De scope bepaalt het traject
Welke diensten, processen, locaties en informatie vallen onder het ISMS? En welke afspraken en maatregelen bestaan al? Die uitgangssituatie bepaalt hoeveel werk nodig is. Een organisatie met bruikbare procedures en actieve risico-opvolging heeft een ander vertrekpunt dan een organisatie die verantwoordelijkheden en beheerafspraken nog moet organiseren.
Welke kosten horen erbij?
Maak onderscheid tussen consultancy, interne uren, technische verbeteringen en de externe certificeringsaudit. Software kan het risicoregister, taken en bewijs organiseren, maar neemt besluiten en uitvoering niet over. Vraag in een voorstel om een opleverlijst en taakverdeling. Zo is duidelijk of bijvoorbeeld risicoanalyse, beleid, invoering, interne auditvoorbereiding en overdracht onderdeel van de opdracht zijn.
Hoeveel tijd vraagt het van uw medewerkers?
Wijs een interne eigenaar aan en plan betrokkenheid van directie, HR, IT en proceseigenaren. Zij leveren informatie, beoordelen afspraken en voeren maatregelen uit. De directie stelt beleid vast en neemt besluiten. Een consultant helpt het werk organiseren en uitvoeren, maar kan de dagelijkse werking alleen onderbouwen met medewerking van de organisatie.
Wat bepaalt de doorlooptijd?
Niet alleen het schrijven van documenten, maar ook invoering, uitvoering en evaluatie kosten tijd. Toegangsreviews, hersteltests, leveranciersbeoordelingen en audits moeten worden gepland en opgevolgd. Kies daarom een haalbare planning met concrete opleveringen en afhankelijkheden. Freeke Cybersecurity stemt begeleiding af op uw uitgangssituatie en beschikbare capaciteit.
Implementatie en certificering
Een implementatietraject richt het managementsysteem in en helpt het aantoonbaar gebruiken. Een onafhankelijke certificerende instelling voert de certificeringsaudit uit en beslist over het certificaat. Bespreek die afzonderlijke rol en kosten vooraf. Na het traject blijft onderhoud nodig: risico’s beoordelen, acties opvolgen, controleren en verbeteren.