Het ISO 27001-certificeringsproces
Van besluit tot certificaat doorloop je zes stappen. Reken op zes tot achttien maanden, afhankelijk van je startpositie en IT-complexiteit.
De zes stappen naar certificering
-
Scope bepalen
- Welke delen van je organisatie, systemen en locaties vallen onder het ISMS? Begin eventueel klein en breid later uit.
-
Risicoanalyse uitvoeren
- Identificeer informatiebeveiligingsrisico's en bepaal welke maatregelen nodig zijn. Dit is het hart van ISO 27001.
-
ISMS opzetten
- Implementeer de beheersmaatregelen, stel beleid op, train medewerkers, en documenteer processen.
-
Bewijsperiode doorlopen
- Werk minimaal drie maanden volgens je ISMS. Auditoren willen bewijs dat het systeem in de praktijk werkt.
-
Interne audit en directiebeoordeling
- Controleer zelf of alles werkt en laat de directie het ISMS formeel beoordelen.
-
Externe audit
- De certificeerder voert de audit uit in twee fases. Bij succes ontvang je het certificaat.
Wie doet wat?
Jij
Risicoanalyse, ISMS opzetten, interne audits, medewerkers trainen
IT-afdeling
Technische maatregelen implementeren, logging, monitoring
Consultant (optioneel)
Begeleiding, gap-analyse, templates, training
Certificeerder
Audit uitvoeren, certificaat afgeven
Accreditatie-instantie
Controleert de certificeerder (de Nederlandse instantie, UKAS, etc.)
Goed om te weten: Een consultant is niet verplicht. Veel organisaties met ervaren IT- en compliancemensen doen het zelf.
Voorbereiding op ISO 27001
Goede voorbereiding is het halve werk. De meeste tijd gaat zitten in de risicoanalyse en het opzetten van je ISMS, niet in de audit zelf.
Wat moet je intern regelen?
Daarna volgen deze stappen:
- Projectleider aanwijzen - Iemand met mandaat, IT-kennis en tijd die het trekt
- Scope bepalen - Welke systemen, processen en locaties vallen onder het ISMS?
- Risicoanalyse uitvoeren - Identificeer bedreigingen, kwetsbaarheden en risico's
- Maatregelen implementeren - Technisch en organisatorisch, gebaseerd op de risicoanalyse
- Awareness creëren - Medewerkers trainen, phishing-testen, beleid communiceren
- Bewijsperiode starten - Minimaal drie maanden werken volgens het ISMS
- Interne audit uitvoeren - Test of alles werkt voordat de certificeerder komt
Welke documentatie is nodig?
De norm vereist minimaal:
Informatiebeveiligingsbeleid
Jouw visie en doelstellingen op het gebied van informatiebeveiliging
Scope van het ISMS
Welke delen van je organisatie gecertificeerd worden
Risicoanalyse en -behandelplan
Geïdentificeerde risico's en gekozen maatregelen
SoA
Verklaring van Toepasselijkheid
Welke controls je toepast en welke niet, met onderbouwing
Procesbeschrijvingen
Hoe je werkt (incidentbeheer, toegangsbeheer, wijzigingsbeheer)
Registraties
Bewijs dat je doet wat je zegt (audits, incidenten, trainingen)
Geen dik handboek nodig. Veel organisaties werken met een digitaal systeem of compacte documenten. De vorm is vrij, zolang het actueel en toegankelijk is.
Drie veelgemaakte fouten
Fout 2: Papieren tijger
Je documenten moeten kloppen met de praktijk. Als je opschrijft dat je wekelijks logs controleert, moet je dat ook echt doen. Auditoren vragen om bewijs.
Fout 3: Te laat starten met de bewijsperiode
Je moet minimaal drie maanden volgens je ISMS hebben gewerkt voordat de externe audit kan plaatsvinden. Plan dit in, anders schuift je certificeringsdatum op.