclus van plannen, uitvoeren, controleren en bijsturen. Zonder die cyclus is het een momentopname.

Plan. U bepaalt de scope, beoordeelt de risico’s en kiest de maatregelen. Dit is het zwaarste deel bij de eerste ronde en het lichtste in de jaren daarna.

Do. U voert de maatregelen in, traint uw mensen en legt vast wat er gebeurt. Hier ontstaat het bewijsmateriaal waar de auditor later naar kijkt.

Check. U toetst of het werkt, via interne audits, metingen en incidentanalyse. Dit is het onderdeel dat in de praktijk het vaakst wordt overgeslagen.

Act. De directie beoordeelt de uitkomsten en besluit wat er verandert. Dat besluit is geen formaliteit, het is precies wat een auditor bedoelt met aantoonbaar bestuur.

Na de eerste ronde kost de cyclus aanzienlijk minder tijd. Het meeste werk zit in het opzetten, niet in het onderhouden.

Het ISMS en de normen: ISO 27001, NEN 7510 en de Cyberbeveiligingswet

Verschillende normen en wetten vragen om hetzelfde managementsysteem, met accentverschillen. U richt het één keer in.

ISO 27001 is de internationale norm en de meest gebruikte meetlat. De norm beschrijft de eisen aan het managementsysteem en biedt in bijlage A een set beheersmaatregelen om uit te kiezen.

NEN 7510 is de Nederlandse norm voor de zorg. Die is op ISO 27001 gebaseerd en voegt eisen toe rond patiëntgegevens en toegangsbeheer. Het managementsysteem zelf is grotendeels identiek.

De Cyberbeveiligingswet (CBW), de Nederlandse uitwerking van NIS2, is per 15 augustus 2026 van kracht. De wet noemt geen ISMS bij naam, maar vraagt wel om een risicogebaseerde aanpak, om maatregelen die daarop aansluiten en om aantoonbare betrokkenheid van het bestuur. Dat is in de praktijk hetzelfde systeem.

Voor overheidsorganisaties geldt de BIO, die eveneens op ISO 27001 is gebaseerd.

De praktische conclusie: valt u onder meerdere kaders, richt dan één systeem in en breng de verschillen aan als aanvulling. Wij zien nog te vaak twee parallelle trajecten naast elkaar lopen, met dubbel werk en tegenstrijdige documenten als gevolg.

Wie waarvoor verantwoordelijk is binnen het ISMS

Een ISMS zonder duidelijke rolverdeling loopt vast. Dit is de verdeling die in de meeste organisaties werkt.

Directie. Waarvoor verantwoordelijk: Beleid vaststellen, mandaat en middelen geven, directiebeoordeling voeren. Tijdsbeslag: Enkele uren per jaar, geconcentreerd rond de beoordeling.
Eigenaar van het ISMS. Waarvoor verantwoordelijk: Het systeem draaiend houden, acties bewaken, de audit voorbereiden. Tijdsbeslag: Structureel, meestal een deel van een bestaande functie.
Risico-eigenaren. Waarvoor verantwoordelijk: Beoordelen of een risico acceptabel is en de maatregelen laten uitvoeren. Tijdsbeslag: Per risico enkele uren per jaar.
IT of de IT-leverancier. Waarvoor verantwoordelijk: Technische maatregelen uitvoeren en het bewijs daarvan aanleveren. Tijdsbeslag: Wisselend, het zwaarst tijdens de invoering.
Interne auditor. Waarvoor verantwoordelijk: Onafhankelijk toetsen of het systeem doet wat is afgesproken. Tijdsbeslag: Enkele dagen per jaar, mag niet het eigen werk beoordelen.

De rol van eigenaar hoeft geen fulltime functie te zijn. Wat wel telt is mandaat: iemand die kan escaleren als een maatregel niet wordt uitgevoerd. Ontbreekt die rol intern, dan kunnen wij die tijdelijk invullen via CISO as a Service, tot iemand intern is ingewerkt.

Doorlooptijd en wat het inrichten van uw ISMS vraagt

Voor een middelgrote organisatie met een afgebakende scope is drie tot zes maanden gebruikelijk tot het systeem staat en draait.

Wilt u ook certificeren, reken dan op een aanloop daarna. Het systeem moet enige tijd echt gedraaid hebben voordat een auditor er iets zinnigs over kan zeggen. In de praktijk gaat het om een interne audit en minimaal één directiebeoordeling die zijn uitgevoerd.

Wat de doorlooptijd en de inspanning bepaalt:

De omvang van de scope: één dienst of de hele organisatie
Het aantal locaties en de mate waarin processen daar verschillen
Hoeveel er al ligt: een organisatie met ISO 9001 heeft de managementstructuur al staan
De volwassenheid van uw huidige maatregelen, gemeten met een nulmeting
Of u certificering nastreeft of alleen aantoonbaarheid richting klanten
De beschikbaarheid van uw eigen mensen, want de kennis van uw processen zit bij hen

Die laatste is in de praktijk de grootste variabele. Een traject waarin uw mensen wekelijks een uur beschikbaar zijn loopt aanmerkelijk sneller dan een traject waarin dat maandelijks lukt.

Zo ondersteunt QENSORA bij het inrichten van uw ISMS

Wij richten een ISMS in dat past bij de omvang en het risicoprofiel van uw organisatie. Compact waar het kan, uitgebreid waar het moet.

Het uitgangspunt is steeds hetzelfde: u moet ermee kunnen werken als wij weer weg zijn. Wij leveren daarom geen dik pakket documenten dat vervolgens niemand gebruikt, maar een systeem waarin uw eigen mensen hun rol herkennen.

Wat ons onderscheidt is de combinatie van technische en compliance-expertise. Die is schaars in de markt. In de praktijk betekent het dat wij niet alleen opschrijven dat een maatregel nodig is, maar ook kunnen beoordelen of de technische invulling ervan deugt.

René van der Horst, oprichter van QENSORA, heeft ruim 30 jaar ervaring in IT-leiderschap. Hij is bij elk traject betrokken, ook als hij het niet zelf uitvoert.

Wij zeggen het ook als een ISMS bij u niet nodig is, of als een lichtere aanpak volstaat. Een traject dat u niet volhoudt levert niemand iets op.

Controleer aan de hand van deze punten of uw ISMS staat:

De scope is vastgesteld en beschrijft ook wat er buiten valt, met reden
Het informatiebeveiligingsbeleid is door de directie vastgesteld en heeft een reviewdatum
Er is een actueel overzicht van systemen, gegevens en leveranciers binnen de scope
De risicobeoordeling is uitgevoerd met een methodiek die herhaalbaar is
De verklaring van toepasselijkheid is compleet en onderbouwd
Er is één aanwijsbare eigenaar met mandaat
Er heeft een interne audit plaatsgevonden door iemand die het eigen werk niet beoordeelt
De directiebeoordeling is gevoerd en vastgelegd, met besluiten
Incidenten worden geregistreerd en de opvolging is zichtbaar

Een ISMS dat u kunt volhouden

Het doel is niet een systeem dat de norm dekt. Het doel is een organisatie die weet wat zij beschermt, waarom, en wat er moet gebeuren als het misgaat. De norm volgt daar vanzelf uit.

Wilt u weten wat er in uw situatie nodig is en hoeveel werk daarin zit? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk of u aan een compacte inrichting genoeg heeft of dat er meer speelt.

Veelgestelde vragen over een ISMS

Is een ISMS verplicht?

Geen wet schrijft letterlijk een ISMS voor. Valt u onder de Cyberbeveiligingswet, dan moet u wel aantoonbaar aan uw zorgplicht voldoen, en een ISMS is daarvoor de meest gebruikte invulling. Wilt u ISO 27001 of NEN 7510 behalen, dan is het managementsysteem de kern van de norm en kunt u er niet omheen.

Wat is het verschil tussen een ISMS en ISO 27001?

ISO 27001 is de norm die beschrijft waaraan een managementsysteem moet voldoen. Het ISMS is dat systeem zelf: uw beleid, de risicoanalyse, de maatregelen en de manier waarop u die bijhoudt. U kunt een ISMS hebben zonder certificaat, maar geen certificaat zonder ISMS.

Kunnen wij ons ISMS in Excel bijhouden?

Ja, zeker in het begin. Een risicoregister, een maatregelenlijst en een documentoverzicht in Excel voldoen prima aan de norm. De pijn ontstaat bij versiebeheer en bij het aantonen wie wanneer iets heeft beoordeeld. Groeit uw organisatie, dan wordt een tool op enig moment praktischer dan een map met bestanden.

Hebben wij een ISMS nodig als wij niet willen certificeren?

Dat hangt af van wat u moet kunnen aantonen. Vragen opdrachtgevers of verzekeraars om bewijs, of valt u onder de Cyberbeveiligingswet, dan heeft u een structuur nodig die laat zien dat u in control bent. Dat is precies wat een ISMS doet, met of zonder auditor erbij.

Hoeveel mensen hebben wij nodig om een ISMS te beheren?

Bij kleinere organisaties combineert vaak één persoon dit met een andere rol, met ongeveer een dag per week zodra de inrichting achter de rug is. Wat zwaarder weegt dan het aantal uren is dat het eigenaarschap ergens belegd is en dat de directie de risicobesluiten neemt.

Moeten alle maatregelen uit bijlage A in ons ISMS?

Nee. U beoordeelt alle 93 maatregelen uit bijlage A, maar u past alleen toe wat bij uw risico’s past. Wat u niet toepast legt u vast in de Verklaring van Toepasselijkheid, met de reden erbij. Die onderbouwing weegt voor de auditor zwaarder dan het aantal maatregelen dat u aanvinkt.

Hoe weten wij of ons ISMS echt werkt?

Aan de dingen die vanzelf gaan. Incidenten worden gemeld zonder dat iemand eraan herinnert, de risicoanalyse is het afgelopen jaar bijgewerkt en maatregelen hebben een eigenaar die weet dat hij dat is. Werkt het niet, dan ziet u dat aan documenten die alleen vlak voor de audit worden bijgewerkt.

Wat gebeurt er met het ISMS na de certificering?

Dan begint het pas echt. Het certificaat is drie jaar geldig, met jaarlijks een controleaudit. Uw ISMS moet in die periode blijven draaien: risico’s herzien, incidenten afhandelen, interne audits uitvoeren en de directiebeoordeling houden. Een systeem dat stilvalt na de audit valt bij de eerste controle op.

Improved Security, Smarter Compliance.

Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?

Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.