Voor wie?
Organisaties die informatiebeveiliging willen organiseren of toewerken naar certificering, bijvoorbeeld vanwege klantvragen of aanbestedingen. Bestaande documenten en maatregelen vormen het vertrekpunt.
Het complete ISO 27001-implementatietraject
ISO 27001 implementeren: van beleid naar een werkend ISMS
Freeke Cybersecurity helpt uw organisatie informatiebeveiliging structureel organiseren. Van contextanalyse en risicobeoordeling tot beleid, procedures, technische maatregelen en auditvoorbereiding. We ontwikkelen het managementsysteem samen met uw team en helpen uw interne security officer groeien in de rol.
- Managementsysteem en maatregelen
- Beleid, processen en procedures op maat
- Begeleiding en kennisoverdracht
Wat is ISO 27001?
ISO/IEC 27001 beschrijft de eisen aan een managementsysteem voor informatiebeveiliging: het ISMS. Daarmee organiseert u hoe u risico’s voor vertrouwelijkheid, integriteit en beschikbaarheid beheerst. Het gaat om mensen, processen, locaties en technologie in de hele afgesproken scope. De norm is bruikbaar voor organisaties van verschillende omvang en uit alle sectoren.
Uw ISO 27001-traject in het kort
Wat wordt opgeleverd?
Een werkend ISMS met scope, risicoregister, behandelplan, SoA, beleid, procedures en een verbeterplanning. De exacte opleveringen en auditvoorbereiding worden in het voorstel vastgelegd.
Wat vraagt het van uw team?
Een interne eigenaar, betrokkenheid van de directie en tijd van HR, IT en proceseigenaren. We verdelen het werk en plannen invoering en bewijsvoering naast de dagelijkse werkzaamheden.
Planning en kosten
De inzet volgt uit scope, uitgangssituatie en wat uw team zelf oppakt. We maken de kosten voor begeleiding, interne inzet, technische maatregelen en de afzonderlijke certificeringsaudit herkenbaar.
Een ISMS verbindt risico’s, afspraken en dagelijkse uitvoering
Uw ISMS beschrijft welke informatie belangrijk is, wie verantwoordelijk is en hoe u passende beveiligingskeuzes maakt. Het verbindt doelen en beleid aan uitvoering, controles en verbeteringen. Zo kunt u onderbouwen waarom een maatregel nodig is en laten zien of die maatregel werkt.
Een herkenbaar voorbeeld is uitdiensttreding. HR meldt het vertrek, een verantwoordelijke keurt de afhandeling goed en IT blokkeert toegang en neemt apparaten in. U legt de uitvoering vast en controleert periodiek of de procedure wordt gevolgd. Beleid, proces, techniek en bewijs komen zo samen.
Meer achtergrond: ISO over ISO/IEC 27001 ↗
ISO 27001, ISO 27002 en de HLS-structuur
ISO/IEC 27001:2022 bevat de eisen waartegen een ISMS kan worden gecertificeerd. ISO/IEC 27002:2022 geeft toelichting op de beheersmaatregelen en hun toepassing. In Nederland vindt u de Europese overname van ISO 27001 ook als NEN-EN-ISO/IEC 27001:2023. We nemen toepasselijke aanvullingen mee, waaronder de contextaanvulling uit 2024 over klimaatverandering.
De High Level Structure (HLS), inmiddels doorontwikkeld als Harmonized Structure (HS), is de gemeenschappelijke opbouw van ISO-managementsysteemnormen. Die maakt het makkelijker om bijvoorbeeld informatiebeveiliging en kwaliteitsmanagement op elkaar af te stemmen. Hoofdstukken 1 tot en met 3 behandelen toepassingsgebied van de norm, verwijzingen en begrippen. Hoofdstukken 4 tot en met 10 bevatten de eisen aan het managementsysteem.
De HLS in de praktijk: hoofdstukken 4 tot en met 10
We doorlopen alle managementsysteemeisen. Per onderdeel verbinden we de bedoeling van de norm aan een concrete werkwijze en de benodigde vastlegging.
4. Context van de organisatie
We onderzoeken interne en externe ontwikkelingen, belanghebbenden en hun eisen. Samen bakenen we de ISMS-scope af, inclusief locaties, processen, informatie en afhankelijkheden. De relevantie van klimaatverandering nemen we mee in die contextbeoordeling.
5. Leiderschap
De directie bepaalt richting, stelt beleid vast en maakt tijd en middelen beschikbaar. We helpen rollen, verantwoordelijkheden en bevoegdheden vastleggen, zodat management, security officer en proceseigenaren weten wat van hen wordt verwacht.
6. Planning
We leggen een herhaalbare methode vast voor risicobeoordeling en risicobehandeling. We helpen beveiligingsdoelstellingen, meetpunten en een uitvoerbaar plan opstellen. Veranderingen in het ISMS worden bewust gepland.
7. Ondersteuning
We bepalen benodigde middelen en competenties, organiseren bewustwording en communicatie en richten documentbeheer in. Vaststaat wie documenten opstelt, goedkeurt, bijwerkt en mag inzien.
8. Uitvoering
We brengen de plannen in de praktijk: risico’s beoordelen, maatregelen uitvoeren en processen beheersen. Relevante veranderingen en uitbestede werkzaamheden worden meegenomen. De uitvoering wordt aantoonbaar vastgelegd.
9. Evaluatie van prestaties
We bepalen wat wordt gemeten en beoordeeld, stellen een intern auditprogramma op en helpen de managementbeoordeling voorbereiden. Bevindingen, trends en beslispunten vormen de basis voor bijsturing.
10. Verbetering
Afwijkingen worden geregistreerd, oorzaken onderzocht en corrigerende acties uitgevoerd. We controleren of acties effect hebben en verbeteren het ISMS op basis van resultaten, incidenten en veranderende omstandigheden.
Alle 93 beheersmaatregelen op hoofdlijnen
Annex A groepeert de controls in 37 organisatorische, 8 mensgerichte, 14 fysieke en 34 technologische maatregelen. Open een groep voor een beknopte uitleg van alle onderwerpen. De omschrijvingen hieronder zijn in eigen woorden; voor de volledige eisen gebruiken we de norm.
Organisatorische maatregelen37 controls · A.5
De afspraken waarmee u beveiliging bestuurt: eigenaarschap, leveranciers, incidenten, continuïteit en aantoonbare naleving.
Hoe we dit implementeren
We richten onder meer beleid, een rollenmatrix, een middelenregister, leveranciersbeoordelingen, incidentprocedures en een continuïteitsaanpak in. Per onderwerp bepalen we een eigenaar en passende bewijsvoering.
- A.5.1Beveiligingsbeleid vaststellen en onderhouden
- A.5.2Taken en verantwoordelijkheden voor beveiliging verdelen
- A.5.3Onverenigbare taken van elkaar scheiden
- A.5.4Management laten sturen op beveiligingsafspraken
- A.5.5Contact met bevoegde instanties organiseren
- A.5.6Aansluiten op relevante kennisnetwerken
- A.5.7Dreigingsinformatie verzamelen en beoordelen
- A.5.8Beveiliging meenemen in projecten
- A.5.9Informatie en bedrijfsmiddelen inventariseren
- A.5.10Afspraken maken over toegestaan gebruik
- A.5.11Bedrijfsmiddelen bij vertrek laten inleveren
- A.5.12Informatie naar gevoeligheid indelen
- A.5.13De classificatie herkenbaar maken met labels
- A.5.14Informatie veilig uitwisselen
- A.5.15Uitgangspunten voor toegang vastleggen
- A.5.16Identiteiten gedurende hun levenscyclus beheren
- A.5.17Wachtwoorden en andere authenticatiemiddelen beschermen
- A.5.18Toegangsrechten toekennen, beoordelen en intrekken
- A.5.19Beveiligingsrisico’s van leveranciers beoordelen
- A.5.20Beveiliging in leveranciersafspraken vastleggen
- A.5.21Afhankelijkheden in de ICT-keten beheersen
- A.5.22Leveranciersdiensten en wijzigingen blijven beoordelen
- A.5.23Veilig gebruik en beëindiging van clouddiensten regelen
- A.5.24De behandeling van incidenten voorbereiden
- A.5.25Beveiligingsgebeurtenissen beoordelen en classificeren
- A.5.26Incidenten volgens afgesproken stappen afhandelen
- A.5.27Lessen uit incidenten verwerken in verbeteringen
- A.5.28Bewijs zorgvuldig verzamelen en bewaren
- A.5.29Beveiliging tijdens verstoringen overeind houden
- A.5.30ICT voorbereiden op continuïteit en herstel
- A.5.31Wettelijke en contractuele verplichtingen bijhouden
- A.5.32Intellectueel eigendom en gebruiksrechten respecteren
- A.5.33Belangrijke registraties beschermen
- A.5.34Privacy en persoonsgegevens beschermen
- A.5.35Beveiliging onafhankelijk laten beoordelen
- A.5.36Naleving van eigen beveiligingsafspraken controleren
- A.5.37Terugkerende beheerhandelingen documenteren
Mensgerichte maatregelen8 controls · A.6
Wat medewerkers vóór, tijdens en na hun werkzaamheden nodig hebben om veilig te handelen.
Hoe we dit implementeren
We helpen HR en leidinggevenden met functiegerichte afspraken, passende screening, geheimhouding, onboarding, offboarding en een bewustwordingsprogramma. Medewerkers oefenen hoe zij een verdachte situatie melden.
- A.6.1Kandidaten passend en rechtmatig screenen
- A.6.2Beveiligingsafspraken in arbeidsvoorwaarden opnemen
- A.6.3Medewerkers bewustmaken en gericht opleiden
- A.6.4Een zorgvuldige aanpak bij overtredingen vastleggen
- A.6.5Verantwoordelijkheden bij functiewijziging en vertrek regelen
- A.6.6Vertrouwelijkheid met passende afspraken borgen
- A.6.7Veilig werken op afstand organiseren
- A.6.8Medewerkers beveiligingsgebeurtenissen laten melden
Fysieke maatregelen14 controls · A.7
Bescherming van locaties, ruimten, apparatuur en informatiedragers, ook buiten kantoor.
Hoe we dit implementeren
We vertalen risico’s naar afspraken over bezoekers, sleutels en passen, beveiligde ruimten, werkplekken en apparatuur. Ook onderhoud, uitval van voorzieningen en aantoonbare afvoer van gegevensdragers nemen we mee.
- A.7.1Grenzen van beveiligde zones vastleggen
- A.7.2Toegang tot gebouwen en ruimten beheersen
- A.7.3Kantoren en faciliteiten passend beveiligen
- A.7.4Ongewenste fysieke toegang signaleren
- A.7.5Beschermen tegen brand, water en andere omgevingsrisico’s
- A.7.6Werkafspraken voor beveiligde zones vastleggen
- A.7.7Documenten opruimen en schermen afschermen
- A.7.8Apparatuur veilig plaatsen en beschermen
- A.7.9Bedrijfsmiddelen buiten de locatie beschermen
- A.7.10Opslagmedia gedurende hun levenscyclus beheren
- A.7.11Benodigde nutsvoorzieningen beschermen
- A.7.12Bekabeling tegen schade en misbruik beschermen
- A.7.13Apparatuur gecontroleerd onderhouden
- A.7.14Apparatuur veilig afvoeren of opnieuw inzetten
Technologische maatregelen34 controls · A.8
De technische bescherming van accounts, systemen, netwerken, data en softwareontwikkeling.
Hoe we dit implementeren
Samen met IT en ontwikkelaars bepalen we baselines en uitvoerbare verbeteringen. Denk aan MFA, minimale rechten, patching, logging, back-ups en hersteltests. Bij softwareontwikkeling komen veilige ontwerpkeuzes, codebeoordeling en testafspraken erbij.
- A.8.1Apparaten van gebruikers beveiligen
- A.8.2Verhoogde beheerrechten beperken en controleren
- A.8.3Toegang tot informatie technisch begrenzen
- A.8.4Toegang tot broncode beheersen
- A.8.5Sterke en passende authenticatie toepassen
- A.8.6Voldoende systeemcapaciteit bewaken
- A.8.7Schadelijke software voorkomen en bestrijden
- A.8.8Technische kwetsbaarheden beoordelen en opvolgen
- A.8.9Veilige configuraties vastleggen en bewaken
- A.8.10Informatie verwijderen wanneer dat nodig is
- A.8.11Gevoelige gegevens waar passend maskeren
- A.8.12Ongewenst weglekken van data tegengaan
- A.8.13Back-ups maken en herstelbaarheid controleren
- A.8.14Beschikbaarheid met redundantie ondersteunen
- A.8.15Relevante gebeurtenissen vastleggen in logs
- A.8.16Activiteiten op afwijkingen bewaken
- A.8.17Systeemklokken op elkaar afstemmen
- A.8.18Krachtige systeemhulpmiddelen gecontroleerd gebruiken
- A.8.19Software-installaties op productiesystemen beheersen
- A.8.20Netwerken en netwerkapparatuur beveiligen
- A.8.21Beveiliging van netwerkdiensten afspreken
- A.8.22Netwerken passend van elkaar scheiden
- A.8.23Toegang tot schadelijke webinhoud beperken
- A.8.24Versleuteling en sleutelbeheer passend inzetten
- A.8.25Beveiliging in de ontwikkelcyclus opnemen
- A.8.26Beveiligingseisen voor applicaties bepalen
- A.8.27Veilige architectuur en ontwerpprincipes toepassen
- A.8.28Veilige programmeerpraktijken gebruiken
- A.8.29Beveiliging tijdens ontwikkeling en acceptatie testen
- A.8.30Uitbestede ontwikkeling op beveiliging aansturen
- A.8.31Ontwikkeling, testen en productie scheiden
- A.8.32Wijzigingen beoordelen, testen en beheerst invoeren
- A.8.33Testgegevens zorgvuldig kiezen en beschermen
- A.8.34Systemen tijdens audit- en testactiviteiten beschermen
Van risicoanalyse naar de Verklaring van Toepasselijkheid
We beginnen bij uw informatie, bedrijfsprocessen en relevante verplichtingen. Samen beoordelen we welke gebeurtenissen schade kunnen veroorzaken, hoe groot het risico is en welke behandeling past. De risico-eigenaar beoordeelt het behandelplan en accepteert het resterende risico.
De benodigde beheersmaatregelen vergelijken we met Annex A, zodat relevante onderwerpen niet worden gemist. In de Verklaring van Toepasselijkheid (Statement of Applicability, SoA) leggen we vast welke maatregelen nodig zijn, waarom ze zijn opgenomen en of ze zijn geïmplementeerd. Uitsluitingen van Annex A-maatregelen worden onderbouwd. Zo nodig voegen we eigen maatregelen toe.
Alle 93 controls worden beoordeeld; ze hoeven niet zonder afweging allemaal op dezelfde manier te worden ingevoerd. De keuze volgt uit risico’s en eisen. De managementsysteemeisen uit hoofdstukken 4 tot en met 10 blijven de basis voor conformiteit met ISO 27001.
Wat leveren we in het complete ISO 27001-pakket?
We ontwikkelen en leveren een samenhangend pakket dat past bij uw organisatie. Bestaande bruikbare documenten nemen we mee. Per onderdeel leggen we eigenaar, goedkeuring, invoering en onderhoud vast; de precieze opleverlijst en taakverdeling staan in uw voorstel.
Context, scope en uitgangssituatie
Context- en stakeholderanalyse, overzicht van relevante eisen, vastgelegde ISMS-scope en een nulmeting. U krijgt een implementatieplan met prioriteiten en afhankelijkheden.
Beleid en besturing
Informatiebeveiligingsbeleid, relevante themabeleidsstukken, beveiligingsdoelstellingen, een rollen- en verantwoordelijkhedenmatrix en een overleg- en rapportagestructuur.
Risico’s en maatregelen
Risicomethodiek, risicoregister, risicobehandelplan, Verklaring van Toepasselijkheid en een maatregelenoverzicht met eigenaren, status en bewijs.
HR, toegang en middelen
Procedures voor onboarding, functiewijziging en offboarding, periodieke rechtencontrole en middelenbeheer. Waar relevant komen afspraken over screening, geheimhouding, thuiswerken en toegestaan gebruik erbij.
Leveranciers, projecten en veranderingen
Werkwijzen voor leveranciersselectie en -beoordeling, beveiligingseisen in overeenkomsten en controle op wijzigingen. Ook beveiligingsafspraken voor cloudgebruik en projecten worden uitgewerkt.
Technisch beheer en databeveiliging
Afspraken en procedures voor classificatie, delen, bewaren en verwijderen van informatie. Daarnaast werken we met IT aan baselines voor configuratie, kwetsbaarheden, patches, logging en toegang.
Incidenten, continuïteit en herstel
Een meld- en incidentprocedure, escalatieafspraken en een incidentregister. We helpen met continuïteits- en herstelplannen, back-upafspraken en oefeningen of hersteltests.
Training, audits en verbetering
Een bewustwordings- en competentieplan, documentbeheer, een auditprogramma en auditplanning. Daar komen voorbereiding van de managementreview, een verbeterregister en overdracht aan uw security officer bij.
Beleid, processen en procedures die daadwerkelijk worden gebruikt
We werken elk relevant onderwerp op vier niveaus uit. Daardoor sluit het document aan op wie het werk doet, hoe het gebeurt en hoe u de werking aantoont.
Beleid: wat spreken we af?
Bijvoorbeeld: toegang tot bedrijfsinformatie wordt beperkt tot wat voor de functie nodig is. De directie stelt de uitgangspunten vast en communiceert deze.
Proces: wie doet wat?
Bij een nieuwe medewerker vraagt de leidinggevende passende rechten aan, beoordeelt de eigenaar die aanvraag en richt IT de toegang in. De security officer bewaakt de samenhang.
Procedure: hoe voeren we het uit?
We beschrijven de stappen, benodigde goedkeuringen, uitzonderingen en termijnen. Een praktische checklist helpt HR en IT om de werkwijze consequent te volgen.
Bewijs: hoe weten we dat het werkt?
Denk aan goedgekeurde aanvragen, geregistreerde intrekkingen en uitkomsten van rechtencontroles. Tijdens evaluaties en audits toetsen we zowel de inrichting als de uitvoering.
We helpen uw security officer ontwikkelen in de rol
Heeft u een medewerker die de security-officerrol gaat vervullen? We bepalen samen welk mandaat, welke tijd en welke kennis nodig zijn. Die medewerker werkt mee aan de inrichting en leert het ISMS in de praktijk onderhouden. ISO 27001 vraagt duidelijke verantwoordelijkheden en passende competenties; een specifieke functietitel of een fulltime aanstelling is niet op zichzelf verplicht.
We begeleiden de voorbereiding van risico-overleggen, het bijhouden van de SoA en het opvolgen van acties. Ook oefenen we rapporteren aan management, afstemmen met HR en IT, organiseren van awareness en voorbereiden van audits. We leggen leerdoelen vast en beoordelen samen wanneer taken zelfstandig kunnen worden uitgevoerd.
In het begin kan Freeke Cybersecurity meer begeleiden of taken tijdelijk invullen. Naarmate uw medewerker ervaring opbouwt, dragen we werkzaamheden over. U kunt daarna periodieke ondersteuning afspreken via Virtual Security as a Service. Het management blijft verantwoordelijk voor richting, middelen en besluiten.
Interne audit, managementreview en voorbereiding op certificering
We bouwen een auditprogramma dat aansluit op het belang van processen, veranderingen en eerdere bevindingen. Daarbij spreken we met directie, security officer, HR, inkoop en IT. We toetsen opzet, aanwezige documentatie en aantoonbare werking. De planning uit uw organisatie wordt afgestemd op scope en diepgang; een vaste auditduur past niet automatisch bij iedere organisatie.
Bij interne audits borgen we objectiviteit en onpartijdigheid. Als Freeke Cybersecurity intensief bij de implementatie betrokken is, spreken we af hoe voldoende onafhankelijke beoordeling wordt georganiseerd. Auditbevindingen worden vertaald naar acties waarvan de opvolging en effectiviteit worden gecontroleerd.
Voor de managementreview verzamelen we onder meer doelstellingen, risico’s, meetresultaten, auditbevindingen en verbetervoorstellen. Het management legt besluiten over wijzigingen, prioriteiten en middelen vast. Wilt u certificeren, dan begeleiden we de voorbereiding en opvolging van bevindingen; de certificeringsaudit en certificaatbeslissing liggen bij een onafhankelijke certificerende instelling.
Na de implementatie: een vast ritme voor verbetering
De werkwijze volgt het ritme van Plan, Do, Check, Act: bepalen wat nodig is, uitvoeren, beoordelen en bijsturen. We leggen geplande evaluaties, risicoherbeoordelingen, bewustwording, audits en managementreviews vast in uw ISMS-kalender.
Verandert uw dienstverlening, komt er een nieuwe leverancier bij of vindt er een incident plaats? Dan beoordelen we wat dat betekent voor scope, risico’s en maatregelen. Zo groeit het ISMS mee met uw organisatie en houdt uw security officer overzicht.
Zo werken we samen
Verkennen en plannen
We bepalen samen scope, doelen, rollen en uitgangssituatie. Daaruit volgt een implementatieplan met duidelijke opleveringen.
Ontwikkelen en invoeren
We maken beleid en procedures op maat, begeleiden maatregelen en helpen uw team de werkwijze uitvoeren en bewijs vastleggen.
Toetsen en overdragen
We organiseren evaluatie en auditvoorbereiding, begeleiden verbeteringen en dragen beheer over aan uw security officer.
Veelgestelde vragen over ISO 27001 implementatie
Is ISO 27001 alleen voor IT-bedrijven?
Nee. De aanpak is bruikbaar voor organisaties uit verschillende sectoren. De scope, risico’s, processen en gekozen maatregelen worden afgestemd op uw organisatie.
Moeten alle 93 controls worden geïmplementeerd?
We beoordelen de complete referentieset. Welke maatregelen nodig zijn, volgt uit risicobehandeling en relevante eisen. De SoA onderbouwt de gekozen maatregelen, hun implementatiestatus en eventuele uitsluitingen uit Annex A.
Krijgen we beleid en procedures aangeleverd?
Ja. Binnen het afgesproken implementatiepakket ontwikkelen en leveren we de benodigde documenten en werkafspraken op maat. Uw organisatie beoordeelt en stelt deze vast; we helpen bij invoering, communicatie en bewijsvoering.
Helpen jullie iemand intern security officer te worden?
Ja. We helpen de rol, het mandaat en benodigde competenties bepalen. Door coaching, samen uitvoeren en gerichte kennisoverdracht kan een medewerker stapsgewijs meer verantwoordelijkheid voor het ISMS oppakken.
Is het complete pakket altijd hetzelfde?
De aanpak is volledig voor de afgesproken scope, maar de uitwerking verschilt per organisatie. We hergebruiken wat goed werkt en leggen vooraf vast welke documenten, implementatiewerkzaamheden, training en auditondersteuning zijn inbegrepen.
Verzorgt Freeke Cybersecurity ook de certificering?
Freeke Cybersecurity begeleidt implementatie en auditvoorbereiding. Een onafhankelijke certificerende instelling voert de certificeringsaudit uit en beslist over het certificaat.
Hoe lang duurt een ISO 27001-traject en wat kost het?
Dat hangt af van de scope, uw uitgangssituatie, beschikbare medewerkers en het doel. Na de intake ontvangt u een voorstel met planning, taakverdeling, opleveringen en kosten.
Praktische uitleg bij deze dienst
Ook relevant voor uw organisatie
Van inzicht naar uitvoering
Welke stap past bij uw organisatie?
Bespreek uw vraag met Freeke Cybersecurity. U krijgt een voorstel met duidelijke werkzaamheden, scope en kosten.
Bespreek uw ISO 27001-traject →