Wat is ISO 27001?

Definitie: ISO 27001, voluit ISO/IEC 27001, is de internationale norm voor informatiebeveiliging die eisen stelt aan een managementsysteem voor informatiebeveiliging (ISMS). Een organisatie die aantoonbaar aan de norm voldoet, kan zich laten certificeren door een onafhankelijke certificeringsinstelling.

In het kort

• De huidige versie is ISO/IEC 27001:2022; sinds de overgangsdatum van 31 oktober 2025 is dat volgens Orbiq de enige geldige editie.
• Bijlage A van de norm bevat 93 beheersmaatregelen, verdeeld over vier thema’s: organisatorisch, mensgericht, fysiek en technologisch.
• Een certificaat is drie jaar geldig, met jaarlijkse controle-audits en daarna hercertificering.
• Volgens Kaseya duurt een traject vanaf een laag beginniveau doorgaans zes tot achttien maanden; de kosten hangen af van de omvang en complexiteit van de organisatie.

Wat is ISO 27001?

ISO 27001 beschrijft hoe een organisatie haar informatiebeveiliging systematisch regelt en verbetert. De norm schrijft niet voor welke firewall je moet kopen of welk wachtwoordbeleid je moet hanteren. Ze vraagt dat je de risico’s voor jouw informatie in kaart brengt, passende maatregelen kiest, die maatregelen uitvoert en regelmatig controleert of ze werken.

Het hart van de norm is het ISMS, het Information Security Management System. Dat is geen software, maar het geheel van beleid, processen, verantwoordelijkheden, risicoanalyses en controles waarmee een organisatie informatiebeveiliging bestuurt. Kiwa noemt de risicoanalyse en de interne audit als verplichte onderdelen. Daarnaast kun je het ISMS deels aanpassen aan je eigen bedrijfsprocessen.

Informatiebeveiliging draait volgens Dutch IT Channel om drie aspecten van informatie:

• Beschikbaarheid: informatie is er wanneer die nodig is.
• Integriteit: informatie is juist en volledig, en niet ongemerkt gewijzigd.
• Vertrouwelijkheid: alleen wie bevoegd is, heeft toegang.

De norm is niet aan één branche gebonden. Ze wordt gebruikt door softwarebedrijven, hostingpartijen, zorginstellingen, overheden, financiële dienstverleners en adviesbureaus.

Waar komt ISO 27001 vandaan?

ISO 27001 wordt uitgegeven door ISO, de International Organization for Standardization, samen met de IEC. Vandaar de volledige naam ISO/IEC 27001. De norm kent meerdere versies. De versie uit 2013 werd in oktober 2022 vervangen door ISO/IEC 27001:2022. Volgens Kaseya liep de overgangsperiode tot oktober 2025; geldige certificaten moeten nu naar de versie van 2022 verwijzen. Orbiq meldt daarnaast een kleine wijziging uit 2024, die klimaatoverwegingen aan de norm toevoegt.

Hoe is de norm opgebouwd?

ISO 27001 bestaat uit twee delen: de hoofdstukken met eisen aan het managementsysteem en bijlage A met beheersmaatregelen.

Hoofdstukken 4 tot en met 10

Deze hoofdstukken zijn verplicht. Ze volgen de bekende cyclus van plannen, uitvoeren, controleren en bijsturen.

Bijlage A: 93 beheersmaatregelen

De aantallen komen van Kaseya en Orbiq. In de versie van 2013 waren het er volgens Orbiq nog 114. Niet elke maatregel is verplicht. In de Verklaring van Toepasselijkheid, de Statement of Applicability, leg je vast welke maatregelen je toepast en waarom je andere uitsluit.

ISO 27001 en ISO 27002

ISO 27001 en ISO 27002 worden vaak samen genoemd. ISO 27001 bevat de eisen waarop je kunt worden gecertificeerd. ISO 27002 geeft uitgebreide richtlijnen voor het invoeren van de maatregelen uit bijlage A. Orbiq benadrukt dat je niet tegen ISO 27002 wordt gecertificeerd, maar tegen ISO 27001. Beide horen bij de bredere ISO 27000-familie van normen voor informatiebeveiliging.

De ISO 27000-familie

Orbiq behandelt de ISO 27000-familie in zijn overzicht. Voor de meeste organisaties is ISO 27001 het startpunt; de andere normen bouwen daarop voort.

Welke rollen horen bij een ISMS?

Een ISMS werkt alleen als duidelijk is wie waarvoor verantwoordelijk is. Gangbare rollen zijn:

• De directie, die het beleid vaststelt, middelen beschikbaar stelt en het systeem periodiek beoordeelt.
• Een verantwoordelijke voor informatiebeveiliging, vaak een security officer, die het ISMS coördineert.
• Eigenaren van informatie en systemen, die bepalen wie toegang krijgt en welke risico’s acceptabel zijn.
• Medewerkers, die het beleid in hun dagelijkse werk toepassen en incidenten melden.
• Interne auditors, die onafhankelijk toetsen of het systeem werkt.

In een klein bedrijf combineert één persoon vaak meerdere rollen. Belangrijk is dat de taken zijn vastgelegd.

Hoe verloopt een ISO 27001-certificering?

1. Nulmeting. Je onderzoekt hoe de huidige beveiliging zich verhoudt tot de norm: een gap-analyse.
2. ISMS opzetten. Je bepaalt de reikwijdte, stelt beleid op, voert een risicoanalyse uit en kiest maatregelen.
3. Maatregelen invoeren. Je voert de gekozen maatregelen uit en legt vast hoe ze werken.
4. Interne audit en directiebeoordeling. Je controleert zelf of het systeem werkt en stuurt bij.
5. Certificeringsaudit fase 1. De certificeringsinstelling beoordeelt de documentatie.
6. Certificeringsaudit fase 2. De instelling toetst of de maatregelen in de praktijk werken.
7. Certificaat. Bij een positieve beoordeling ontvang je het certificaat, drie jaar geldig.
8. Controle-audits. Elk jaar volgt een controle-audit, en na drie jaar een hercertificering.

DQS meldt dat de meeste organisaties fase 1 en fase 2 binnen drie tot zes maanden afronden zodra ze klaar zijn voor de audit. De voorbereiding daarvoor duurt vaak langer.

Wat kost ISO 27001?

De kosten bestaan uit drie delen: de externe audits, eventuele begeleiding door een adviseur en de interne tijd die medewerkers erin steken. Kiwa en DQS geven aan dat de prijs afhangt van de grootte en complexiteit van de organisatie, het aantal vestigingen en de reikwijdte van het ISMS.

Orbiq geeft een marktindicatie voor de externe audit: ongeveer 8.000 tot 11.000 euro voor de eerste audit bij 25 medewerkers en 12.000 tot 17.000 euro bij 60 medewerkers. Controle-audits kosten volgens dezelfde bron doorgaans 30 tot 40 procent van de eerste audit. Voor het hele eerste jaar, inclusief interne inspanning, noemt Orbiq 24.000 tot 45.000 euro voor een klein SaaS-bedrijf en 50.000 tot 120.000 euro voor een middelgroot bedrijf. Zie dit als indicatie; de werkelijke kosten verschillen sterk per organisatie.

Hoe lang duurt het?

Kaseya noemt zes tot achttien maanden voor organisaties die vanaf een laag niveau beginnen. Orbiq noemt zes tot twaalf maanden, en korter met hulpmiddelen voor compliance-automatisering. Organisaties die al veel op orde hebben, bijvoorbeeld omdat ze al met ISO 9001 werken, zijn vaak sneller.

Voor wie is ISO 27001 interessant?

• Software- en SaaS-leveranciers die klantgegevens verwerken en bij grotere klanten aan inkoopeisen moeten voldoen.
• Hosting- en cloudpartijen waar klanten hun gegevens onderbrengen.
• Leveranciers van overheden en zorg, waar aantoonbare beveiliging vaak een voorwaarde is.
• Organisaties onder NIS2, de Europese richtlijn voor cyberbeveiliging. DQS noemt ook organisaties onder DORA, de regelgeving voor de financiële sector.
• Bedrijven die veel persoonsgegevens verwerken en willen laten zien dat ze dat zorgvuldig doen.

Voor de zorg bestaat de Nederlandse norm NEN 7510, die is afgeleid van ISO 27001. Kiwa merkt op dat zorgorganisaties aan NEN 7510 moeten voldoen, maar dat een certificaat niet verplicht is.

ISO 27001, NIS2 en de AVG

ISO 27001 is een vrijwillige norm, geen wet. Toch helpt de norm om aan wettelijke eisen te voldoen. De AVG vraagt passende beveiliging van persoonsgegevens; een ISMS volgens ISO 27001 is een gestructureerde manier om dat aan te tonen. Volgens Orbiq sluit ISO 27001 ook aan op de risicobeheermaatregelen uit artikel 21 van NIS2, maar dekt het niet alles: meldplichten en de verantwoordelijkheid van bestuurders vallen erbuiten.

Hoe begin je als klein bedrijf?

Voor een klein bedrijf kan ISO 27001 groot klinken. Een overzichtelijke aanpak:

1. Bepaal waarom. Vragen klanten erom, speelt NIS2, of wil je vooral je eigen beveiliging op orde brengen? Dat bepaalt of certificering nodig is of dat werken volgens de principes volstaat.
2. Kies een beperkte reikwijdte, bijvoorbeeld de dienst die klanten afnemen.
3. Maak een overzicht van je informatie en systemen: welke gegevens heb je, waar staan ze en wie heeft toegang?
4. Voer een eenvoudige risicoanalyse uit en begin met de grootste risico’s.
5. Leg de belangrijkste afspraken vast, zoals toegangsbeheer, back-ups, wachtwoordbeleid en wat te doen bij een incident.
6. Laat je eventueel begeleiden door een adviseur of gebruik hulpmiddelen die het ISMS ondersteunen.

Kaseya maakt hierbij onderscheid tussen certificering en afstemming: niet elke organisatie heeft een formeel certificaat nodig. Werken volgens de principes van de norm, zonder certificaat, kan voor kleinere bedrijven al veel opleveren.

Wat bewijst een certificaat, en wat niet?

Een certificaat laat zien dat een organisatie een werkend managementsysteem heeft om informatiebeveiliging te sturen en te verbeteren, en dat een onafhankelijke partij dat heeft getoetst. Het bewijst niet dat een organisatie nooit een beveiligingsincident krijgt. Let ook op de reikwijdte: een certificaat kan gelden voor een deel van de organisatie, bijvoorbeeld alleen de hostingdienst en niet de softwareontwikkeling. Vraag bij een leverancier daarom altijd naar de scope van het certificaat en naar de Verklaring van Toepasselijkheid.

Veelgemaakte fouten

• Het als papieren exercitie behandelen. Documenten zonder werkende praktijk vallen in de audit door de mand.
• De reikwijdte te groot of te klein kiezen. Te groot maakt het traject zwaar; te klein maakt het certificaat weinig waard voor klanten.
• De directie niet betrekken. Leiderschap is een verplicht onderdeel van de norm.
• Na certificering stoppen. Het ISMS moet blijven werken, met jaarlijkse audits als controle.
• Leveranciers vergeten. Ook externe partijen die met je gegevens werken, horen in het risicobeheer.

Waar let je op als je software laat bouwen?

Ook zonder eigen certificering kun je bij de bouw van een applicatie aansluiten bij de principes van ISO 27001. Een aantal maatregelen uit bijlage A raken direct aan softwareontwikkeling:

1. Toegangsbeheer: rollen en rechten, zodat iedere gebruiker alleen ziet wat nodig is.
2. Encryptie: gegevens versleuteld onderweg en in opslag.
3. Logging: vastleggen wie wat doet, zodat incidenten te onderzoeken zijn.
4. Back-ups: regelmatig, getest en op een aparte plek.
5. Veilig ontwikkelen: code reviews, tests en een gescheiden test- en productieomgeving.
6. Leveranciersbeheer: weten welke externe diensten gegevens verwerken, met verwerkersovereenkomsten.

Werk je voor klanten die zelf ISO 27001-gecertificeerd zijn, dan stellen zij vaak eisen aan hun leveranciers. Vraag die eisen aan het begin van een project op, zodat ze in het ontwerp worden meegenomen.

Wat betekent dit voor jouw project?

Beveiliging begint bij het begrijpen van de informatie die door een proces gaat. Ik kijk daarom eerst naar het proces: wat komt binnen, wie moet ermee verder en welke informatie heeft die persoon nodig? Daaruit volgt welke gegevens gevoelig zijn en wie welke rechten nodig heeft.

Moet een applicatie passen binnen een ISMS of aan eisen van een gecertificeerde klant voldoen, dan is het goed om dat vooraf te weten. Dan kunnen afspraken over toegang, logging, back-ups en hosting in de afbakening van de eerste versie worden meegenomen, in plaats van achteraf.

Moet je applicatie voldoen aan beveiligingseisen van jezelf of je klanten? Stuur me welke eisen er gelden, wie met de applicatie werkt en wat de eerste versie moet oplossen. Dan bepalen we samen de logische eerste stap.

Veelgestelde vragen over ISO 27001

Wat is ISO 27001?

ISO 27001 is de internationale norm voor informatiebeveiliging, met eisen voor een managementsysteem voor informatiebeveiliging (ISMS). Organisaties kunnen zich na een audit door een onafhankelijke instelling laten certificeren.

Wat zijn de eisen van ISO 27001?

De norm eist onder meer een vastgestelde reikwijdte, beleid, betrokkenheid van de directie, een risicoanalyse, interne audits en continue verbetering. Daarnaast kies je uit de 93 beheersmaatregelen van bijlage A de maatregelen die passen bij je risico’s.

Hoe lang is een ISO 27001-certificaat geldig?

Een ISO 27001-certificaat is drie jaar geldig. In die periode vindt elk jaar een controle-audit plaats, en na drie jaar volgt een hercertificering.

Verwante termen

Encryptie · Privacy by design · Verwerkersovereenkomst · Rollen en rechten · SLA · Datasoevereiniteit en EU-hosting