Wat is ISO 27001? De norm, de eisen en het certificaat

Wat ISO 27001 is

ISO 27001, voluit ISO/IEC 27001, is een wereldwijd erkende norm voor informatiebeveiliging. Dat universele karakter is precies waarom klanten erom vragen: een certificaat wordt in Nederland, Duitsland, Singapore en de Verenigde Staten op dezelfde manier gelezen. De '27001' is het nummer binnen een bredere familie van beveiligingsnormen. NEN publiceert de Nederlandse uitgave, als NEN-EN-ISO/IEC 27001. De actuele versie dateert uit 2022, met een amendement uit 2024 dat klimaatverandering toevoegt aan de factoren die je meeweegt bij het bepalen van je context.

De kern van de norm is het Information Security Management System, oftewel ISMS. Dat is geen software en geen tool, maar een gestructureerde manier om informatie systematisch te beschermen: beleid, procedures, technische maatregelen en menselijke processen die samen één systeem vormen. De norm schrijft niet voor welke techniek je gebruikt. Hij schrijft voor dat je de risico's kent, er bewust maatregelen tegenover zet, en kunt aantonen dat die maatregelen werken.

Drie begrippen lopen overal doorheen:

• Vertrouwelijkheid betekent dat informatie alleen toegankelijk is voor wie er recht op heeft. Een gelekte klantenlijst schendt de vertrouwelijkheid.
• Integriteit zorgt dat informatie accuraat en compleet blijft. Onjuiste financiële data of een corrupte database tasten de integriteit aan.
• Beschikbaarheid garandeert dat informatie er is wanneer je het nodig hebt. Een platliggende webshop of een onbereikbare backup schendt de beschikbaarheid.

De eisen: hoofdstuk 4 tot en met 10

De eerste drie hoofdstukken van de norm gaan over het toepassingsgebied, verwijzingen en definities. De eisen waar een auditor op toetst, staan in hoofdstuk 4 tot en met 10:

• Hoofdstuk 4, context van de organisatie. Wie zijn je belanghebbenden, wat verwachten zij, en welk deel van de organisatie valt binnen de scope van je ISMS.
• Hoofdstuk 5, leiderschap. De directie stelt het beleid vast, wijst rollen en verantwoordelijkheden toe en maakt middelen vrij.
• Hoofdstuk 6, planning. De risicobeoordeling, de keuze van maatregelen per risico, en meetbare doelstellingen voor informatiebeveiliging.
• Hoofdstuk 7, ondersteuning. Competenties, bewustwording, communicatie en het beheer van documentatie.
• Hoofdstuk 8, uitvoering. De processen uit hoofdstuk 6 daadwerkelijk uitvoeren, en risicobeoordelingen actueel houden als er iets verandert.
• Hoofdstuk 9, evaluatie van de prestaties. Monitoren en meten, een interne audit uitvoeren, en een directiebeoordeling houden.
• Hoofdstuk 10, verbetering. Afwijkingen registreren en corrigerende maatregelen nemen.

Hoofdstuk 6 draait om je risico's, hoofdstuk 9 om het bewijs dat het systeem werkt. Samen vormen ze de Plan-Do-Check-Act-cyclus die de rest van de norm draagt: je plant op basis van risico, je voert uit, je controleert met interne audits en metingen, en je stuurt bij.

Annex A: 93 beheersmaatregelen in vier thema's

Annex A is de bijlage met 93 standaard beheersmaatregelen, verdeeld over vier thema's:

• Organisatorisch, 37 maatregelen: beleid, rollen, leveranciersbeheer, incidentbeheer, continuïteit.
• Mensgericht, 8 maatregelen: screening bij indiensttreding, bewustwording, disciplinaire processen.
• Fysiek, 14 maatregelen: toegang tot gebouwen, beveiliging van apparatuur, bekabeling, opslagmedia.
• Technologisch, 34 maatregelen: toegangscontrole, encryptie, logging, netwerkbeveiliging, veilig ontwikkelen.

Je hoeft ze niet allemaal toe te passen. Je moet wel per maatregel onderbouwen of hij van toepassing is, en waarom je hem eventueel overslaat. Die onderbouwing leg je vast in de verklaring van toepasselijkheid, in het Engels de Statement of Applicability. Dat document is meestal het eerste waar een auditor naar vraagt, omdat het in één overzicht laat zien welke keuzes je hebt gemaakt.

Op dit punt verschilt de versie van 2022 het meest van de oude uitgave. De 114 maatregelen in veertien hoofdstukken werden 93 maatregelen in vier thema's, waarbij elf onderwerpen nieuw zijn. Dreigingsinformatie hoort daarbij, net als informatiebeveiliging bij het gebruik van clouddiensten, het maskeren van data en het voorkomen van datalekken.

Welke documenten je verplicht moet hebben

De norm noemt op verschillende plekken "gedocumenteerde informatie" die aanwezig moet zijn. Bij elkaar komt dat neer op:

• de scope van het ISMS
• het informatiebeveiligingsbeleid
• het proces voor risicobeoordeling en risicobehandeling, plus de resultaten daarvan
• de verklaring van toepasselijkheid
• de doelstellingen voor informatiebeveiliging
• bewijs van competentie voor de mensen met een rol in het ISMS
• de resultaten van monitoren en meten
• het interne auditprogramma en de auditresultaten
• de uitkomsten van de directiebeoordeling
• de registratie van afwijkingen en corrigerende maatregelen

Beleid schrijven is het makkelijke deel. Het lastige deel is het bewijs dat de maatregelen echt draaien: toegangsreviews, testresultaten, notulen van de directiebeoordeling, afgehandelde incidenten. Dat bewijs verzamel je gedurende het jaar, niet in de week voor de audit. Het volledige overzicht per hoofdstuk staat in het ISO 27001 naslagwerk.

Zo verloopt de certificering

Het traject heeft een vaste volgorde. Eerst bepaal je de scope: welk deel van de organisatie, welke systemen en welke informatie onder het ISMS vallen. Daarna doe je een risicobeoordeling en kies je per risico welke maatregelen uit Annex A je toepast, met een onderbouwing voor wat je overslaat. Vervolgens moet het systeem ook echt draaien: beleid vastgesteld, bewijs verzameld, een interne audit uitgevoerd en een directiebeoordeling gehouden.

Pas dan komt de certificerende instelling in beeld, en die toetst in twee stappen. Stage 1 gaat over je documentatie: staat het systeem op papier en is het compleet. Stage 2 gaat over de werking in de praktijk, met interviews en steekproeven op je bewijs. De audit wordt uitgevoerd door een onafhankelijke, geaccrediteerde certificerende instelling; in Nederland verleent de Raad voor Accreditatie die accreditatie. Een softwareleverancier certificeert je nooit zelf, en juist daardoor zegt het certificaat iets.

Het certificaat is daarna drie jaar geldig. In die periode komt er elk jaar een controle-audit, en na drie jaar volgt een hercertificering. Wat dat kost hangt af van je omvang en je scope, want de instelling rekent per auditdag. ISO 27001 kosten gaat daar dieper op in, en je ISO 27001 traject plannen zet de fasen op een tijdlijn.

Is ISO 27001 wettelijk verplicht

Nee, ISO 27001 is een vrijwillige norm. In de praktijk wordt hij vaak alsnog geëist, meestal door een klant in een aanbesteding of een contract. Daarnaast stellen NIS2 en DORA eisen aan informatiebeveiliging die dicht bij ISO 27001 liggen zonder de norm zelf voor te schrijven, zodat een werkend ISMS je ook daar vooruithelpt. In de Nederlandse zorg geldt NEN 7510, die op ISO 27001 is gebaseerd. Voor de overheid staat de norm op de lijst met open standaarden van Forum Standaardisatie.

Wanneer je begint

De beste tijd om te starten is wanneer je team nog klein is en je processen nog eenvoudig zijn. Dan hoef je niet te vechten tegen ingesleten gewoonten of complexe legacy-systemen. Een team van vijf tot tien mensen zet in enkele maanden een werkend ISMS neer; bij vijftig mensen met verouderde processen loopt datzelfde traject makkelijk een jaar. Denk je dat je nog te klein bent? Drie triggers zeggen van niet.

Een tweede moment dient zich aan zodra enterprise-klanten aankloppen. Vragen prospects naar je beveiligingsmaatregelen, of sturen ze security questionnaires mee met een RFP, dan vertelt de markt je dat certificering verwacht wordt. Wachten tot je in onderhandeling bent met een grote klant is te laat, want het traject duurt maanden en zo lang wil die klant zelden wachten. De snelste manier om ISO 27001 te behalen als startup laat zien hoe zo'n kort traject eruitziet.

Het derde signaal is je eigen risico. Je begint met een simpele applicatie, en voor je het weet verwerk je persoonsgegevens, financiële informatie en bedrijfskritieke data van klanten. Zou een datalek vandaag je bedrijf kunnen breken, dan is een formeel ISMS geen luxe meer. Verzekeraars vragen er inmiddels ook naar voordat ze cybersecurity-dekking bieden.

Veelgemaakte fouten bij het starten

Drie valkuilen kom je het vaakst tegen. De volledige lijst staat in de 7 grootste ISO 27001 valkuilen.

• Te laat starten. Teams proberen in drie weken te doen waar drie maanden voor staat. Of de audit wordt niet gehaald, of het certificaat komt er terwijl het ISMS zo haastig is opgetuigd dat niemand er iets aan heeft.
• Geen duidelijke eigenaar. Iedereen vindt informatiebeveiliging belangrijk, niemand voelt zich verantwoordelijk. Wijs vanaf dag één één persoon aan, en geef die persoon tijd en mandaat.
• Maatregelen stapelen zonder risicobeoordeling. Enthousiaste teams implementeren tientallen maatregelen tegelijk zonder te weten welke risico's ze afdekken. Begin met de risicobeoordeling, dan weet je waar je energie heen moet.

Hoe Tidal Control helpt

Ons platform is gebouwd om dit traject korter te maken:

• Geautomatiseerde tests controleren continu of je maatregelen nog werken. In plaats van handmatig te checken of multi-factor authenticatie overal aanstaat, test het systeem dat en waarschuwt het bij afwijkingen.
• Alle eisen voorgedefinieerd. Je ziet per maatregel wat de norm vraagt, welk bewijs erbij hoort en hoe ver je bent.
• Policy templates met ingebouwde instructies, zodat je beleidsdocumenten aanpast in plaats van ze vanaf nul te schrijven.
• Continue evidence collection, waarbij bewijs automatisch wordt vastgelegd en aan de juiste maatregelen gekoppeld. Dat scheelt de zoektocht vlak voor de audit.

Welke platforms er zijn en waar ze op verschillen, staat in hoe kies je de juiste ISO 27001 software.

Veelgestelde vragen

Wat is het verschil tussen ISO 27001 en ISO 27002?

ISO 27001 bevat de eisen waartegen je gecertificeerd wordt. ISO 27002 is een richtlijn die per beheersmaatregel uit Annex A uitlegt hoe je die kunt invullen. Je certificeert dus tegen 27001 en gebruikt 27002 als handleiding. Uitgebreider: ISO 27001 vs ISO 27002.

Hoe lang is een ISO 27001-certificaat geldig?

Drie jaar. In die periode voert de certificerende instelling elk jaar een controle-audit uit om vast te stellen dat het ISMS blijft werken. Na drie jaar volgt een hercertificering, die vergelijkbaar is met de eerste Stage 2-audit.

Wat kost een ISO 27001-certificering?

De kosten bestaan uit twee delen. De audit koop je in bij een geaccrediteerde certificerende instelling, die per auditdag rekent; hoeveel dagen dat zijn volgt uit je omvang en de scope van je ISMS. Het grootste deel zit meestal in de implementatie: de tijd die je eigen team kwijt is aan risicobeoordeling, maatregelen, beleid en bewijs. Een standaardtarief bestaat niet, dus vraag een offerte op basis van je eigen scope.

Wie voert de ISO 27001-audit uit?

Een onafhankelijke, geaccrediteerde certificerende instelling. Tidal certificeert je niet zelf, en juist daardoor zegt het certificaat iets: een auditor zonder belang bij de uitkomst toetst of je ISMS in de praktijk werkt. Onze klanten hebben meer dan 50 audits gehaald, met gemiddeld 0 tot 2 bevindingen.

Is ISO 27001 hetzelfde als NEN 7510?

Nee, maar ze delen hun structuur. NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en is gebaseerd op ISO 27001, met extra eisen voor patiëntgegevens. Werk je in de zorg, dan is NEN 7510 doorgaans de norm waar je aan moet voldoen.

Volgende stap

Begin met drie dingen, nog voordat je aan de norm zelf toekomt. Breng in kaart welke informatie kritiek is en waar die staat. Bepaal wie eigenaar wordt van informatiebeveiliging. Maak een ruwe inventaris van de maatregelen die je vandaag al neemt, hoe informeel ook. Met die drie op papier begin je gericht in plaats van overweldigd.

Wil je weten waar je nu staat? Doe de gratis quickscan, of boek een demo om te zien hoe Tidal Control van plan naar certificaat werkt.