Misschien kwam het woord al eens voorbij in een aanbesteding, een vragenlijst van een klant of een mail van je accountant. ISO 27001 is namelijk een van de bekendste normen op het gebied van informatiebeveiliging. Maar wat houdt het precies in, en wat kan het betekenen voor jouw organisatie? Let us explain.
Wat is ISO 27001 in het kort?
ISO 27001 is een internationale norm die beschrijft hoe je informatiebeveiliging binnen je organisatie goed regelt. Het gaat niet om één firewall of één goed beleidsdocument, maar om een systematische aanpak. Daarin staat welke informatie je hebt, welke risico’s jouw organisatie specifiek loopt, en welke maatregelen je nu al neemt om deze risico's te beperken.
Wat is het ISMS?
In ISO 27001 staat het Information Security Management System centraal. Ookwel bekend als een ISMS. Dat is een managementsysteem voor informatiebeveiliging. Klinkt zwaar, maar het komt neer op een cyclus: plannen, uitvoeren, controleren en bijsturen (Plan-Do-Check-Act). Beveiliging is namelijk geen project dat je één keer afrondt, maar iets wat je blijft herzien, verbeteren en bijsturen.
In de praktijk begin je met het bepalen van de scope: welke systemen, processen en locaties vallen binnen het ISMS? Daarna voer je een risicoanalyse uit en formuleer je passende maatregelen. Die leg je vast in een Statement of Applicability (SoA). Die SoA bepaalt op haar beurt de richting voor je ISMS. Het laat namelijk zien welke maatregelen je toepast, waarom, en ook waarom je sommige juist níet toepast. Naar dat laatste vragen auditors veel vaker dan je misschien zou denken.
Welke maatregelen bevat Annex A?
ISO 27001 bevat een Annex A met maatregelen, de zogenoemde controls. In de versie van 2022 zijn dat er 93, verdeeld over vier thema’s: organisatorisch, mensen, fysiek en technologisch. Denk aan toegangsbeheer, logging en monitoring, back-ups, leveranciersmanagement en de afhandeling van incidenten. Weet wel: het is geen checklist die je letterlijk afvinkt. Je kiest de maatregelen die passen bij jouw risico’s. Wat ook belangrijk is, is dat je die keuzes moet kunnen onderbouwen.
Een voorbeeld: een zorginstelling die met patiëntgegevens werkt, heeft andere risico’s dan een stichting die vooral met donateursgegevens werkt. Beiden kunnen ISO 27001 toepassen, maar de invulling verschilt heel erg.
Moet je ISO 27001 laten certificeren?
ISO 27001 is niet wettelijk verplicht. Je kunt het wel laten certificeren door een geaccrediteerde certificeringsinstelling. Die audit gebeurt in twee fasen: eerst wordt gekeken of je opzet op papier klopt, daarna of het in de praktijk ook werkt. Het certificaat is drie jaar geldig, met jaarlijkse audits om te blijven controleren of je op niveau werkt.
Waarom laten organisaties zich certificeren? Vaak omdat bijvoorbeeld klanten of ketenpartners er – al dan niet expliciet – om vragen. Dat zien we vooral veel gebeuren in sectoren waar met gevoelige data wordt gewerkt. In de zorg bouwt NEN 7510 voort op ISO 27001, en voor overheden is de BIO (Baseline Informatiebeveiliging Overheid) het referentiekader. Ook voor maakbedrijven en logistieke partners die data delen met grote klanten, wordt het steeds vaker een voorwaarde.
En hoe verhoudt ISO 27001 zich tot de Cyberbeveiligingswet?
Deze vraag krijgen we veel. De Cyberbeveiligingswet is de Nederlandse toepassing van de Europese NIS2-richtlijn, officieel in werking sinds 15 augustus 2026. De Cbw stelt eisen aan risicomanagement, incidentmeldingen en de bestuurlijke verantwoordelijkheid. Daarmee is informatiebeveiliging veel meer een organisatie- en bestuursgedragen onderwerp geworden en niet meer alleen de verantwoordelijkheid van IT.
Goed nieuws: ISO 27001 en NIS2 overlappen flink. Een goed ingericht ISMS dekt een groot deel van de NIS2-maatregelen af. Maar let op: een ISO 27001-certificaat garandeert geen compliance aan de Cyberbeveiligingswet. Er zijn extra verplichtingen, zoals de registratieplicht via mijn.ncsc.nl en de meldplicht bij incidenten. Lees er hier meer over.
Hoe begin je met ISO 27001?
Je hoeft niet meteen te certificeren. Begin met iets kleins: bepaal je scope, breng in kaart welke informatie je hebt en waar die staat, en doe een nulmeting om te zien welke maatregelen je al hebt en waar informatiebeveiliging niet gedicht is. Daarmee heb je in ieder geval al een goed beeld van wat er nog moet gebeuren.
Heb je daar de tijd of de interne kennis niet voor? Dan kan een externe CISO uitkomst bieden. Die denkt met je mee, zet je ISMS op, begeleidt je team en houdt het op koers, zonder dat je direct een fulltime CISO hoeft aan te nemen.
Ook interessant als je net begint: lees onze blog over risicoanalyse en vergelijk ISO 27001 met NEN 7510 in ons blog over de zorg.
Conclusie
Moraal van het verhaal? ISO 27001 is een praktische manier om structuur aan te brengen in je informatiebeveiliging, met een duidelijke aanpak die je stap voor stap kunt uitbouwen. Of je het nu wilt certificeren, of gewoon beter wilt weten waar je staat: het begint met de vraag hoe goed je weet wat je moet beschermen.
Wil je weten waar jouw organisatie staat? Neem contact met ons op en we kijken er samen naar!
