Binnen no time ISO 27001 gecertificeerd

ISO 27001 is de internationale norm voor informatiebeveiliging. De norm beschrijft hoe een organisatie een informatiebeveiligingsmanagementsysteem (ISMS) opzet, uitvoert en blijft verbeteren. ISO staat voor International Organization for Standardization, 27001 is het nummer van de norm. Een organisatie met ISO 27001 laat zien dat ze haar informatie aantoonbaar beschermt tegen verlies, misbruik en cyberincidenten.

ISO 27001 is bedoeld voor iedere organisatie die informatie veilig en aantoonbaar wil beheren, ongeacht omvang of sector. De norm is relevant voor onder meer IT-bedrijven, zorginstellingen, overheden, financiële dienstverleners, productiebedrijven en zakelijke dienstverleners. Ook kleine organisaties kunnen zich certificeren, bijvoorbeeld wanneer zij gevoelige gegevens verwerken, beveiligingsrisico’s willen beheersen of moeten voldoen aan eisen van klanten en aanbestedingen.

Organisaties kiezen voor ISO 27001 om informatiebeveiligingsrisico’s structureel te beheersen en aantoonbaar zorgvuldig met gegevens om te gaan. De norm helpt bij het voorkomen en beperken van datalekken, cyberincidenten en uitval. Certificering versterkt bovendien het vertrouwen van klanten en ketenpartners, ondersteunt naleving van beveiligingseisen en kan noodzakelijk zijn om mee te doen aan aanbestedingen of nieuwe opdrachten te verkrijgen.

Een ISO 27001 ISMS werkt als een doorlopende verbetercyclus voor informatiebeveiliging. De organisatie bepaalt de scope, brengt risico’s in kaart en kiest passende organisatorische, personele, fysieke en technische maatregelen. Beleid, verantwoordelijkheden en registraties worden vastgelegd en toegepast. Met controles, interne audits en de directiebeoordeling wordt vastgesteld of het systeem werkt. Afwijkingen en nieuwe risico’s leiden vervolgens tot verbeteracties.

ISO 27001 stelt eisen aan het opzetten, uitvoeren, controleren en voortdurend verbeteren van een ISMS. De organisatie moet onder meer de scope bepalen, informatiebeveiligingsrisico’s beoordelen, passende maatregelen kiezen en verantwoordelijkheden vastleggen. Ook zijn bewustwording, documentatie, monitoring, interne audits, een directiebeoordeling en corrigerende maatregelen vereist. Welke beveiligingsmaatregelen nodig zijn, hangt af van de organisatie, haar risico’s en toepasselijke wettelijke of contractuele eisen.

Een ISO 27001-certificaat behaal je door eerst de scope en huidige situatie vast te stellen. Daarna voer je een risicoanalyse uit, richt je het ISMS in en implementeer je passende beveiligingsmaatregelen. Vervolgens controleer je de werking via een interne audit en directiebeoordeling. Een onafhankelijke certificerende instelling voert daarna de certificeringsaudit in twee fasen uit. Bij een positief oordeel ontvangt de organisatie het certificaat.

Een ISO 27001-audit verloopt systematisch en bestaat bij de eerste certificering uit twee fasen. In fase één beoordeelt de certificerende instelling de documentatie, scope en gereedheid van het ISMS. In fase twee controleert de auditor met gesprekken, observaties en steekproeven of beleid en beveiligingsmaatregelen daadwerkelijk worden toegepast. Eventuele afwijkingen moeten worden opgelost voordat de organisatie het certificaat kan ontvangen.

ISO 27001 is in de meeste gevallen niet wettelijk verplicht. Een certificaat kan wel als contractvoorwaarde of aanbestedingseis worden gevraagd door klanten en opdrachtgevers. De AVG en de Cyberbeveiligingswet verplichten bepaalde organisaties tot passende informatiebeveiliging, maar schrijven niet algemeen een ISO 27001-certificaat voor. Certificering helpt wel om beveiligingsmaatregelen en structurele risicobeheersing aantoonbaar te maken.

Diks Process Support begeleidt vanuit Boxtel organisaties in Nederland en België bij alle stappen om ISO 27001 te behalen. QMonkeys, Direct-Effect, Ideo en BlueHike doorliepen met deze begeleiding een ISO 27001-traject. Je bepaalt de scope, voert een nulmeting en risicoanalyse uit, bouwt het managementsysteem voor informatiebeveiliging op en implementeert maatregelen. Daarna volgen de interne audit, directiebeoordeling en certificeringsaudit door een onafhankelijke certificatie-instelling.

Na de eerste certificeringsaudit volgt bij ISO 27001 normaal elk jaar een surveillanceaudit en elke drie jaar een hercertificeringsaudit. Dit volgt niet uit de wet, maar uit de certificatieregels bij ISO/IEC 27001 en ISO/IEC 17021-1. Organisaties zonder certificaat hoeven deze externe audits niet te doen, tenzij een opdrachtgever of contract certificering vereist.

ISO/IEC 27001:2022 bevat 93 controls, maar die zijn niet automatisch allemaal verplicht. Paragraaf 6.1.3 en Annex A vereisen dat je op basis van risico’s bepaalt welke maatregelen nodig zijn en dit vastlegt in de Verklaring van Toepasselijkheid. Voor organisaties waarop specifieke wetgeving, toezichtregels, contracten of opdrachtgeverseisen gelden, kunnen bepaalde controls wel verplicht zijn.

Een ISMS (Information Security Management System) is een managementsysteem waarmee je informatiebeveiliging structureel beheert en verbetert. Het is de basis voor ISO 27001-certificering. Je zet een ISMS op in zes stappen: 1. Bepaal de scope, context en verantwoordelijken. 2. Breng informatie, dreigingen en risico's in kaart. 3. Kies passende beheersmaatregelen en leg ze vast in de Verklaring van Toepasselijkheid. 4. Stel beleid en procedures op en voer de maatregelen uit. 5. Controleer de werking met monitoring, een interne audit en directiebeoordeling. 6. Corrigeer afwijkingen en verbeter het ISMS continu.

Een externe CISO is een ingehuurde Chief Information Security Officer die tijdelijk of parttime de regie over informatiebeveiliging voert. Deze specialist helpt met risicobeheersing, beleid, een ISMS, audits en eisen zoals ISO 27001 en NIS2. Diks Process Support, gespecialiseerde cybersecurityadviesbureaus en interim-bureaus bieden deze dienst aan. Dit past bij organisaties zonder eigen CISO of met tijdelijk behoefte aan extra expertise.

ISO 27001 is een internationale norm voor het beheersen van informatiebeveiligingsrisico’s. Nee, een ISO 27001-certificaat betekent niet automatisch dat je aan de AVG voldoet. De norm helpt om passende beveiligingsmaatregelen structureel te organiseren. De AVG geldt voor organisaties die persoonsgegevens verwerken en stelt daarnaast privacy-eisen, zoals een wettelijke grondslag, transparantie en rechten van betrokkenen.

Een interne audit binnen ISO 27001 is een systematisch onderzoek naar de werking en betrouwbaarheid van het ISMS en de bijbehorende processen. Een onafhankelijke interne medewerker of ingehuurde auditor controleert of de organisatie de norm, het eigen beleid en vastgestelde maatregelen naleeft. De bevindingen maken afwijkingen en verbeterpunten zichtbaar voordat de externe certificeringsaudit plaatsvindt.

Een ISO 27001-certificaat wordt afgegeven door een geaccrediteerde certificerende instelling, zoals DNV, TÜV, BSI of Bureau Veritas. Zo'n instelling is erkend door een nationale accreditatieorganisatie en werkt volgens ISO 17021. Een interne audit of een adviseur volstaat niet: voor certificering is een externe audit door een onafhankelijke, geaccrediteerde instantie verplicht. Wil je controleren of een bedrijf gecertificeerd is? Vraag het certificaatnummer op en zoek het op in de online database van de uitgevende instelling.

Een ISO 27001-certificaat is drie jaar geldig vanaf de afgiftedatum. In jaar één en jaar twee volgt een surveillance-audit. Die is minder uitgebreid dan de certificeringsaudit, maar toetst wel of je ISMS nog effectief werkt. Ongeveer zes maanden voordat het certificaat verloopt, start je de hercertificering: een volledige audit in twee fasen door een geaccrediteerde certificeringsinstelling. Bij een positief resultaat ontvang je een nieuw certificaat voor de volgende drie jaar.