ISO 27001 implementeren, van nulmeting tot certificaat.
Van nul naar een certificeerbaar ISMS.
Wat is het?
We helpen je een Information Security Management System (ISMS) op te zetten dat voldoet aan ISO/IEC 27001:2022: van risicobeoordeling en Statement of Applicability tot beleid, maatregelen en de PDCA-cyclus. Praktisch en passend bij hoe je echt werkt, zodat het certificaat niet los komt te staan van de dagelijkse praktijk. Omdat we zelf auditors zijn, weten we wat een certificerende instelling wil zien. We bouwen je ISMS daar vanaf dag één op.
Voor wie?
Voor organisaties die ISO 27001-certificering nastreven en begeleiding willen die verder gaat dan een stapel documenten. Vaak omdat een klant of aanbesteding om een certificaat vraagt, omdat NIS2 en de Cyberbeveiligingswet eraan komen, of omdat je informatiebeveiliging eindelijk structureel wilt regelen in plaats van per incident.
Wat het oplevert.
- Een certificeerbaar ISMS dat voldoet aan ISO/IEC 27001:2022
- Risicobeoordeling, Statement of Applicability, beleid en maatregelen
- Begeleiding tot en met de pre-assessment
- Een werkend systeem dat past bij hoe je echt werkt
Kosten en doorlooptijd.
Reken voor een gemiddelde organisatie op 6 tot 12 maanden van start tot certificaat. Het inrichten zelf kost vaak 3 tot 6 maanden. Daarna moet het ISMS een periode draaien, zodat de certificerende instelling (CI) kan zien dat het werkt: registraties, een afgeronde interne audit en een directiebeoordeling. Hoe verder je al bent, hoe korter het traject. Daarom beginnen we altijd met een gap-analyse.
De totale kosten van een ISO 27001-traject bestaan uit drie delen:
- Onze begeleiding: afhankelijk van je startpunt, de scope van je ISMS en hoeveel je zelf wilt doen. Na de gap-analyse krijg je een offerte met een vaste prijs.
- De certificerende instelling: die rekent apart voor de stage 1- en stage 2-audit en daarna jaarlijks voor de surveillance-audits. Het aantal auditdagen hangt onder meer af van het aantal medewerkers binnen de scope.
- Je eigen tijd: een ISMS werkt alleen als je eigen mensen het dragen. Reken op een interne eigenaar en op korte sessies met proceseigenaren.
Wat de certificerende instelling wil zien.
Een CI certificeert geen stapel documenten, maar een systeem dat aantoonbaar werkt. Bij de certificeringsaudit vraagt de auditor in elk geval naar:
- De scope van je ISMS (clausule 4.3) en je informatiebeveiligingsbeleid (5.2)
- Je risicobeoordeling en risicobehandeling (6.1.2 en 6.1.3), inclusief de Statement of Applicability
- Meetbare doelstellingen voor informatiebeveiliging (6.2)
- Bewijs van competentie en bewustwording van je medewerkers (7.2 en 7.3)
- Een afgeronde interne audit (9.2) en directiebeoordeling (9.3)
- Hoe je omgaat met afwijkingen en corrigerende maatregelen (10.2)
Wij richten het ISMS zo in dat je dit allemaal kunt laten zien. De interne audit kunnen we desgewenst ook verzorgen; lees meer over onze ISO 27001 interne audit. Wil je zelf eerst een beeld van de route? Bekijk dan onze checklist voor je eerste ISO 27001-certificering.
Waar het vaak misgaat.
ISO 27001-trajecten lopen vaak op dezelfde punten vast. Daar houden we vanaf het begin rekening mee:
- Een documentatieproject in plaats van een verbetertraject. Beleid dat niemand leest, procedures die niemand volgt. Het certificaat komt er misschien, maar bij de eerste surveillance-audit valt het door de mand.
- Een te brede of te smalle scope. Alles meenemen maakt het traject onnodig zwaar. Te weinig meenemen levert een certificaat op dat je klanten niet overtuigt.
- Een risicobeoordeling als formaliteit. De risicobeoordeling is de motor van je ISMS. Wie maatregelen afvinkt zonder zijn risico's te kennen, investeert op de verkeerde plekken.
- Te laat beginnen met laten draaien. De CI wil zien dat het systeem werkt. Zonder registraties, interne audit en directiebeoordeling kom je niet door stage 2.
Omdat we zelf IT-auditor zijn, weten we hoe een auditor naar je ISMS kijkt. Die blik nemen we mee in elke stap, zodat de certificeringsaudit geen verrassingen oplevert.
Certificaat of assurance-rapport?
ISO 27001 is de norm waarvoor je een certificaat krijgt. Vragen je klanten om SOC 2 of ISAE 3402, dan vragen ze iets anders: een assurance-rapport met een oordeel over je beheersmaatregelen, geen certificaat. Een goed ingericht ISMS is wel een sterke basis voor zo'n rapport. Meer daarover lees je bij SOC 2-audit en ISAE 3402-verklaring.
Onze aanpak.
-
Kennismaking & scoping
We bespreken waarom je ISO 27001 wilt en bakenen samen de scope van je ISMS af: welke organisatieonderdelen, locaties, processen en systemen horen erbij.
-
Gap-analyse
We bepalen waar je staat ten opzichte van ISO/IEC 27001:2022 en de Annex A-maatregelen, en wat er nodig is om te voldoen. Je krijgt een plan met een vaste prijs.
-
Risicobeoordeling & SoA
We brengen je risico's in kaart, bepalen hoe je ze behandelt en leggen in de Statement of Applicability vast welke maatregelen van toepassing zijn.
-
Inrichten
We richten beleid, procedures en maatregelen in, samen met je team, niet erbuiten. Zo past het ISMS bij hoe je echt werkt.
-
Laten draaien
Het ISMS gaat werken: registraties bijhouden, incidenten afhandelen, metingen doen. Daarna volgen de interne audit en de directiebeoordeling.
-
Naar certificering
We bereiden je voor op de stage 1- en stage 2-audit van de certificerende instelling en helpen je eventuele bevindingen snel op te lossen.
Veelgestelde vragen.
- Hoe lang duurt een ISO 27001-implementatie?
- Voor een gemiddelde organisatie 6 tot 12 maanden van start tot certificaat, afhankelijk van je startpunt en de omvang van je scope. Het inrichten kost vaak 3 tot 6 maanden; daarna moet het ISMS een periode draaien voordat de certificeringsaudit plaatsvindt.
- Wat kost ISO 27001 implementeren?
- De kosten bestaan uit onze begeleiding, de certificerende instelling en de tijd van je eigen mensen. Onze begeleiding hangt af van je startpunt en scope; na de gap-analyse krijg je een offerte met een vaste prijs. De certificerende instelling rekent apart.
- Doen jullie ook de certificering zelf?
- Nee. De certificering wordt uitgevoerd door een onafhankelijke certificerende instelling. Wij begeleiden je richting die audit en doen desgewenst de interne audit.
- Wat is de Statement of Applicability?
- De SoA legt vast welke Annex A-maatregelen van toepassing zijn en waarom, of waarom niet. Het is een kerndocument dat de certificerende instelling als eerste bekijkt.
- Wat is het verschil tussen stage 1 en stage 2?
- In stage 1 beoordeelt de certificerende instelling of je klaar bent: je scope, documentatie, risicobeoordeling en of de interne audit en directiebeoordeling zijn gepland en uitgevoerd. In stage 2 toetst de CI of je ISMS in de praktijk werkt zoals beschreven. Na een positieve stage 2 krijg je het certificaat.
- Moet ik ISO 27001:2022 gebruiken?
- Ja. De overgangsperiode voor certificaten op de versie uit 2013 is op 31 oktober 2025 afgelopen. Nieuwe certificaten worden alleen nog afgegeven tegen ISO/IEC 27001:2022.
- Hoeveel tijd kost het onze eigen mensen?
- Dat hangt af van hoeveel je zelf wilt doen. Wij nemen voorbereidend werk en schrijfwerk zoveel mogelijk over, maar een ISMS werkt alleen als je organisatie het draagt. Reken op een interne eigenaar, vaak de security officer of IT-manager, en op korte sessies met proceseigenaren.
- Ben ik met ISO 27001 ook klaar voor NIS2?
- Voor een groot deel. ISO 27001 dekt veel van de zorgplicht uit NIS2 en de Cyberbeveiligingswet, maar niet alles: de meldplicht en de verantwoordelijkheid van bestuurders vragen extra aandacht. Onze NIS2 / Cbw gap-analyse laat zien wat er nog mist.