ISO 27001 is een internationale norm voor informatiebeveiliging. De norm beschrijft eisen voor een Information Security Management System (ISMS): een gestructureerde aanpak om de vertrouwelijkheid, integriteit en beschikbaarheid van informatie te beschermen.
IT-bedrijven, softwareontwikkelaars, MSP's, maar ook organisaties die veel met persoonsgegevens of vertrouwelijke klantdata werken.
Klein (tot 10 fte)
Vuistregel voor MKB: Reken op €5.000 - €15.000 in het eerste jaar, daarna €2.000 - €5.000 per jaar.
Prijzen indicatief, excl. btw, excl. consultant en interne uren.
Volledige kostenopbouw- Welke delen van je organisatie, systemen en locaties vallen onder het ISMS? Begin eventueel klein en breid later uit.
- Identificeer informatiebeveiligingsrisico's en bepaal welke maatregelen nodig zijn. Dit is het hart van ISO 27001.
- Implementeer de beheersmaatregelen, stel beleid op, train medewerkers, en documenteer processen.
- Werk minimaal drie maanden volgens je ISMS. Auditoren willen bewijs dat het systeem in de praktijk werkt.
- Controleer zelf of alles werkt en laat de directie het ISMS formeel beoordelen.
- De certificeerder voert de audit uit in twee fases. Bij succes ontvang je het certificaat.
Je certificaat blijft geldig tijdens en na de overstap. De nieuwe certificeerder neemt de certificering over op basis van dezelfde norm en binnen je bestaande certificatiecyclus. Er is geen onderbreking in je certificaatstatus.
OverstappenElk jaar een surveillance-audit (controle). Elke drie jaar een volledige hercertificering. Je certificaat is drie jaar geldig, mits je de jaarlijkse audits succesvol doorloopt.
Hercertificering
“Dankzij CertificeerWijzer zijn we overgestapt naar een certificeerder die veel beter aansluit bij onze organisatie. We besparen €1.500 per jaar en de audits zijn minstens zo goed.”
Nee, ISO 27001 is vrijwillig. Maar steeds meer opdrachtgevers eisen het wel, vooral in IT, finance en zorg. Ook helpt het bij het voldoen aan de AVG en de nieuwe NIS2-richtlijn.
ISO 27001:2022 heeft een herziene Annex A met 93 beheersmaatregelen in vier categorieën (was 114 in veertien categorieën). Er zijn elf nieuwe controls toegevoegd, onder andere voor cloud security en threat intelligence. De deadline voor transitie is 31 oktober 2025.
Ja, vooral als je al ervaring hebt met managementsystemen. Voor kleinere organisaties met een overzichtelijke IT-omgeving is het haalbaar. Een consultant kan het proces versnellen, maar is niet verplicht.
Accreditatie betekent dat een certificeerder gecontroleerd wordt door een nationale accreditatie-instantie, zoals de Nederlandse accreditatie-instantie, UKAS (UK) of DAkkS (Duitsland). Via het IAF-verdrag zijn deze certificaten internationaal erkend. Kies altijd een geaccrediteerde certificeerder.
Na je eerste certificering volgt elk jaar een surveillance-audit (controle). Na drie jaar moet je een volledige hercertificering doen. Deze cyclus herhaalt zich steeds.
Ja, overstappen kan op elk moment. Je nieuwe certificeerder neemt je dossier over en plant een transfer-audit. Je certificaat blijft geldig tijdens de overstap.
In 5 minuten ingevuld. Daarna maatwerkoffertes van certificeerders die bij je passen.
