ISO 27001 certificering
ISO 27001 certificering is het traject waarin uw organisatie een managementsysteem voor informatiebeveiliging inricht en zich daarop laat toetsen door een geaccrediteerde certificerende instelling. Het certificaat toont aan dat u informatiebeveiliging beheerst, en het is drie jaar geldig.
Op deze pagina leest u hoe het traject verloopt, hoe u de scope bepaalt, hoe de audit in twee fasen werkt, waar de norm overlapt met de Cyberbeveiligingswet (CBW) en wat de doorlooptijd in de praktijk bepaalt.
Wij komen deze vraag meestal tegen als een grote klant of een tender erom vraagt. De vraag is dan zelden of het moet, maar hoe lang het duurt en wat het van de organisatie vraagt.
Wat ISO 27001 certificering inhoudt
De norm vraagt geen vaste set maatregelen. Hij vraagt een systeem waarmee u zelf bepaalt welke maatregelen bij uw risico’s passen, en waarmee u dat aantoonbaar bijhoudt.
Dat systeem heet een ISMS. De norm beschrijft in hoofdstuk 4 tot en met 10 wat dat systeem moet bevatten: context en scope, leiderschap, planning, ondersteuning, uitvoering, beoordeling en verbetering. Daarnaast bevat de norm een bijlage met beheersmaatregelen, verdeeld over organisatorische, personele, fysieke en technologische thema’s.
Die bijlage is geen verplichte boodschappenlijst. U bepaalt op basis van uw risicoanalyse welke maatregelen van toepassing zijn en welke niet, en u onderbouwt dat in de Verklaring van Toepasselijkheid. Dat document is het hart van uw dossier en het eerste dat een auditor opvraagt.
De actuele versie is ISO 27001:2022. De overgangsperiode vanaf de oudere versie is inmiddels verstreken, dus certificaten worden op de 2022-versie afgegeven. Een deel van de informatie die online rondgaat, gaat nog over die overgang en is achterhaald.
Wat een certificaat uw organisatie oplevert
Het meest genoemde voordeel is toegang tot opdrachten. Het grootste voordeel merken organisaties intern.
Commercieel is het effect direct. Steeds meer tenders stellen ISO 27001 als eis of als gunningscriterium, en grote opdrachtgevers vragen erom in hun leveranciersbeoordeling. Zonder certificaat valt u af voordat het gesprek begint. Met certificaat vervalt bovendien een groot deel van de vragenlijsten die u anders per klant invult.
Intern zit de winst in overzicht. In vrijwel elk traject blijkt dat niemand precies wist welke systemen er waren, wie waar toegang toe had en welke leveranciers bij welke gegevens konden. Dat overzicht heeft u daarna voor veel meer nodig dan alleen de norm.
Het derde effect is bestuurlijk. De norm dwingt af dat de directie periodiek naar informatiebeveiliging kijkt en er besluiten over neemt. Daarmee wordt het een onderwerp van de organisatie in plaats van van IT alleen.
De scope bepalen: de keuze die de rest stuurt
De scope bepaalt hoeveel werk het traject wordt en wat uw certificaat waard is. Dit is de belangrijkste beslissing van het hele traject.
U legt vast welke diensten, locaties, systemen en organisatieonderdelen onder het systeem vallen. Alles wat erbuiten valt, hoeft niet aan de norm te voldoen, maar staat ook niet op uw certificaat. En daar zit de valkuil.
Een te smalle scope maakt het traject korter en het certificaat minder waard. Wij zien certificaten die alleen op een klein onderdeel van de dienstverlening slaan, terwijl de klant denkt dat de hele organisatie gedekt is. Zodra een opdrachtgever de scope-regel op het certificaat leest, ontstaat een ongemakkelijk gesprek.
Een te brede scope maakt het traject onnodig zwaar. Vestigingen of diensten die niets met de gevraagde dienstverlening te maken hebben, brengen wel het volledige gewicht van de norm met zich mee.
De praktische vuistregel: neem op wat u aan uw klanten levert en wat daarvoor nodig is. Vraag daarnaast na wat uw belangrijkste opdrachtgever verwacht, want zij lezen die regel op het certificaat.
Het certificeringstraject in zes stappen
Van start tot certificaat doorloopt u zes stappen. De eerste drie bepalen het tempo van de rest.
1. Voer de nulmeting uit
Wij toetsen uw huidige situatie aan de normeisen en leggen per onderdeel vast wat er ligt. U levert bestaande documenten en wijst de betrokken mensen aan. Dat levert een gap-analyse op met de afstand tot de norm, geordend naar inspanning.
2. Bepaal scope en context
Wij leggen vast welke onderdelen meedoen, wie de belanghebbenden zijn en wat zij verwachten. U neemt het besluit over de reikwijdte. Dat levert de scope-verklaring op die letterlijk op uw certificaat komt te staan.
3. Voer de risicobeoordeling uit
Wij begeleiden de risicoanalyse met uw proceseigenaren en stellen de Verklaring van Toepasselijkheid op. U wijst risico-eigenaren aan en accepteert het restrisico. Dat levert de onderbouwing op onder elke maatregel die daarna volgt.
4. Richt de maatregelen in
Wij stellen het beleid, de procedures en de registraties op en stemmen de technische maatregelen af met uw IT-partij. U beslist over prioriteiten en stelt documenten vast. Dat levert een werkend systeem op in plaats van een map met documenten.
5. Voer de interne audit en directiebeoordeling uit
Wij voeren de interne audit uit en bereiden de directiebeoordeling voor. U zorgt dat de directie de beoordeling werkelijk voert en de besluiten vastlegt. Dat levert twee verplichte bewijsstukken op waar zonder uitzondering naar wordt gevraagd.
6. Doorloop de certificerende audit
Wij begeleiden de audit en zijn aanspreekpunt voor de bewijsvoering. U geeft de opdracht aan de certificerende instelling en zorgt voor beschikbaarheid van uw mensen. Dat levert het certificaat op, na afhandeling van eventuele bevindingen.
De certificerende audit in twee fasen
De externe audit bestaat uit twee delen, meestal met enkele weken ertussen. Ze toetsen iets anders.
In fase 1 beoordeelt de auditor uw documentatie en bepaalt hij of u klaar bent voor de echte toets. Hij kijkt of de scope logisch is, of de Verklaring van Toepasselijkheid klopt met uw risicobeoordeling, en of de verplichte onderdelen aanwezig zijn. De uitkomst is vaak een lijst met punten die vóór fase 2 geregeld moeten zijn.
In fase 2 toetst hij of het systeem in de praktijk werkt. Daar draait het om bewijs: interviews met medewerkers, steekproeven op registraties, en de vraag of maatregelen werkelijk zijn uitgevoerd. Dit is het moment waarop blijkt of het systeem leeft of alleen op papier bestaat.
De uitkomst kent drie smaken. Geen bevindingen, wat zelden voorkomt. Kleine afwijkingen, die u met een verbeterplan afhandelt en die het certificaat niet blokkeren. Of een grote afwijking, waarbij u eerst moet aantonen dat het is opgelost voordat het certificaat wordt afgegeven.
Na certificering volgen jaarlijkse controleaudits en in het derde jaar een hercertificering. Het certificaat is dus geen eindpunt maar het begin van een cyclus.
ISO 27001 en de Cyberbeveiligingswet: waar de eisen overlappen
Valt u onder beide, dan hoeft u niet twee systemen te bouwen. De overlap is groot, maar niet volledig.
- Risicobeheer. ISO 27001: Verplichte risicobeoordeling met methodiek. Cyberbeveiligingswet: Risicoanalyse als kern van de zorgplicht. Wat u extra doet: Niets, uw analyse dekt beide.
- Incidenten. ISO 27001: Procedure en leren van incidenten. Cyberbeveiligingswet: Meldketen met vaste wettelijke termijnen. Wat u extra doet: Termijnen en meldinstanties toevoegen.
- Keten. ISO 27001: Beveiliging in leveranciersrelaties. Cyberbeveiligingswet: Beveiliging van de toeleveringsketen, zwaarder aangezet. Wat u extra doet: Kritieke leveranciers apart beoordelen.
- Bestuur. ISO 27001: Directiebeoordeling en betrokkenheid. Cyberbeveiligingswet: Expliciete verantwoordelijkheid van de leiding. Wat u extra doet: Vastleggen dat bestuurders zijn opgeleid.
- Continuïteit. ISO 27001: Continuïteit van informatiebeveiliging. Cyberbeveiligingswet: Continuïteit en crisisbeheer. Wat u extra doet: Crisisplan en een geoefend scenario.
Kortom: heeft u ISO 27001, dan dekt dat het grootste deel van de zorgplicht af. Wat er meestal bij moet is de meldketen, de ketenbeveiliging en de bestuurlijke verantwoording. Meer daarover staat op onze pagina over de Cyberbeveiligingswet.
Wie wat doet: adviseur, interne auditor en certificerende instelling
Drie rollen die niet door dezelfde partij ingevuld mogen worden. Dat is geen formaliteit maar de basis onder de waarde van het certificaat.
De adviseur helpt u het systeem inrichten. Die mag alles: documenten schrijven, sessies begeleiden, de risicoanalyse voeren. Wat hij niet mag, is beoordelen of het resultaat voldoet.
De interne auditor toetst onafhankelijk of het systeem doet wat is afgesproken. De norm vraagt dat deze persoon niet zijn eigen werk beoordeelt. In kleinere organisaties is dat intern vrijwel onmogelijk, en daarom wordt de interne audit vaak extern belegd bij een andere partij dan de adviseur.
De certificerende instelling geeft het certificaat af en moet daarvoor geaccrediteerd zijn. Zij mogen u niet adviseren, en een instelling die dat wel aanbiedt, brengt haar eigen accreditatie in gevaar.
Wij vullen de eerste rol in en kunnen de tweede invullen als wij niet ook uw adviseur zijn geweest. De derde rol vullen wij nooit in.
Doorlooptijd per organisatiegrootte
De doorlooptijd hangt sterker af van uw startpunt dan van uw omvang. Dit zijn realistische bandbreedtes.
- Kleine organisatie, weinig vastgelegd. Van start tot audit: Zes tot negen maanden. Wat het tempo bepaalt: Beschikbaarheid van uw eigen mensen.
- Kleine organisatie, ISO 9001 aanwezig. Van start tot audit: Vier tot zes maanden. Wat het tempo bepaalt: Bestaande structuren zijn herbruikbaar.
- Middelgroot, meerdere locaties. Van start tot audit: Negen tot twaalf maanden. Wat het tempo bepaalt: Afstemming tussen vestigingen en processen.
- Complexe of gereguleerde omgeving. Van start tot audit: Twaalf maanden of meer. Wat het tempo bepaalt: Aantal processen, keten en aanvullende eisen.
Reken bovenop deze periode de wachttijd bij de certificerende instelling. Die kan oplopen tot enkele maanden en wordt bijna nergens genoemd, terwijl het uw planning bepaalt. Vraag daarom vroeg in het traject een offerte aan en reserveer alvast een auditdatum.
Wat de omvang van het traject bepaalt
Geen twee trajecten zijn gelijk. Deze factoren bepalen het verschil.
- Omvang van de scope. Het aantal diensten, locaties en organisatieonderdelen dat meedoet.
- Huidige volwassenheid. Ligt er beleid en een systeemoverzicht, dan is aanvullen aanzienlijk lichter dan opbouwen.
- Bestaande certificeringen. Een lopend ISO 9001-systeem levert structuren op die u kunt hergebruiken.
- Complexiteit van de IT. Eigen applicaties, oudere systemen en veel koppelingen vragen meer analyse.
- Aantal kritieke leveranciers. Elke partij vraagt contractanalyse en een beoordeling.
- Wel of geen productieomgeving. Machines en installaties vragen een eigen benadering naast de kantoorautomatisering.
- Beschikbaarheid van uw mensen. Dit is in de praktijk de grootste variabele, groter dan de inhoud.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo begeleidt QENSORA u naar het certificaat
Wij richten het systeem met u in en begeleiden de audit. Het certificaat komt van een geaccrediteerde instelling, niet van ons.
Die grens is wettelijk en inhoudelijk. Wie u begeleidt, mag u niet certificeren. Wij helpen wel bij de keuze van een instelling en bij het aanvragen van offertes, want de verschillen in doorlooptijd en werkwijze zijn groot.
Wat wij toevoegen is de combinatie van techniek en normkennis. Veel trajecten worden begeleid door adviseurs die de norm kennen maar niet kunnen beoordelen of een technische maatregel werkelijk doet wat er staat. Dat leidt tot documenten die de audit halen en de praktijk niet raken.
Wij werken bovendien toe naar overdracht. Alle documentatie staat in uw eigen omgeving en wij wijzen vanaf het begin een interne eigenaar aan die meeloopt. Na certificering moet u de jaarcyclus zelf kunnen draaien.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij ISO 27001, NEN 7510 en de Cyberbeveiligingswet. Hij voert de nulmeting zelf en zegt het eerlijk als certificering in uw situatie geen verstandige investering is.
Wilt u eerst weten hoe groot de afstand is, dan is een gap-analyse het logische beginpunt. Ontbreekt er iemand die het traject kan dragen, kijk dan naar CISO as a Service of naar een ISO 27001 consultant.
Certificeren omdat het iets oplevert
Een certificaat is een middel, geen doel. Het loont als uw markt erom vraagt of als u een systeem wilt dat u dwingt bij te blijven. Het loont niet als het alleen om het logo gaat, want dan wordt het onderhoud een last.
Wilt u weten hoe groot de afstand in uw situatie is en wat een realistische planning is? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk of certificering het juiste middel is.
Veelgestelde vragen over ISO 27001 certificering
Is ISO 27001 verplicht?
Nee, geen enkele Nederlandse wet verplicht het certificaat. De vraag komt vrijwel altijd uit de markt: van opdrachtgevers, tenders of verzekeraars. Valt u onder de Cyberbeveiligingswet, dan moet u wel aan de zorgplicht voldoen, en ISO 27001 is daarvoor een praktische en erkende invulling.
Hoe lang is een ISO 27001-certificaat geldig?
Drie jaar. In het eerste en tweede jaar volgt een controleaudit, die lichter is dan de eerste toets. In het derde jaar volgt een hercertificering, waarbij het volledige systeem opnieuw wordt beoordeeld. Vervalt uw certificaat, dan begint u in beginsel opnieuw met een volledige audit.
Wat is het verschil met NEN 7510?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en is gebaseerd op ISO 27001, met aanvullende eisen die specifiek zijn voor patiëntgegevens. Werkt u in de zorg, dan is NEN 7510 doorgaans de juiste keuze. De systemen overlappen sterk, dus u kunt er één inrichten.
Kunnen wij het traject zelf doen?
Ja, mits u iemand heeft met normkennis en voldoende tijd. De norm is openbaar en er is geen verplichting om een adviseur in te schakelen. In de praktijk strandt een traject zonder begeleiding meestal op de risicobeoordeling en de Verklaring van Toepasselijkheid, omdat daar de meeste interpretatie in zit.
Wat gebeurt er als wij een afwijking krijgen?
Bij een kleine afwijking levert u een verbeterplan met termijn en gaat het certificaat gewoon door. Bij een grote afwijking moet u eerst aantonen dat het probleem is opgelost, meestal binnen enkele maanden, voordat het certificaat wordt afgegeven. Afwijkingen zijn normaal en zelden een reden voor paniek.
Hoeveel tijd kost het onze eigen organisatie?
Reken op een interne eigenaar die er structureel tijd in steekt, plus enkele uren per proceseigenaar voor interviews en de risicobeoordeling. De directie is nodig bij de scope, de risicoacceptatie en de directiebeoordeling. Tijdens de audit zijn de betrokken medewerkers een of twee dagen beschikbaar.
Mag de partij die ons begeleidt ook certificeren?
Nee. Een geaccrediteerde certificerende instelling mag u niet adviseren over hetzelfde systeem dat zij beoordeelt. Dat geldt ook andersom. Kom een aanbieder tegen die beide belooft, dan is dat een reden om verder te kijken, want het raakt de geldigheid van uw certificaat.
Wat is de Verklaring van Toepasselijkheid?
Het document waarin u per beheersmaatregel uit de bijlage vastlegt of u die toepast en waarom. Uitsluiten mag, mits u het onderbouwt vanuit uw risicobeoordeling. Het is het eerste document dat een auditor opvraagt, omdat het laat zien of uw keuzes ergens op gebaseerd zijn.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
