ISO 27001:2022 of NEN-EN-ISO/IEC 27001:2023: welke norm geldt?
Op offertes en certificaten ziet u zowel 2022 als 2023 staan. Het gaat om dezelfde eisen. Lees waar het verschil in jaartal vandaan komt en welke versie u aanhoudt.
Kennisbank
Kennisbank cybersecurity en compliance
Praktische uitleg over ISO 27001, Microsoft 365, e-mailbeveiliging, pentesten en NIS2. Geschreven voor directie, ICT en compliance, met de vragen uit de praktijk als uitgangspunt.
51 artikelen over 9 onderwerpen
ISO 27001
De norm, de transitie naar de huidige versie, Annex A en het certificeringstraject.
De transitie van ISO 27001:2013 naar de nieuwe norm
De overgangsperiode naar de nieuwe ISO 27001 is op 31 oktober 2025 afgelopen. Wat veranderde er, en wat doet u als uw organisatie nog met de oude norm werkt?
Wat is er veranderd in de hoofdstukken 4 tot en met 10 van ISO 27001?
De aandacht ging vooral naar Annex A, maar ook de eisen aan het managementsysteem zijn gewijzigd. Een overzicht per hoofdstuk, inclusief het klimaatamendement uit 2024.
Annex A van ISO 27001: de 93 beheersmaatregelen in vier thema’s
Annex A is de lijst met beheersmaatregelen waarmee u risico’s behandelt. Zo is de lijst opgebouwd en zo gebruikt u de attributen uit ISO 27002 in de praktijk.
De elf nieuwe beheersmaatregelen in ISO 27001 uitgelegd
Threat intelligence, clouddiensten, datalekpreventie en veilig programmeren: de elf maatregelen die in de huidige versie van ISO 27001 zijn toegevoegd, met praktische invulling.
De Verklaring van Toepasselijkheid: zo stelt u de SoA goed op
De Verklaring van Toepasselijkheid verbindt uw risico’s met Annex A. Lees welke onderdelen verplicht zijn en welke fouten auditors het vaakst tegenkomen.
Een risicoanalyse voor ISO 27001 opzetten die blijft werken
De risicoanalyse is de kern van uw ISMS. Zo bepaalt u criteria, risico-eigenaren en behandeling, zonder dat het een spreadsheet wordt die niemand meer opent.
Interne audit en directiebeoordeling binnen ISO 27001
Twee verplichte onderdelen die vaak als formaliteit worden gezien. Zo zet u de interne audit en de directiebeoordeling in om uw ISMS echt te verbeteren.
De ISO 27001-certificeringsaudit: fase 1, fase 2 en de jaren daarna
Hoe verloopt een certificeringstraject voor ISO 27001? Een overzicht van de fase 1- en fase 2-audit, afwijkingen, de jaarlijkse controle-audits en de hercertificering.
ISO 27001 implementatie: kosten, planning en interne inzet
Een realistisch ISO 27001-plan maakt onderscheid tussen begeleiding, werk binnen uw organisatie, technische maatregelen en de certificeringsaudit.
Microsoft 365
Conditional Access, MFA, beheerrechten en het beschermen van gegevens in Microsoft 365.
Enterprise apps in Microsoft 365: lessen uit het ConnectWise-incident
Bij ConnectWise Cloud Backup kwamen aanvallers via een gekoppelde app binnen bij Microsoft 365-omgevingen, zonder wachtwoord en zonder MFA. Wat ging er mis en hoe houdt u grip op apps met toegang tot uw omgeving?
Conditional Access in Microsoft 365: hoe het werkt
Conditional Access bepaalt onder welke voorwaarden iemand toegang krijgt tot Microsoft 365. Lees hoe een policy is opgebouwd en welke licentie u nodig hebt.
Een basisset Conditional Access-policies voor uw organisatie
Welke Conditional Access-policies horen in vrijwel elke Microsoft 365-omgeving? Een praktische basisset, met aandachtspunten voor noodaccounts en uitrol.
Standaardinstellingen voor beveiliging of Conditional Access?
Microsoft 365 biedt twee manieren om MFA en basisbeveiliging af te dwingen. Lees het verschil tussen security defaults en Conditional Access en wanneer u overstapt.
Phishingbestendige MFA in Microsoft 365: passkeys en authenticatiesterkte
Niet elke vorm van MFA houdt een moderne phishingaanval tegen. Lees welke methoden phishingbestendig zijn en hoe u ze afdwingt met authenticatiesterkte.
Beheerdersaccounts in Microsoft 365 beveiligen
Een overgenomen beheerdersaccount geeft toegang tot de hele omgeving. Zo beperkt u het aantal beheerders, kiest u de juiste rollen en zet u Privileged Identity Management in.
DLP-policies in Microsoft Purview: datalekken voorkomen in Microsoft 365
Met Data Loss Prevention in Microsoft Purview signaleert of blokkeert u het delen van gevoelige gegevens. Zo kiest u wat u beschermt en rolt u een DLP-policy veilig uit.
Intune-nalevingsbeleid en Conditional Access: alleen beheerde apparaten toegang geven
Met Intune bepaalt u wanneer een apparaat veilig genoeg is. Combineer dat met Conditional Access en alleen apparaten die aan uw eisen voldoen, krijgen toegang tot bedrijfsdata.
Privételefoons en Microsoft 365: bedrijfsdata beschermen zonder het toestel te beheren
Medewerkers lezen hun zakelijke mail vaak op een privételefoon. Met app-beveiligingsbeleid in Intune beschermt u de bedrijfsdata in de apps, zonder het hele toestel te beheren.
Microsoft Defender for Business: endpointbeveiliging goed instellen
Defender for Business zit in Microsoft 365 Business Premium, maar staat lang niet altijd goed ingesteld. Deze instellingen maken het verschil tussen een virusscanner en echte detectie en respons.
Phishing tegenhouden met Defender voor Office 365
Defender voor Office 365 voegt bescherming toe tegen phishing, kwaadaardige links en bijlagen. Lees welke functies er zijn en waarom de vooraf ingestelde beveiligingsbeleidsregels een goed vertrekpunt zijn.
Wat kost een Microsoft 365 security scan en wat krijgt u?
Een Microsoft 365-scan is pas bruikbaar als duidelijk is wat wordt onderzocht, wat u ontvangt en hoe de verbeteringen worden opgepakt.
MFA staat aan: is uw Microsoft 365 dan veilig?
MFA is belangrijk, maar de bescherming hangt ook af van beleidsdekking, uitzonderingen, apparaten en toegang tot bedrijfsdata.
E-mailbeveiliging
SPF, DKIM en DMARC: voorkomen dat anderen mail versturen namens uw domein.
SPF instellen: welke servers mogen namens uw domein mailen?
Een SPF-record vertelt ontvangende mailservers welke systemen namens uw domein mogen versturen. Lees hoe u het record opbouwt en welke fouten mail laten afwijzen.
DKIM instellen in Microsoft 365
Met DKIM ondertekent uw mailserver elk bericht digitaal. Lees hoe DKIM werkt, hoe u het in Microsoft 365 activeert en waarom ook externe verzenders moeten tekenen.
DMARC instellen: stap voor stap van p=none naar p=reject
DMARC bepaalt wat ontvangers doen met mail die zich onterecht als uw domein voordoet. Zo bouwt u in drie fases op naar een beleid dat spoofing tegenhoudt.
Incidenten, back-up en herstel
Voorbereid zijn op ransomware, een gehackte mailbox of ander incident, en weer kunnen herstellen.
Een back-upstrategie die werkt: de 3-2-1-regel en hersteltests
Een back-up is pas waardevol als u er ook echt mee kunt herstellen. Lees hoe u met de 3-2-1-regel, onveranderbare kopieën en hersteltests een back-up opzet die een ransomware-aanval overleeft.
Hebt u een back-up van Microsoft 365 nodig?
Microsoft zorgt dat de dienst beschikbaar blijft, maar u bent verantwoordelijk voor uw eigen gegevens. Lees wat prullenbakken en bewaarbeleid wel en niet doen en wanneer een aparte back-up nodig is.
Ransomware: voorbereiden, reageren en herstellen
Een ransomware-aanval legt uw organisatie in korte tijd stil. Lees welke maatregelen de kans en impact verkleinen en wat u in de eerste uren na een aanval doet.
Een incidentresponsplan opstellen en oefenen
Bij een beveiligingsincident is er geen tijd om rollen en contactgegevens uit te zoeken. Zo stelt u een incidentresponsplan op dat in de praktijk werkt, en zo oefent u het.
Gehackte mailbox in Microsoft 365: de stappen die u direct zet
Een overgenomen mailbox wordt vaak gebruikt voor factuurfraude en nieuwe phishing. Lees hoe u het account veiligstelt, sporen van de aanvaller verwijdert en de omvang onderzoekt.
Pentesten en kwetsbaarheden
Voorbereiden, uitvoeren en opvolgen van pentests en kwetsbaarhedenscans.
Een pentest voorbereiden: scope, testvorm en afspraken
De waarde van een pentest wordt grotendeels vooraf bepaald. Lees hoe u de scope afbakent, de juiste testvorm kiest en welke afspraken u vastlegt voordat er wordt getest.
Een pentestrapport lezen en de bevindingen opvolgen
Na de pentest ligt er een rapport met bevindingen en scores. Zo leest u het rapport, stelt u prioriteiten en zorgt u dat herstel aantoonbaar is afgerond.
Het CCV-keurmerk Pentesten: waar let u op bij het kiezen van een pentester?
Het CCV-certificatieschema voor pentests stelt eisen aan het testplan, de uitvoering, het rapport en de pentesters zelf. Lees wat het keurmerk zegt en hoe u het gebruikt bij uw keuze.
Kwetsbaarhedenscan of pentest: wat heeft uw bedrijf nodig?
Beide onderzoeken zwakke plekken, maar ze beantwoorden verschillende vragen. Kies de methode op basis van uw doel en de afgesproken systemen.
Cyberbeveiligingswet en NIS2
De Cyberbeveiligingswet sinds 15 augustus 2026: toepasselijkheid, zorgplicht, meldplicht en de rol van het bestuur.
De Cyberbeveiligingswet is van kracht: wat moet u nu regelen?
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. Een overzicht van de vier kernplichten en wat u als eerste oppakt.
Valt mijn organisatie onder de Cyberbeveiligingswet?
Of de Cbw voor u geldt, hangt af van uw sector en de omvang van uw organisatie. Lees hoe u dat bepaalt en wat het verschil is tussen een essentiële en een belangrijke entiteit.
De zorgplicht in de Cyberbeveiligingswet: welke maatregelen verwacht de wet?
De zorgplicht vraagt passende en evenredige maatregelen om risico’s te beheersen. Lees welke onderwerpen het Cyberbeveiligingsbesluit noemt en hoe ISO 27001 daarbij helpt.
De meldplicht onder de Cyberbeveiligingswet: binnen 24 uur, 72 uur en een maand
Een significant incident moet u gefaseerd melden. Lees wanneer een incident significant is, welke termijnen gelden en hoe u de meldplicht naast de AVG-datalekmelding regelt.
Bestuurders en de Cyberbeveiligingswet: verantwoordelijkheid en trainingsplicht
De Cbw legt cyberbeveiliging nadrukkelijk bij het bestuur. Lees wat bestuurders moeten doen, wat de trainingsplicht inhoudt en welke persoonlijke gevolgen een overtreding kan hebben.
Uw klant vraagt om NIS2: wat moet u als leverancier regelen?
Begin bij de concrete klantvraag en uw eigen situatie. Een beveiligingsvraag van een opdrachtgever vraagt om een onderbouwd antwoord en duidelijke afspraken.
AI en ISO 42001
Verantwoord gebruik van AI: ISO 42001, de AI-verordening en afspraken voor medewerkers.
ISO 42001: wat is een managementsysteem voor AI?
ISO/IEC 42001 is de eerste managementsysteemnorm voor kunstmatige intelligentie. Lees voor wie de norm bedoeld is, hoe hij is opgebouwd en hoe hij aansluit op ISO 27001.
De beheersmaatregelen van ISO 42001 in negen onderwerpen
Annex A van ISO 42001 bevat 38 beheersmaatregelen voor AI, verdeeld over negen onderwerpen. Een overzicht in gewone taal, met wat ze in de praktijk van u vragen.
De AI-impactbeoordeling: risico’s voor mensen en samenleving in kaart
ISO 42001 vraagt naast een risicoanalyse ook een impactbeoordeling van AI-systemen. Lees wat het verschil is en hoe u een beoordeling opzet die bruikbaar blijft.
ISO 42001 en de Europese AI-verordening: hoe verhouden ze zich?
De AI-verordening is wetgeving, ISO 42001 is een vrijwillige norm. Lees wat de verordening van organisaties vraagt en hoe een AI-managementsysteem helpt om daaraan te voldoen.
Een AI-beleid voor medewerkers: Copilot, ChatGPT en andere tools
Medewerkers gebruiken AI-tools vaak al voordat er afspraken zijn. Zo stelt u een praktisch AI-beleid op dat gebruik mogelijk maakt en tegelijk gegevens beschermt.
Privacy en AVG
Datalekken, verwerkersovereenkomsten en privacy aantoonbaar organiseren met ISO 27701.
Een datalek onder de AVG: beoordelen, melden en vastleggen
Niet elk datalek hoeft gemeld te worden, maar elk datalek moet wel worden vastgelegd. Lees hoe u een datalek beoordeelt, wanneer u meldt bij de Autoriteit Persoonsgegevens en wanneer u betrokkenen informeert.
ISO 27701: privacy aantoonbaar organiseren
ISO 27701 beschrijft een managementsysteem voor privacy. Lees wat de norm toevoegt aan ISO 27001, wat er in de nieuwe versie is veranderd en wanneer certificering waarde heeft.
De verwerkersovereenkomst: wat moet erin staan?
Laat u persoonsgegevens verwerken door een leverancier, dan is een verwerkersovereenkomst verplicht. Lees wat de AVG voorschrijft en waar u bij het beoordelen van een overeenkomst op let.
NEN 7510 en CIS Controls
Andere normen en raamwerken, zoals NEN 7510 voor de zorg en de CIS Controls.
NEN 7510:2024: wat is er veranderd voor informatiebeveiliging in de zorg?
De nieuwe NEN 7510 sluit aan op de huidige ISO 27001 en ISO 27002 en voegt acht zorgspecifieke maatregelen toe. Lees wat er veranderde en wat dit betekent voor zorgorganisaties en hun leveranciers.
CIS Controls v8.1: een praktische lijst met basismaatregelen
De CIS Controls zijn 18 concrete maatregelen met 153 onderdelen, verdeeld over drie implementatiegroepen. Lees hoe u ze gebruikt als startpunt naast ISO 27001 of de Cyberbeveiligingswet.