ISO 27001-eisen per hoofdstuk en de maatregelen uit Annex A

De eisen aan je bedrijf staan in hoofdstuk 4 tot en met 10 en in Annex A. Hoofdstuk 1 tot en met 3 zeggen alleen waar de norm over gaat. Voor de begrippen verwijzen ze naar ISO/IEC 27000. Samen beschrijven de eisen een managementsysteem voor informatiebeveiliging. Dat heet kort ISMS. Het is een vaste manier om de vertrouwelijkheid, integriteit en beschikbaarheid van je informatie te bewaken. Je gebruikt daarvoor risicomanagement.

De twee delen werken anders:

De hoofdstukken volgen de vaste opbouw die ISO voor al zijn normen voor managementsystemen gebruikt. Dat heet de geharmoniseerde structuur. De koppen zijn gelijk, en de tekst is deels gelijk aan ISO 9001. Heb je al een ISO 9001-certificaat? Dan herken je hoofdstuk 4, 5, 7, 9 en 10. De norm zegt er zelf bij dat de volgorde van de eisen niets zegt over hun belang. De volgorde zegt ook niets over de volgorde waarin je ze invoert.

Hoofdstuk 4 vraagt dat je weet in welke omgeving je werkt. Ook vraagt het wat er onder je ISMS valt. Je bepaalt welke zaken binnen en buiten je bedrijf je informatiebeveiliging raken. Je kijkt ook of klimaatverandering voor jou een rol speelt. Je bepaalt wie er belang bij heeft, zoals klanten, leveranciers en toezichthouders. Je legt vast wat zij van je vragen. Je bepaalt welke van die eisen je met je ISMS invult. Daarna leg je het toepassingsgebied vast, de scope. Dat zijn de afdelingen, locaties, systemen en diensten die eronder vallen. Je legt ook vast waar je afhankelijk bent van anderen.

De auditor wil zien dat je scope klopt met wat hij in je bedrijf ziet. Een softwarebedrijf dat zijn klantdata bij een hostingpartij onderbrengt, moet die afhankelijkheid noemen. Ook als de server niet in eigen huis staat.

Hoofdstuk 5 legt de verantwoordelijkheid bij de directie. De leiding stelt een informatiebeveiligingsbeleid vast. Dat beleid past bij het doel van het bedrijf. De leiding zorgt ook voor de middelen. En zij verdeelt wie waarvoor verantwoordelijk is. Het beleid communiceer je binnen het bedrijf. Waar dat past, communiceer je het ook naar belanghebbenden.

De auditor wil van de directeur zelf horen hoe beveiliging meeweegt in beslissingen. Ligt alles bij de IT-beheerder? En weet de leiding niet welke risico's zijn geaccepteerd? Dan is dat een zwakke plek.

Hoofdstuk 6 is het hart van ISO 27001. Hier beoordeel en behandel je je informatiebeveiligingsrisico's. Leg eerst vast hoe je risico's beoordeelt. Leg ook vast wanneer je een risico accepteert. Zo komt een herhaling of een andere beoordelaar tot vergelijkbare uitkomsten. Daarna zoek je per risico uit wat er mis kan gaan. Dat kan gaan om vertrouwelijkheid, integriteit of beschikbaarheid. Je bepaalt wie de eigenaar is. Je bepaalt hoe groot de kans en de gevolgen zijn. En je bepaalt welke risico's eerst aandacht krijgen.

Voor elk risico kies je wat je doet. Je kiest ook welke maatregelen daarvoor nodig zijn. Die vergelijk je met Annex A. Zo mis je geen nodige maatregel. Je legt het resultaat vast in twee stukken. Het eerste is de verklaring van toepasselijkheid. Het tweede is het risicobehandelplan. De risico-eigenaren keuren dat plan goed. Ze keuren ook de risico's goed die overblijven. Verder stel je meetbare doelen voor informatiebeveiliging. En je plant wijzigingen in het ISMS, voordat je ze doorvoert.

Hoofdstuk 7 gaat over wat je nodig hebt om het ISMS te laten werken. Je hebt mensen en middelen nodig. De mensen moeten bekwaam zijn voor hun taak. Ze moeten ook weten wat het beleid voor hun werk betekent. Je maakt afspraken over wat je wanneer aan wie communiceert. En je beheert de stukken die je vastlegt.

De auditor vraagt hier vaak een medewerker wat hij doet als hij een verdachte mail krijgt. Weet die dat, dan zegt dat meer dan een getekende verklaring. Daarin staat dat hij de training heeft gevolgd.

Hoofdstuk 8 vraagt dat je doet wat je in hoofdstuk 6 hebt gepland. Je beheerst je processen. Dat geldt ook voor processen die je bij een leverancier hebt neergelegd. Je herhaalt de risicobeoordeling op vaste momenten. Je doet dat ook zodra er iets wezenlijks verandert. Denk aan een nieuwe clouddienst of een nieuwe vestiging. Het risicobehandelplan voer je uit. Van beide bewaar je de uitkomsten.

Hoofdstuk 9 vraagt dat je zelf controleert of het ISMS werkt. Je bepaalt wat je meet. Denk aan het aantal incidenten of aan hoe snel je beveiligingsupdates installeert. Je bepaalt ook wie de cijfers beoordeelt. Je houdt een interne audit. Je houdt ook een directiebeoordeling, de management review. Daarin kijkt de leiding of het systeem doet wat het moet doen.

In fase 1 van de certificeringsaudit kijkt de auditor of beide gepland zijn en lopen. In fase 2 toetst hij ze opnieuw.

Hoofdstuk 10 vraagt dat je fouten bij de oorzaak aanpakt. Ook vraagt het dat je het ISMS blijft verbeteren. Gaat er iets mis? Denk aan een datalek of een gemiste afspraak uit je beleid. Dan los je het op. Daarna zoek je uit waarom het gebeurde. Je neemt een maatregel die herhaling voorkomt. Ten slotte controleer je of die maatregel werkte.

Annex A telt 93 maatregelen, verdeeld over vier thema's. De lijst komt uit ISO/IEC 27002. Dat is een aparte norm. Per maatregel legt die uit hoe je hem invult. Je kunt niet tegen ISO 27002 certificeren.

Annex A is een referentielijst. Het is geen volledige lijst. Heb je een risico dat geen van de 93 maatregelen dekt? Dan neem je een eigen maatregel op. Hoe ver je met een maatregel gaat, bepaalt je risico. Een bedrijf van tien mensen met een cloudomgeving richt toegangsbeheer anders in. Een ziekenhuis met eigen servers doet dat weer anders.

Je mag een maatregel uit Annex A uitsluiten. Dat mag als je risicobeoordeling laat zien dat hij voor jou niet nodig is. Je schrijft die reden op in je verklaring van toepasselijkheid. Een eis uit hoofdstuk 4 tot en met 10 mag je nooit uitsluiten. Dat staat in hoofdstuk 1 van de norm zelf.

De verklaring van toepasselijkheid noemt per maatregel uit Annex A drie dingen:

Een uitsluiting die de auditor meestal accepteert, heeft een feitelijke reden. Een bedrijf dat zelf geen software ontwikkelt en niets laat ontwikkelen, kan de maatregelen voor veilig ontwikkelen uitsluiten.

Bij twee situaties loopt een uitsluiting vaak vast:

Hoe de auditor de verklaring en het risicobehandelplan verder gebruikt, staat bij de verplichte documenten voor ISO 27001. Daar staat ook welke andere stukken verplicht zijn.

Sinds februari 2024 vraagt ISO 27001 dat je bepaalt of klimaatverandering een relevant punt is voor je ISMS. Dat staat in een wijziging van de norm, ISO/IEC 27001:2022/Amd 1:2024. ISO biedt die wijziging gratis aan. De wijziging voegt in hoofdstuk 4.1 die eis toe. In 4.2 staat een opmerking. Die zegt dat belanghebbenden eisen over klimaatverandering kunnen hebben. In Nederland heet dit NEN-EN-ISO/IEC 27001:2023/A1:2024.

IAF en ISO noemen het een verduidelijking. Je moest al alle zaken bepalen die je ISMS raken. Daarom kwam er geen overgangsperiode. Het antwoord mag ook nee zijn, als je dat kunt uitleggen. Voor informatiebeveiliging gaat het vooral over beschikbaarheid. Denk aan een datacenter in een gebied met overstromingsgevaar. Of aan een serverruimte die in een hittegolf te warm wordt.

De editie die nu geldt is ISO/IEC 27001:2022, de derde editie. Die heeft het klimaatamendement van 2024. In Nederland koop je bij NEN de Europese versie NEN-EN-ISO/IEC 27001:2023. Op het Europese voorwoord na is die gelijk aan de versie van 2022. Ook de Nederlandse tekst is gelijk. Een certificaat op de versie van 2013 is sinds eind oktober 2025 niet meer geldig.

Je toepassingsgebied en je verklaring van toepasselijkheid bepalen wat de certificeerder moet toetsen. Daarmee bepalen ze ook hoeveel auditdagen hij rekent. Bij ISO 27001 doet hij dat volgens ISO/IEC 27006-1:2024. Dat begint bij het aantal mensen binnen je scope. De dagen en bedragen staan bij de kosten van ISO 27001. Sectorcodes spelen bij ISO 27001 geen rol. Elke certificeerder met ISO 27001 in zijn accreditatie mag je certificeren. CertificeerWijzer telde er op 24 september 2026 23 met een vestiging in Nederland.

Geef bij je offerteaanvraag op wat onder je ISMS valt. Vertel hoeveel mensen daar werken en hoeveel locaties je hebt. Dan rekenen certificeerders met dezelfde gegevens. Zo kun je hun offertes eerlijk vergelijken. Via CertificeerWijzer stuur je die gegevens één keer naar meerdere certificeerders die ISO 27001 mogen doen. Werk je in de zorg? Kijk dan ook naar NEN 7510. Die norm bouwt op ISO 27001 voort.