Wat is ISO 27001?
ISO/IEC 27001 is de internationale norm voor managementsystemen voor informatiebeveiliging. De norm beschrijft hoe een organisatie informatiebeveiliging bestuurt: scope bepalen, risico's beoordelen, controls kiezen, middelen toewijzen, prestaties meten en verbeteren. De huidige versie is ISO/IEC 27001:2022.
Annex A bevat 93 referentiecontrols, verdeeld over vier thema's: 37 organisatorische controls, 8 mensgerichte controls, 14 fysieke controls en 34 technologische controls. De 2022-versie voegde 11 nieuwe controls toe, waaronder threat intelligence, cloudsecurity, ICT readiness for business continuity, data masking, data leakage prevention, web filtering en secure coding.
Voor wie is ISO 27001 relevant?
ISO 27001 is vrijwillig, maar in Europese B2B-verkoop is het vaak een praktische voorwaarde. Enterprise klanten, financiële instellingen, overheden en investeerders willen zien dat een leverancier informatiebeveiliging systematisch beheert. Voor SaaS-bedrijven kan het certificaat helpen om security questionnaires te verkorten en vertrouwen op te bouwen bij grotere klanten.
De norm is ook relevant wanneer NIS2 of DORA in beeld komt. ISO 27001 vervangt die wetten niet, maar de structuur van risicoanalyse, beleidsbeheer, toegangscontrole, incidentafhandeling, leveranciersbeheer en continuïteit sluit goed aan op hun eisen. Daardoor kan een goed ISMS veel hergebruik opleveren.
Hoe verloopt een ISO 27001-certificatie?
Een geaccrediteerde certificatie-instelling voert de audit uit. Stage 1 controleert vooral of de documentatie klaar is: scope, risicomethode, risicoanalyse, Statement of Applicability, beleidsdocumenten, interne audit en management review. Stage 2 bekijkt of de gekozen controls echt werken. De auditor vraagt dan interviews, steekproeven en bewijsstukken.
Een certificaat is drie jaar geldig. Meestal volgt jaarlijks een opvolgingsaudit en in het derde jaar een hercertificatie. De tijdlijn hangt af van scope, maturiteit en beschikbare capaciteit. Een klein softwarebedrijf met bestaande cloudsecurity kan vaak sneller starten dan een organisatie die eerst processen, eigenaarschap en bewijsverzameling moet opzetten.
Hoe koppelt ComplyPilot controls aan risico's en bewijs?
ComplyPilot maakt van elke Annex A-control een gestructureerd record. Je ziet de eigenaar, status, reden voor toepassing of uitsluiting, gekoppelde risico's en bewijsstukken. De Verklaring van Toepasselijkheid wordt uit dezelfde records opgebouwd, waardoor ze niet los raakt van de werkelijkheid in je ISMS.
Risico's krijgen waarschijnlijkheid, impact, behandeling en eigenaar. Controls behandelen die risico's, en bewijsstukken tonen aan dat de controls werken. Een screenshot, beleid, log, ticket of leveranciersreview kan aan meerdere controls worden gekoppeld. Ontbreekt bewijs, dan blijft de gap zichtbaar in de gereedheidsscore.
- Alle 93 Annex A-controls vooraf aanwezig.
- Risicoregister met behandeling en koppeling naar controls.
- SoA opgebouwd uit controlbeslissingen en motiveringen.
- Beleid met Draft-, Approved- en Outdated-statussen.
- Bewijsbibliotheek met reviewstatus en exports voor auditors.
Wat is het verschil met spreadsheets of enterprise-GRC?
| Criterium | Spreadsheets | Enterprise-GRC | ComplyPilot |
|---|---|---|---|
| Opstart | Snel, maar kwetsbaar voor fouten | Implementatieproject | Klaar met ISO-structuur vanaf dag één |
| SoA | Los document | Meestal gegenereerd | Gegenereerd uit controlrecords |
| Bewijs | Handmatige links | Uitgebreid, vaak complex | Direct gekoppeld aan controls en risico's |
| NIS2/DORA | Zelf mapping onderhouden | Vaak maatwerk | Framework-overlays inbegrepen |
| Team | Eén eigenaar | Grote complianceafdeling | CTO, CIO, security lead of klein team |
Hoe ondersteunt ComplyPilot auditvoorbereiding?
ComplyPilot helpt niet door een certificaat te beloven, maar door de onderbouwing zichtbaar te maken. Een auditor kan per control zien waarom die control is gekozen, welk risico ermee wordt behandeld, welk beleid erbij hoort en welk bewijs beschikbaar is. Dat maakt de voorbereiding concreter dan een losse checklist.
Exports in PDF, DOCX, CSV en ZIP ondersteunen het gesprek met de auditor. Teams kunnen een SoA exporteren, bewijs bundelen en voortgang bespreken zonder telkens documenten naast elkaar te leggen. De auditlog en versiegeschiedenis helpen aantonen wanneer beleid of evidence is aangepast.
Welke eerste stappen zet een klein team?
Een klein team begint het best met een scherpe scope: welke producten, systemen, mensen en leveranciers vallen binnen het ISMS? Daarna volgt een eerste risicoanalyse met de belangrijkste dreigingen voor vertrouwelijkheid, integriteit en beschikbaarheid. Pas daarna kies je controls, want de norm vraagt een risicogebaseerde onderbouwing in plaats van blind alle maatregelen af te vinken.
In ComplyPilot loopt dat via de Getting Started-wizard, het risicoregister, de controlbibliotheek en de SoA. De volgorde blijft eenvoudig: scope vastleggen, risico's beoordelen, controls selecteren, beleid goedkeuren, bewijs verzamelen en intern reviewen vóór de certificatieaudit.
Veelgestelde vragen
Hoeveel controls telt ISO 27001:2022 Annex A?
93 controls: 37 organisatorische, 8 mensgerichte, 14 fysieke en 34 technologische.
Moet ik alle 93 controls invoeren?
Nee. Je beoordeelt alle controls, maar implementeert alleen wat past bij je risicoanalyse. Elke keuze leg je vast in de Verklaring van Toepasselijkheid.
Geeft ComplyPilot een ISO 27001-certificaat?
Nee. Alleen een geaccrediteerde certificatie-instelling kan certificeren. ComplyPilot ondersteunt de voorbereiding en bewijsvoering.
Kan ISO 27001 helpen bij NIS2 of DORA?
Ja. Veel controls overlappen met NIS2 en DORA. ComplyPilot koppelt één control aan meerdere frameworkvereisten zodat bewijs kan worden hergebruikt.