ISO 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging. De actuele versie is ISO/IEC 27001:2022, met 93 beheersmaatregelen in bijlage A. Certificering is niet wettelijk verplicht maar wordt vaak contractueel geëist. Een eerste traject kost doorgaans zes tot twaalf maanden en een certificaat is drie jaar geldig.
Laatst bijgewerkt op
ISO/IEC 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging. De norm beschrijft niet welke firewall je moet kopen. Hij beschrijft hoe je structureel bepaalt welke informatie bescherming nodig heeft, welke risico's je loopt, welke maatregelen daarbij passen en hoe je controleert of die werken.
De actuele versie is ISO/IEC 27001:2022, gepubliceerd in oktober 2022. In Nederland verschijnt hij als NEN-EN-ISO/IEC 27001, uitgegeven door NEN. Een amendement uit 2024 noemt klimaatverandering expliciet als mogelijk relevant onderwerp in de contextanalyse, zonder de structuur van de norm te wijzigen.
Naast 27001 bestaat ISO/IEC 27002. Dat is geen certificeerbare norm maar een handleiding die per beheersmaatregel uitlegt wat de bedoeling is. Je certificeert tegen 27001 en gebruikt 27002 als naslagwerk.
De eisen waar een auditor je op toetst staan in de hoofdstukken 4 tot en met 10. Die gaan over de context van de organisatie, leiderschap, planning, ondersteuning, uitvoering, evaluatie van de prestaties en verbetering. Aan al die hoofdstukken moet je voldoen. Er zit geen keuzemenu in.
Bijlage A is wel een keuzemenu, maar een verantwoord keuzemenu. De 2022-versie bevat 93 beheersmaatregelen, verdeeld over vier thema's: organisatorisch, mensen, fysiek en technologisch. De 2013-versie had er 114. Er is minder geschrapt dan dat verschil suggereert: veel maatregelen zijn samengevoegd en er kwamen elf nieuwe bij, waaronder dreigingsinformatie, cloudbeveiliging, datalekpreventie en veilig ontwikkelen.
Per beheersmaatregel uit bijlage A leg je vast of je hem toepast en waarom wel of niet. Dat document heet de Verklaring van Toepasselijkheid, vaak afgekort tot VvT of SoA. Het is een verplicht document en meestal het eerste dat een auditor opvraagt.
De VvT is ook het punt waar veel trajecten scheef lopen. Alle 93 maatregelen op van toepassing zetten omdat dat veiliger voelt maakt de rest van je traject onnodig zwaar, en een uitsluiting die je niet onderbouwt levert een bevinding op. De onderbouwing moet terug te voeren zijn op je risicobeoordeling.
Nee, niet wettelijk. Er is geen Nederlandse of Europese wet die ISO 27001 met naam en toenaam voorschrijft voor het bedrijfsleven in het algemeen. Toch komen de meeste trajecten niet uit vrije wil voort maar uit een aanbesteding, een klantcontract of een leveranciersvragenlijst.
Dat onderscheid is belangrijk voor je planning. Een verplichting uit een wet heeft een datum. Een verplichting uit een contract heeft een klant met een deadline, en die deadline is meestal korter dan het traject dat erbij hoort.
De echte wettelijke plichten komen uit andere hoeken. De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, legt een zorgplicht op zonder een norm voor te schrijven. De AVG verplicht tot passende technische en organisatorische maatregelen, ook zonder norm. DORA doet hetzelfde voor de financiële sector.
ISO 27001 is in al die gevallen een middel en geen eis, maar wel een handig middel: het managementsysteem levert precies het bewijsmateriaal waar die wetten om vragen. In onze gidsen over NIS2, de AVG en DORA staat per wet wat er los van de norm bij komt kijken.
De vraag "wat kost ISO 27001" wordt bijna altijd beantwoord met alleen de auditprijs, en dat is het kleinste deel. De totale kosten bestaan uit drie stapels: de certificerende instelling, de implementatie en het onderhoud daarna.
De auditkosten zijn nog het best voorspelbaar. Certificerende instellingen leiden het aantal auditdagen af uit een internationaal afgesproken tabel op basis van het aantal medewerkers binnen de scope, gecorrigeerd voor complexiteit, locaties en risico.
De implementatiekosten zijn meer een keuze dan een prijs. Het verschil tussen 15.000 en 100.000 euro zit zelden in de norm en bijna altijd in hoeveel je uitbesteedt en hoeveel er nog echt gebouwd moet worden.
| Kostenpost | Indicatie | Waar het van afhangt |
|---|---|---|
| Certificeringsaudit (fase 1 en fase 2) | 6.000 tot 15.000 euro | Aantal medewerkers en locaties binnen de scope, complexiteit, dagtarief van de instelling |
| Jaarlijkse controle-audit | Ongeveer een derde van de initiële audit, per jaar | Twee keer binnen de certificaatperiode van drie jaar |
| Hercertificering na drie jaar | Iets onder de initiële audit | Volledige herbeoordeling, korter dan de eerste keer |
| Implementatie met externe begeleiding | 20.000 tot 60.000 euro eenmalig | Hoeveel beleid, processen en bewijs er al ligt en hoeveel je zelf doet |
| Interne inzet | 0,2 tot 0,5 fte gedurende het traject | De grootste post op de meeste begrotingen, en de post die het vaakst wordt vergeten |
| Techniek en tooling | Sterk wisselend | Logging, back-uptesten, toegangsbeheer en multifactorauthenticatie die er nog niet zijn |
| Onderhoud na certificering | 0,1 tot 0,3 fte per jaar | Interne audits, directiebeoordeling, actualiseren van risico-analyse en bewijs |
Drie posten worden structureel onderschat. De interne uren, want een managementsysteem bouw je niet met een adviseur alleen: elke procesverantwoordelijke levert input. Het bewijs, want beleid schrijven gaat snel maar aantonen dat een back-up echt teruggezet is en dat het toegangsoverzicht klopt kost meer tijd dan het schrijven. En het jaar na de certificering: een certificaat is drie jaar geldig, maar alleen als interne audits, directiebeoordeling en risicobeoordeling blijven lopen.
Een eerste traject loopt in de praktijk in acht stappen. De volgorde is niet vrijblijvend: elke stap levert het materiaal waar de volgende op leunt.
| Moment | Wat er gebeurt | Termijn |
|---|---|---|
| Fase 1 | Documentbeoordeling: scope, beleid, risicobeoordeling, Verklaring van Toepasselijkheid en de vraag of je klaar bent voor fase 2 | Meestal enkele weken voor fase 2 |
| Fase 2 | Implementatie-audit op locatie of op afstand: werkt het systeem in de praktijk en is er bewijs | Doorgaans een tot enkele dagen, afhankelijk van omvang |
| Afwijkingen oplossen | Correcties en corrigerende maatregelen op de bevindingen, met bewijs van opvolging | Meestal binnen enkele maanden na fase 2 |
| Certificaatverlening | Het certificaat wordt afgegeven na goedkeuring van de opvolging | Drie jaar geldig |
| Controle-audit | Steekproef op de werking van het systeem en op de afhandeling van eerdere bevindingen | Jaarlijks, twee keer binnen de cyclus |
| Hercertificering | Volledige herbeoordeling van het hele managementsysteem | In het derde jaar, voor het aflopen van het certificaat |
Voor een organisatie die bij nul begint is zes tot twaalf maanden realistisch tot aan fase 2. Ligt er al een werkend beveiligingsbeleid, een risicoanalyse en een leveranciersproces, dan kan het in drie tot zes maanden. Onder de drie maanden wordt het krap, niet vanwege de administratie maar omdat een auditor bewijs over een periode wil zien.
Plan achterwaarts vanaf de datum waarop het certificaat er moet zijn, en houd rekening met twee dingen die niet te versnellen zijn: de wachttijd bij de certificerende instelling en de tijd tussen fase 2 en de afgifte.
Certificeren mag alleen een certificerende instelling, niet je adviseur. Dezelfde partij mag je ook niet eerst adviseren en daarna certificeren: dat is een onafhankelijkheidsconflict.
Kies een instelling die geaccrediteerd is door de Raad voor Accreditatie of een gelijkwaardige buitenlandse accreditatie-instelling. Een certificaat zonder accreditatie is goedkoper en wordt in aanbestedingen regelmatig geweigerd.
Organisaties die al voor 2022 gecertificeerd waren, moesten over naar de 2022-versie. De internationaal afgesproken overgangsperiode liep tot en met 31 oktober 2025. Certificaten tegen de 2013-versie zijn daarna niet langer geldig.
Zit je nog met documentatie die op de 2013-structuur is gebouwd, dan is het werk vooral hertaalwerk: de veertien hoofdstukken van de oude bijlage A worden vier thema's en je VvT gaat naar de nieuwe nummering. Inhoudelijk komen de elf nieuwe beheersmaatregelen erbij.
Bijna niemand doet ISO 27001 in isolatie. De meeste organisaties hebben er tegelijk een of meer wettelijke verplichtingen naast liggen, en dan is de vraag niet welke je kiest maar hoeveel werk je dubbel doet. Het antwoord: minder dan het lijkt, mits je het bewijs één keer aanlegt en aan meerdere eisen koppelt. Een getest back-upproces is bewijs voor de zorgplicht uit NIS2, voor de beveiligingsplicht uit de AVG en voor beheersmaatregelen uit bijlage A tegelijk.
De eerste stap is niet de norm kopen en ook niet een certificerende instelling bellen. Het is weten hoe groot het gat is, want dat bepaalt of je over drie of over twaalf maanden kunt certificeren.
De technische buitenkant van je organisatie kun je nu al toetsen. Onze gratis domeinscan controleert TLS, security headers, DNSSEC, e-mailbeveiliging en een reeks andere publiek zichtbare instellingen, en laat zien welke daarvan meetellen als bewijs voor beheersmaatregelen uit ISO 27001 en voor de zorgplicht uit NIS2.
Wil je weten hoeveel werk de rest is, reken het dan door zonder account. Je krijgt de werklast per onderwerp op basis van je sector en omvang, en je ziet in welke volgorde het werk logisch loopt.
Twee manieren om dit concreet te maken, allebei zonder account.
Deze gids is informatief en geen juridisch advies. Raadpleeg bij twijfel de wettekst of een jurist.
Begin zelf met het platform of ga de diepte in met onze mensen. Allebei brengen ze je ICT in control.