ISO 27001: informatiebeveiliging en certificering

ISO 27001 beschrijft hoe je informatiebeveiliging als vast proces regelt. Dat proces heet een managementsysteem voor informatiebeveiliging (ISMS). Je bepaalt welke informatie en systemen eronder vallen. Je brengt de risico's in kaart. Je kiest maatregelen. Daarna controleer je of die werken, en je verbetert ze waar nodig. De eisen aan dat systeem staan in hoofdstuk 4 tot en met 10 van de norm. Wie het certificaat wil, mag daarvan niets weglaten. Wereldwijd waren er in 2024 bijna 97.000 geldige ISO 27001-certificaten. Hoe je zo'n systeem praktisch opzet, lees je bij het ISMS.

De huidige versie is ISO/IEC 27001:2022. In Nederland is die uitgegeven als NEN-EN-ISO/IEC 27001:2023. Sinds een aanvulling uit 2024 bepaal je ook of klimaatverandering een relevant onderwerp is voor je ISMS. NEN geeft die aanvulling gratis uit. De overgang van de versie van 2013 is op 31 oktober 2025 afgerond. Certificaten op die versie zijn toen verlopen of ingetrokken.

Achter de eisen staat bijlage A, de Annex A. Die bevat 93 maatregelen in vier thema's:

Je hoeft niet alle 93 maatregelen te nemen. Je kiest ze op basis van je risicoanalyse. Daarna leg je in de verklaring van toepasselijkheid (Statement of Applicability) vast welke je toepast. Leg ook vast waarom je de rest niet nodig hebt. Neem een softwarebedrijf van 15 mensen dat klantgegevens in de cloud bewaart. Het ziet als risico's een gestolen wachtwoord en een hostingpartij die omvalt. Het kiest dus voor inloggen in twee stappen en afspraken over het terughalen van data. Een maatregel voor een eigen serverruimte valt af. Dat bedrijf heeft die niet.

Voor bijna elk bedrijf is het certificaat een keuze. De norm is er voor elke organisatie, van zzp'er tot ministerie. Bedrijven halen het om deze redenen:

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Die wet eist geen ISO 27001-certificaat. De wet geldt sinds 15 augustus 2026. Ze geldt voor ruim 8.000 organisaties met essentiële of belangrijke diensten. Ze vraagt van die organisaties een risicoanalyse en passende maatregelen. Dat heet de zorgplicht. Ze vraagt ook om ernstige incidenten te melden. Voor twee sectoren schrijft een regeling de norm wel voor:

Lever je aan een gemeente of ministerie en val je zelf niet onder de wet? Dan rust de zorgplicht op je klant. Die moet afspraken over beveiliging met je maken. De toelichting bij de overheidsregeling zegt letterlijk dat er "geen de facto verplichting tot het uitvragen van een certificering" is. Vraagt je klant toch om een certificaat? Dan is dat zijn keuze. Het is geen wettelijke eis.

ISO 27001 vraagt dat je je informatierisico's kent en beheerst. De norm schrijft niet voor welke techniek je gebruikt. In gewone taal vragen hoofdstuk 4 tot en met 10 dat je:

Alle eisen en de 93 maatregelen staan bij de eisen van ISO 27001. Wat je op papier moet hebben, staat bij de verplichte documenten. Denk aan de risicoanalyse en de verklaring van toepasselijkheid.

Hoe lang een ISO 27001-traject duurt, hangt vooral af van het aantal maatregelen dat je nog moet invoeren. Begin je vanaf nul, dan duurt het hooguit ongeveer acht maanden. Vraag vroeg offertes op. Dan loopt de wachttijd van de certificeerder terwijl jij je ISMS bouwt. De certificeringsaudit gaat in twee delen. In fase 1 kijkt de auditor of je klaar bent. In fase 2 kijkt hij of je ISMS in de praktijk werkt. Daarna volgt een cyclus van drie jaar. Binnen 12 maanden krijg je een controle-audit. In het jaar daarna volgt een tweede. In jaar 3 volgt een hercertificering. Die regels staan in ISO/IEC 17021-1. Elke stap en wat hem vertraagt, staat bij de stappen naar ISO 27001. Het traject dat voor elke norm geldt, staat bij voor het eerst certificeren.

Een certificeerder rekent het aantal auditdagen maal zijn dagtarief. Dat tarief is €1.000 tot €1.800 exclusief btw. Het aantal dagen volgt bij ISO 27001 uit eigen regels. Die regels staan in bijlage C van ISO/IEC 27006-1:2024. Dat is de norm met extra eisen voor certificeerders van ISO 27001. De tabel voor ISO 9001 en andere normen geldt hier niet. Het startpunt is het aantal mensen dat binnen je ISMS werkt. Daarna gaat het aantal omhoog of omlaag. Dat komt onder meer door het risico van je informatie en hoe ingewikkeld je IT is. Elke auditdag meer of minder scheelt dus €1.000 tot €1.800 per audit. Dat geldt drie jaar lang. Wat de dagen bepaalt en hoe je een offerte narekent, staat bij de kosten van ISO 27001. De regels voor elke norm staan bij kosten van certificeren.

Heb je al een ISO 27001-certificaat? Dan kun je in de drie jaar naar een andere certificeerder overstappen. Je begint dan niet opnieuw. De nieuwe certificeerder neemt je cyclus over. Zo regelt Global ACI-TECH-3-002 (IAF MD 2) dat. Bij ISO 27001 mag elke certificeerder elke sector doen. Daarom past elke van de 23 op jouw certificaat. De regels die voor elke norm gelden, staan bij overstappen.

CertificeerWijzer telde op 24 september 2026 23 certificeerders met een vestiging in Nederland. Die mogen ISO 27001 geaccrediteerd certificeren. Daarvan zijn er 19 geaccrediteerd via de nationale accreditatie-instantie. De overige 4 zijn alleen geaccrediteerd via de Britse UKAS. Bij ISO 9001 loopt de accreditatie per sectorcode (IAF-code). Bij ISO 27001 niet. De nationale accreditatie-instantie beoordeelt een certificeerder op ISO/IEC 27006-1. Wie dat haalt, mag elke sector doen. Dat geldt van softwarebedrijf tot zorginstelling. Een certificaat van een partij zonder accreditatie telt vaak niet bij klant of aanbesteder. Dat staat bij niet-geaccrediteerd.

Omdat de sector geen keuze wegstreept, kies je op deze punten:

Meer keuzepunten staan bij certificeerder kiezen. Bij CertificeerWijzer vraag je met één aanvraag offertes op bij geaccrediteerde ISO 27001-certificeerders. Zo zie je je auditdagen en prijs over drie jaar naast elkaar. Het volledige overzicht staat bij certificeerders.

ISO 27001 heeft een familie van normen eromheen. Een deel kun je in één systeem en één audit combineren: