ISO 27001: wat is het?

Wat is ISO 27001?

ISO/IEC 27001 beschrijft welke eisen een managementsysteem voor informatiebeveiliging moet halen. De norm geeft richting bij het inrichten, implementeren, onderhouden en continu verbeteren van zo'n systeem. Hij is bedoeld voor organisaties van elke omvang, van een klein team tot een grote onderneming. De huidige editie is ISO/IEC 27001:2022 (Edition 3, gepubliceerd in oktober 2022), met het amendement ISO/IEC 27001:2022/Amd 1:2024 met de titel "Climate action changes". Hoe werkgevers ISO 27001 in hun vacatures noemen, zie je in het overzicht van vacatures met ISO 27001.

ISO 27001 is een norm, geen wet. Of een organisatie de norm gebruikt en zich laat certificeren, is een keuze. Wat een wet van een organisatie vraagt, bepaalt de wet zelf; de bijbehorende uitleg staat in het artikel over NIS2 en de Cyberbeveiligingswet.

Wat is een ISMS?

Een ISMS is een managementsysteem: een samenhang van beleid, doelen, rollen, processen en beheersmaatregelen waarmee een organisatie informatiebeveiliging stuurt. De norm schrijft niet voor welke techniek je gebruikt. Hij vraagt dat je risico's beoordeelt, maatregelen kiest, die vastlegt, controleert en verbetert. Daarom gaat ISO 27001 over hoe je informatiebeveiliging organiseert en niet over één technische oplossing.

De eisen in de hoofdstukken 4 tot en met 10 vormen de kern. Volgens een notitie van de Auditing Practices Group van de ISO/IEC-werkgroep zijn alle eisen in die hoofdstukken van toepassing en kunnen ze niet worden uitgesloten. Die notitie is niet door ISO goedgekeurd. Volgens dezelfde notitie vraagt onderdeel 6.1.2 c) om een risicobeoordelingsproces voor risico's op verlies van vertrouwelijkheid, integriteit en beschikbaarheid van informatie binnen de scope van het ISMS. De norm kent daarnaast een interne audit (9.2) en een directiebeoordeling (9.3) als onderdelen van het systeem.

In de 2022-editie zijn een paar onderdelen veranderd. Punt 4.2 c) vraagt om de eisen van belanghebbenden te bepalen die via het ISMS worden aangepakt. Er is een nieuw onderdeel 6.3 over het gepland doorvoeren van wijzigingen in het ISMS. In 8.1 is de term over uitbestede processen vervangen door externe processen, producten of diensten. De onderdelen 9.2 (interne audit) en 9.3 (directiebeoordeling) zijn herordend en van naam voorzien. ISO 27001 volgt de gemeenschappelijke structuur voor managementsysteemnormen, de zogeheten harmonized structure. Wie een andere managementsysteemnorm kent, herkent de opbouw.

Wat is het verschil tussen ISO 27001 en ISO 27002?

ISO 27001 stelt eisen aan het ISMS. ISO/IEC 27002 geeft richtlijnen voor de beheersmaatregelen die je kunt inzetten. De huidige uitgave is ISO/IEC 27002:2022. Die bevat 93 beheersmaatregelen, verdeeld over vier thema's. Je kunt 27002 als zelfstandige richtlijn gebruiken, of om de invoering van een ISMS volgens 27001 te ondersteunen.

Een certificaat gaat over het managementsysteem, dus over 27001. Je certificaat zegt niet dat je "voldoet aan 27002". Zie je dat ergens staan, vraag dan wat er precies gecertificeerd is. ISO 27701 is een aparte norm voor een privacyinformatiemanagementsysteem; zie het artikel over ISO 27701 en de vacatures met ISO 27701.

Wat zijn de Annex A-beheersmaatregelen?

Annex A van ISO 27001 verwijst naar de beheersmaatregelen uit ISO/IEC 27002:2022. De beheersmaatregelen zijn ingedeeld in vier thema's. In de tabel staat het aantal per thema; de omschrijving is een samenvatting, en de normtekst is bepalend.

Annex A is geen volledige lijst en geen verplichtingenlijst. Volgens de notitie van de Auditing Practices Group zijn de beheersmaatregelen in Annex A geen eisen en gelden ze alleen als de organisatie bepaalt dat ze relevant zijn. Organisaties kunnen daarnaast andere bronnen gebruiken, zoals ISO/IEC 27017, PCI-DSS, COBIT en NIST 800-53. Wie de tabel leest als een checklist die je moet afvinken, leest hem dus verkeerd. Je kiest zelf welke maatregelen bij je risico's passen.

Hoe horen risicobeoordeling en het Statement of Applicability bij elkaar?

In grote lijnen loopt het zo. Eerst beoordeel je de risico's voor de scope van je ISMS. Daarna kies je de beheersmaatregelen die bij die risico's passen. Die vergelijk je met de maatregelen in Annex A, en je controleert of er geen noodzakelijke maatregelen zijn weggelaten. Het resultaat leg je vast in het Statement of Applicability (SoA). Vacatures waarin risicobeoordeling terugkomt, vind je bij de risk assessment-skill.

Het SoA bevat de noodzakelijke beheersmaatregelen, de reden waarom ze zijn opgenomen, of ze zijn geïmplementeerd en de reden voor elke Annex A-maatregel die is uitgesloten. Een uitsluiting is niet hetzelfde als iets missen. Een Annex A-maatregel kan worden uitgesloten omdat er geen gerelateerd risico is, omdat het risico aanvaardbaar is, of omdat een andere maatregel de Annex A-maatregel vervangt. De lijst van redenen is niet volledig, maar elke uitsluiting moet je onderbouwen. ISO 27001 bepaalt wat het SoA moet bevatten, niet hoe het eruitziet. Je mag de structuur van Annex A gebruiken, bijvoorbeeld als tabel met extra kolommen voor status en onderbouwing. Voor certificering moet de versie van het SoA in het certificaat staan.

Auditors kijken doorgaans naar het SoA. Het laat zien welke maatregelen de organisatie nodig heeft, waarom, en wat is uitgesloten.

Welke editie is actueel en hoe liep de overgang?

De actuele editie is ISO/IEC 27001:2022, met het amendement uit 2024. Bij ISO/IEC 27002 is de actuele editie de 2022-uitgave. De Raad voor Accreditatie (RvA) schrijft dat de norm op 25 oktober 2022 is gepubliceerd en dat certificerende instellingen vanaf 1 mei 2024 geen eerste audits of hercertificeringsaudits meer mogen uitvoeren tegen de 2013-editie. Certificaathouders konden hun 2013-certificaat tot het einde van oktober 2025 behouden.

De overgangsperiode van ISO/IEC 27001:2013 naar de 2022-editie was 3 jaar, 36 maanden. Volgens IAF MD 26:2023 moesten certificerende instellingen de overgang van gecertificeerde klanten uiterlijk 31 oktober 2025 afronden. Rondt een klant alleen de overgangsaudit af, dan verandert het einde van de lopende certificeringscyclus niet.

Per 5 november 2026 is de einddatum van de overgangsperiode gepasseerd. Volgens het IAF vervallen certificaten op basis van de 2013-editie of worden ze ingetrokken aan het einde van die periode. Kom je in een cv of vacature "ISO 27001:2013" tegen, vraag dan naar de huidige editie.

Hoe werkt certificering?

Certificering is optioneel. Een organisatie die ISO/IEC 27001 invoert, kan zelf beslissen of ze zich wil laten certificeren. Het certificaat wordt afgegeven door een certificerende instelling, niet door ISO zelf. Een certificaat van een geaccrediteerde certificerende instelling kan extra vertrouwen geven.

Voor het gebruik van het logo verwijst ISO naar de certificerende instelling die het certificaat heeft afgegeven. Bij de naamgeving vraagt ISO om de norm volledig te citeren, bijvoorbeeld als "certified to ISO/IEC 27001:2022". Let daar op in een profiel of vacature: wie alleen "ISO 27001" schrijft, zegt niet welke editie is behaald.

Globaal verloopt een certificering zo. De organisatie bepaalt de scope van het ISMS, richt het systeem in, voert interne audits en een directiebeoordeling uit en laat daarna een certificerende instelling auditen. Sommige organisaties doen dit omdat klanten erom vragen, andere omdat ze zelf structuur willen aanbrengen in hun informatiebeveiliging. De precieze stappen en tijden verschillen per organisatie en per certificerende instelling.

Welke functies werken met ISO 27001?

Bij een ISO 27001-traject komen meerdere functies samen. De verdeling verschilt per organisatie.

De information security officer onderhoudt het ISMS en de risicobeoordeling. Bij een audit is die persoon vaak het aanspreekpunt. Op de werkgeverspagina van de information security officer zie je welke werkgevers deze functie hebben. Een GRC consultant helpt een organisatie met een gap-analyse en met de voorbereiding op een certificeringsaudit. Een IT-auditor of lead auditor toetst het ISMS tegen de norm, intern of als auditor voor een certificerende instelling. Een security manager of CISO is eindverantwoordelijk voor de uitvoering en rapporteert aan het bestuur. Het verschil tussen die laatste twee functies en de information security officer staat in het artikel over information security officer of CISO.

Hoe bouw je kennis op over ISO 27001?

Begin bij de normtekst en de richtlijnen die erbij horen. Probeer daarna een gap-analyse van een bestaande organisatie op papier te maken, en werk met een voorbeeld-SoA. Zo leer je hoe de risico's, de maatregelen en het SoA op elkaar aansluiten. Overweeg daarnaast een opleiding. De lead auditor-opleiding richt zich op auditen. Vacatures met ISO 27001 staan bij de ISO 27001-skill, en vacatures voor lead auditors bij de lead auditor-skill.

Wie ISO 27001 wil koppelen aan een ander kader, kan ook kijken naar het NIST Cybersecurity Framework of de BIO. Wie auditen als vervolg zoekt, kan kijken naar het CISA-certificaat, en wie security management zoekt naar het CISM-certificaat. Risicomanagement heeft ook een eigen kader, ISO 31000, dat je terugvindt bij de vacatures met ISO 31000.

Kijk in de vacatures hoe werkgevers ISO 27001 noemen, en begin in de kennisbank met de artikelen die aansluiten op je eigen functie.