Wat is ISO 27001? Alles over de norm voor informatiebeveiliging

Wat is ISO 27001?

ISO 27001 is de internationale norm voor informatiebeveiliging die organisaties een systematisch raamwerk biedt om vertrouwelijke, zakelijke en persoonsgebonden informatie te identificeren, te beschermen en te bewaken. De norm is gepubliceerd door de International Organization for Standardization (ISO) en de International Electrotechnical Commission (IEC) en heet officieel ISO/IEC 27001. De meest recente versie is ISO 27001:2022, gepubliceerd in oktober 2022.

Het doel van ISO 27001 is het vaststellen, implementeren, onderhouden en continu verbeteren van een Information Security Management System (ISMS): een samenhangende set beleidsregels, processen en maatregelen waarmee een organisatie de risico’s voor haar informatie beheerst. Certificering toont klanten, partners en toezichthouders aan dat informatiebeveiliging niet ad hoc is geregeld, maar ingebed in de bedrijfsvoering.

Wereldwijd zijn meer dan 70.000 organisaties in meer dan 150 landen gecertificeerd voor ISO 27001, met een sterke groei na de invoering van de AVG (GDPR) in 2018 en de toenemende druk van cyberdreigingen.

De structuur van ISO 27001

ISO 27001 volgt de High Level Structure (HLS), ook wel Annex SL genoemd, die alle moderne ISO-managementnormen met elkaar gemeen hebben. Dit maakt integratie met ISO 9001, ISO 14001 en ISO 45001 aanzienlijk eenvoudiger.

De norm bestaat uit 10 clausules plus een uitgebreide bijlage (Annex A):

• Clausule 1 – Toepassingsgebied: Definieert waarvoor de norm geldt en hoe ze gebruikt wordt.
• Clausule 2 – Normatieve verwijzingen: Verwijst naar ISO/IEC 27000 voor definities en terminologie.
• Clausule 3 – Termen en definities: Verwijst naar ISO/IEC 27000.
• Clausule 4 – Context van de organisatie: Interne en externe factoren, belanghebbenden, scope van het ISMS.
• Clausule 5 – Leiderschap: Betrokkenheid van het topmanagement, informatiebeveiligingsbeleid, rollen en verantwoordelijkheden.
• Clausule 6 – Planning: Risicobeoordeling, risicobehandeling, Statement of Applicability (SoA), doelstellingen.
• Clausule 7 – Ondersteuning: Middelen, competenties, bewustwording, communicatie en gedocumenteerde informatie.
• Clausule 8 – Uitvoering: Operationele planning, risicobeoordeling en -behandeling in de praktijk.
• Clausule 9 – Evaluatie van prestaties: Monitoring, meting, interne audit en directiebeoordeling.
• Clausule 10 – Verbetering: Afwijkingen, corrigerende maatregelen en continue verbetering.

Annex A bevat in de versie van 2022 93 beheersmaatregelen (controls) verdeeld over 4 thema’s. Annex A is normatief: organisaties moeten elke control in hun SoA opnemen en motiveren of ze die toepassen of uitsluiten.

ISO 27001:2022 versus ISO 27001:2013

De herziening van 2022 bracht aanzienlijke veranderingen ten opzichte van de editie van 2013. Organisaties die gecertificeerd zijn op basis van de 2013-versie hadden tot 31 oktober 2025 de tijd om naar de nieuwe versie over te stappen.

Veranderingen in Annex A

• Het aantal controls daalde van 114 naar 93.
• Het aantal categorieën (domeinen) daalde van 14 naar 4 thema’s.
• Er zijn 11 nieuwe controls toegevoegd, waaronder threat intelligence, cloud services, data masking en ICT-continuïteit.
• Diverse controls zijn samengevoegd of hernoemd voor meer overzichtelijkheid.
• Elke control heeft nu vijf attributen (type, beveiligingseigenschappen, cyberbeveiligingconcepten, operationele capaciteiten en beveiligingsdomeinen) voor flexibelere selectie.

Wijzigingen in de hoofdtekst

• Clausule 6.3 introduceert een verplichting om wijzigingen in het ISMS gepland uit te voeren.
• Clausule 9.3 (directiebeoordeling) is uitgebreid met extra inputpunten.
• De formulering van diverse eisen is verduidelijkt om interpretatieverschillen te verminderen.

Wie heeft ISO 27001 nodig?

ISO 27001 is relevant voor elke organisatie die informatie verwerkt die beschermd moet worden. In de praktijk zijn dit de meest voorkomende doelgroepen:

• IT- en softwarebedrijven die klantdata beheren of SaaS-oplossingen leveren.
• Financiële instellingen (banken, verzekeraars, fintechs) met strikte toezichteisen (DNB, AFM, DORA).
• Zorginstellingen die medische persoonsgegevens verwerken onder de AVG en NEN 7510.
• Overheidsinstanties en toeleveranciers van de overheid die aan BIO-eisen (Baseline Informatiebeveiliging Overheid) moeten voldoen.
• Juridische en accountantskantoren met vertrouwelijke cliëntgegevens.
• E-commerce en retail die betaalgegevens en klantprofielen opslaan.
• Mkb-bedrijven die certificering als markttoegangsvereiste zien voor aanbestedingen of enterprise-klanten.

De norm schrijft geen minimum organisatiegrootte voor. Zowel eenmansbedrijven als multinationals kunnen ISO 27001-gecertificeerd zijn, al verschilt de complexiteit van de implementatie sterk per organisatie.

Wat is een ISMS?

Een Information Security Management System (ISMS) is de kern van ISO 27001. Het is geen softwarepakket of technische tool, maar een managementsysteem: een samenhangend geheel van beleid, procedures, rollen, verantwoordelijkheden en maatregelen waarmee een organisatie haar informatiebeveiligingsrisico’s beheerst.

Een ISMS omvat drie klassieke beveiligingsprincipes, ook wel de CIA-triad genoemd:

• Vertrouwelijkheid (Confidentiality): Informatie is alleen toegankelijk voor bevoegde personen.
• Integriteit (Integrity): Informatie is juist, volledig en niet ongeautoriseerd gewijzigd.
• Beschikbaarheid (Availability): Informatie en systemen zijn beschikbaar wanneer ze nodig zijn.

Het ISMS werkt via de Plan-Do-Check-Act (PDCA)-cyclus: risico’s worden geïdentificeerd (Plan), beheersmaatregelen worden geïmplementeerd (Do), de effectiviteit wordt gemeten (Check) en het systeem wordt bijgestuurd (Act). Dit zorgt voor continue verbetering in plaats van een eenmalige beveiligingsactie.

Een ISMS bevat altijd een risicoregister, een risicobehandelingsplan en een Statement of Applicability (SoA), waarin per control uit Annex A is vastgelegd of die van toepassing is en waarom.

Hoe werkt ISO 27001-certificering?

Het certificeringsproces verloopt via een onafhankelijke, geaccrediteerde certificeringsinstelling (CB, Certification Body) zoals Bureau Veritas, DNV, Lloyd’s Register, Kiwa of SGS. Het proces kent de volgende stappen:

Stap 1 – Gap-analyse (0-2 maanden)

Een vergelijking van de huidige situatie met de eisen van ISO 27001. De uitkomst bepaalt de omvang van het implementatietraject.

Stap 2 – Implementatie (3-9 maanden)

Opstellen of aanpassen van beleid, procedures, risicobeoordelingsmethodiek, risicoregister, SoA en beheersmaatregelen. Training van medewerkers en bewustwordingsprogramma.

Stap 3 – Interne audit

Verplichte interne audit om te controleren of het ISMS aan de normeisen voldoet voordat de externe audit plaatsvindt.

Stap 4 – Stage 1-audit (documentatiebeoordeling)

De certificeerder beoordeelt de documentatie van het ISMS. Eventuele tekortkomingen worden als bevinding geregistreerd. Dit is geen definitieve audit, maar een voorbereiding.

Stap 5 – Stage 2-audit (conformiteitsaudit)

De certificeerder controleert ter plaatse of het ISMS daadwerkelijk werkt zoals beschreven. Non-conformiteiten moeten worden opgelost voordat het certificaat wordt afgegeven.

Stap 6 – Certificaatverlening

Na een succesvolle audit ontvangt de organisatie een ISO 27001-certificaat met een geldigheid van 3 jaar. Jaarlijks vinden surveillance-audits plaats om te controleren of het ISMS operationeel blijft.

De totale doorlooptijd van implementatie tot certificaat bedraagt gemiddeld 6 tot 12 maanden, afhankelijk van de startpositie, organisatiegrootte en beschikbare capaciteit.

Kosten van ISO 27001

De kosten van ISO 27001-certificering variëren sterk op basis van organisatiegrootte, complexiteit en de gekozen aanpak (intern vs. extern advies). Onderstaande ranges zijn indicatief voor de Nederlandse markt:

• Initiële certificeringsaudit (Stage 1 + Stage 2): € 5.000 – € 20.000 voor mkb-organisaties tot circa 250 medewerkers.
• Jaarlijkse surveillance-audit: € 2.500 – € 5.000 per jaar.
• Her-certificeringsaudit (na 3 jaar): € 4.000 – € 15.000.
• Implementatiebegeleiding door extern adviseur: € 10.000 – € 50.000+, afhankelijk van de startpositie en scope.
• Interne personeelskosten: Vaak het grootste kostenblok, met gemiddeld 200-600 uur voor een eerste implementatie.
• Tooling (ISMS-software): € 0 (eigen documenten) tot € 500+ per maand voor gespecialiseerde GRC-platformen.

Voor grotere organisaties (500+ medewerkers, complexe IT-omgevingen, meerdere locaties) kunnen de auditkosten oplopen tot € 50.000 of meer per cyclus. Online-ISO.nl helpt organisaties de implementatiekosten significant te verlagen door gestructureerde online begeleiding en kant-en-klare documenttemplates.

De 4 thema’s van Annex A in ISO 27001:2022

De 93 controls van Annex A zijn in de versie van 2022 ingedeeld in vier thema’s:

1. Organisatorische beheersmaatregelen (37 controls, A.5)

Beleid, rollen, verantwoordelijkheden, risicobeheer, leveranciersbeheer, informatiebeveiliging bij incidenten, bedrijfscontinuïteit en compliance. Voorbeelden: A.5.1 Beleid voor informatiebeveiliging, A.5.23 Informatiebeveiliging voor het gebruik van clouddiensten (nieuw in 2022).

2. Persoonsgebonden beheersmaatregelen (8 controls, A.6)

Screening voor indiensttreding, arbeidsvoorwaarden, bewustwording en training, disciplinaire processen, vertrouwelijkheidsverklaringen en thuiswerken. Voorbeeld: A.6.7 Werken op afstand (nieuw in 2022).

3. Fysieke beheersmaatregelen (14 controls, A.7)

Fysieke toegangsbeveiliging, beveiliging van apparatuur, clean desk en clear screen, fysieke media, onderhoud en beveiliging van apparatuur buiten de locatie. Voorbeeld: A.7.4 Fysieke beveiligingsbewaking (nieuw in 2022).

4. Technologische beheersmaatregelen (34 controls, A.8)

Toegangscontrole, authenticatie, encryptie, logbeheer, kwetsbaarheidsbeheer, penetratietests, netwerksegmentatie, data masking en DLP (Data Loss Prevention). Voorbeelden: A.8.11 Data masking (nieuw), A.8.12 Preventie van gegevenslekken (nieuw), A.8.28 Veilige programmering (nieuw).

Veelgemaakte fouten bij ISO 27001

Fout 1 – Te brede scope definiëren

Organisaties nemen bij hun eerste certificering de gehele organisatie in scope, terwijl een afgebakende scope (bijvoorbeeld één productlijn of één kantoorlocatie) sneller en goedkoper te certificeren is. Een te brede scope leidt tot overmatige documentatie, hogere auditkosten en een langere implementatietijd.

Fout 2 – Risicobeoordeling als papieren exercitie

De risicobeoordeling wordt ingevuld als formaliteit zonder aansluiting op de werkelijke bedrijfsprocessen en IT-omgeving. Auditoren controleren expliciet of risico’s realistisch zijn en of de behandelingsmaatregelen aantoonbaar zijn geïmplementeerd. Een generiek risicoregister dat niet bij de organisatie past, leidt tot non-conformiteiten.

Fout 3 – Het Statement of Applicability (SoA) verkeerd invullen

De SoA is een verplicht document waarin voor alle 93 Annex A-controls wordt vastgelegd of ze van toepassing zijn, en zo niet, waarom niet. Een veelgemaakte fout is het uitsluiten van controls zonder geldige motivering, of het opnemen van controls die in de praktijk niet zijn geïmplementeerd. Inconsistentie tussen de SoA en het risicobehandelingsplan is een klassieke major non-conformiteit.