ISO 27001 certificering

De ISO 27001 norm is de internationale standaard voor certificering van informatiebeveiligingsmanagementsysteem (ISMS). Met een ISO 27001 certificaat toon je aan dat je informatiebeveiliging systematisch hebt toegepast in je bedrijfsvoering.

De norm bestaat uit een introductie (hoofdstuk 1-3), de certificeringseisen (hoofdstuk 4-10) en een lijst met beveiligingsmaatregelen die in overweging genomen moeten worden (Annex A). 

ISO 27001 is opgebouwd volgens de High Level Structure (HLS). Dit betekent dat de structuur overeenkomt met andere ISO-normen zoals ISO 9001 (kwaliteit) en ISO 14001 (milieu). 

De laatste versie van ISO 27001 is versie 2022. Deze is te bestellen bij www.nen.nl.  

De kosten van een ISO 27001-certificering kunnen sterk verschillen. Dit hangt met name af van de complexiteit van de informatiesystemen en de grootte van de organisatie.

Voor een ISO 27001 kunnen de volgende kostensoorten aan de orde zijn:

ISO 27001 norm

Aanschaffen officiële norm NEN-EN-ISO/IEC 27001:2023 nl - circa € 185

ISO 27001 ondersteuning

De kosten van de ondersteuning zijn afhankelijk van de gewenste vorm van begeleiding en de omvang van de organisatie. Wil je veel zelf doen, al dan niet via training. Of wil je juist veel uitbesteden? Om dit goed te bepalen voeren wij een gratis kennismakingsgesprek en indien nodig een GAP Analyse. 

ISO 27001 Opleiding en Awareness

Het is verstandig om budget vrij te houden voor het opleiden van de security officer, de interne auditor(en) en awarenesstraining voor de medewerkers. Je kunt echter ook besluiten dit uit te besteden aan QVOX. Dit is vaak financieel en kwalitatief aantrekkelijker.

ISO 27001 certificering

De certificerende instantie berekent certificeringskosten. Reken met ongeveer € 1.450 per dag excl. BTW. Een certificering kost de eerste keer minimaal 3 dagen, maar bij grotere bedrijven uiteraard meer. Bij kleine organisaties kost de jaarlijkse vervolgaudit ongeveer 1 dag. Na 3 jaar is er weer een iets uitgebreidere audit. Deze bedragen zijn indicatief.

Beveiligingsmaatregelen

Indien nodig moeten er beveiligingsmaatregelen genomen worden. Denk hierbij aan IT-maatregelen, maar ook aan fysieke maatregelen. De noodzaak om deze maatregelen te nemen zijn afhankelijk van de gekozen doelstellingen, wetgeving, eisen van klanten en risico's.

Software voor ISMS

Een ISMS kun je prima opstellen en bijhouden in een bestaande omgeving, zoals Microsoft365 (Sharepoint of Teams), Google Suite of Confluence. Er zijn ook specifieke softwareapplicaties om het ISMS in bij te houden. Dit is geen must en onze ervaringen zijn wisselend. Ons advies is om het ISMS bij te houden in de applicatie die je dagelijks gebruikt. Dat is een bekende omgeving en scheelt kosten.

Een ISO 27001 certificering neemt gemiddeld 6 - 9 maanden tijd in beslag en bestaat uit de volgende fasen:

1. GAP-analyse: circa 2 weken
2. Risico analyse en ISMS opzetten: circa 2 - 3 maanden
3. Implementatie ISMS en beveiligingsmaatregelen, interne audits en directiebeoordeing: circa 3 maanden
4. Externe audit, audit review door CI en uitreiking certificaat: 4 - 6 weken

Afwijkingen hierop zijn uiteraard mogelijk. Wij kunnen in een persoonlijke kennismaking de mogelijkheden bespreken.  

De juiste ISO 27001 norm is op dit moment versie 2023. De volledige officiële naam is NEN-EN-ISO/IEC 27001:2023 nl. De norm kost ongeveer € 185 en kun je bestellen bij de NEN. 

Versie 2022 is inhoudelijk gelijk aan versie 2023. De titel van de norm is gewijzigd van 2022 in 2023 vanwege Europese erkenning en harmonisatie. In de praktijk worden de termen 2022 en 2023 door elkaar gebruikt. 

De vorige versie van ISO 27001 is die uit 2017. Deze vervalt in 2025. 

Welke eisen bevat ISO 27001, de norm voor informatiebeveiliging? Wij hebben de belangrijkste eisen voor je onder elkaar gezet:

1. De context van de organisatie moet worden bepaald in een contextanalyse. Hierin neem je eisen en verwachtingen van in- en externe belanghebbenden (stakeholders), wetgeving, externe ontwikkelingen en specifieke interne issues die in de organisatie spelen voor informatiebeveiliging op.
2. De scope (toepassingsgebied) van het informatiebeveiligingsmanagementsysteem moet duidelijk zijn vastgesteld. Denk hierbij aan certificaathouder, de locaties en de informatiesystemen die onder de ISO 27001 certificering vallen
3. De directie moet leiderschap tonen door het informatiebeveiligingsbeleid vast te stellen, doelen te bepalen voor informatiebeveiliging, rollen en verantwoordelijkheden te verdelen, middelen ter beschikking te stellen en betrokkenheid te tonen.
4. Risico’s en kansen moeten voor de organisatie worden vastgesteld. Ook moeten de noodzakelijke maatregelen worden bepaald, gepland en geïmplementeerd. Voor de risico analyse moet een procedure zijn vastgesteld, zodat toekomstige risico analyses gelijkwaardige resultaten opleveren. Ook zijn de uitkomsten van de risico analyse input voor Verklaring van toepasselijkheid (de maatregelen uit appendix A\ISO 27002).
5. De beheersdoelen en maatregelen uit Appendix A van de normen moeten worden beoordeeld op relevantie, toepasselijk worden verklaard en waar vereist gedocumenteerd en geïmplementeerd. Dit is een belangrijk aspect van de ISO 27001 certificering.
6. Ondersteunende processen met betrekking tot o.a. bewustzijn en competenties van personeel, inzet van middelen, infrastructuur, meetmiddelen, communicatie en documentatie moeten worden bepaald en ingevoerd.
7. Het primaire proces moet voorzien in producten en diensten rekening houdend met de voorgaande onderwerpen uit de risico analyse.
8. Meting en monitoring, o.a. via het meten van informatiebeveiligingsdoelen en KPI (Kritische Prestatie Indicatoren), incidenten, meten van informatiebeveiligingsprocessen, uitvoeren van interne audits
9. Evaluaties, zoals de directiebeoordeling, effectiviteit van maatregelen uit de appendix/risicobeoordeling en geleverde informatiebeveiligingsprestaties.
10. Leren van fouten, klachten, afwijkingen en treffen van corrigerende maatregelen.
11. Realiseren van verbeteringen.

De certificering voor ISO 27001 ziet er als volgt uit: 

1. Nadat er een contract met een certificerende instantie (CI) is getekend plant de CI 2 auditmomenten in voor de fase 1 (documenten) en fase 2 (implementatie) beoordeling.
2. Je ontvangt van de certificerende instantie een auditplanning voor fase 1 en fase 2. Dit bestaat uit een bevestiging van de datum en een voorstel voor het auditprogramma. 
3. Tijdens het fase 1 bezoek wordt beoordeeld of het ISMS klaar is voor de audit. Als dit positief wordt afgesloten kan het fase 2 bezoek plaatsvinden.
4. Tijdens het fase 2 bezoek wordt de toepassing van het ISMS en de beveiligingsmaatregelen beoordeeld door middel van interviews en een rondgang over de locatie. Hierbij wordt aandacht gegeven aan de organisatie van de informatiebeveiliging, de menselijke factor, technische maatregelen en fysieke beveiliging. Aan het eind van deze audit krijg je het oordeel van de auditor.
5. Je ontvangt binnen circa een week het auditrapport met het oordeel en eventuele acties.
6. Het rapport van de auditor wordt door de certificerende instantie beoordeeld en binnen enkele weken ontvang je het officiële certificaat dat 3 jaar geldig is.
7. Na de eerste certificering vinden er jaarlijks geplande herbeoordelingen plaats en worden projecten bezocht.

ISO 27001 is geschikt voor iedere organisatie die informatiebeveiliging systematisch wil borgen in relatie tot de eisen van hun klanten en stakeholders, wetgeving en risico’s.

Organisaties die ISO 27001 toepassen zijn onder andere organisaties die informatie verwerken die onder de Algemene Verordening Gegevensbescherming vallen, zoals datacenters, web-/softwaredevelopers, serviceproviders en verzekeraars. Maar ook financiële instellingen, energiemaatschappijen, installatiebedrijven en andere organisaties met persoonsinformatie krijgen te maken met ISO 27001.

Voor zorgorganisaties is in Nederland NEN 7510 gepubliceerd. Dit is een variant op ISO 27001 met zorgspecifieke eisen. Voor Nederlandse overheden is de BIO ontwikkeld, ook dat is een variant op ISO 27001. Ook andere branche normen hebben vaak een link of een overlap met ISO 27001. 

Informatiebeveiliging en cybersecurity worden steeds belangrijker. ISO 27001 biedt een framwork om hier systematisch mee om te gaan. Dit heeft als voordeel dat je tot een goed doordachte aanpak van informatiebeveiligingsrisico's komt én dat je dit op een internationaal erkende manier kunt laten certificeren.

Het gebruik van ISO 27001 is ook een goede basis om te voldoen aan NIS2, AVG (GDPR), NEN 7510 en SOC1/2. Veel maatregelen uit ISO 27001 worden ook als eis in verwerkingsovereenkomsten genoemd. Tenslotte is ISO 27001 een van de meest voorkomende nieuwe eisen bij opdrachtgevers en in aanbestedingen.