De opbouw is gelijk gebleven
ISO 27001 volgt dezelfde structuur als andere managementsysteemnormen, zoals ISO 9001 en ISO 14001. De hoofdstukken 4 tot en met 10 bevatten de eisen aan het managementsysteem. Bij de nieuwe versie is die structuur geactualiseerd. De wijzigingen zijn beperkt in omvang, maar een auditor toetst ze wel.
Context, belanghebbenden en het ISMS zelf
In hoofdstuk 4 bepaalt u nu ook welke eisen van belanghebbenden u via het ISMS adresseert. Dat dwingt tot een bewuste keuze: welke klant-, wet- en contracteisen vallen binnen het managementsysteem en welke worden elders geborgd? Daarnaast vraagt de norm expliciet om de benodigde processen en hun onderlinge samenhang.
Sinds het amendement van 2024 bepaalt u bovendien of klimaatverandering een relevant onderwerp is voor uw organisatie. Voor de meeste dienstverleners is dat een korte, onderbouwde afweging in de contextanalyse, bijvoorbeeld over de beschikbaarheid van datacenters of kantoren bij extreem weer.
Leiderschap en planning
Rollen en verantwoordelijkheden moeten binnen de organisatie bekend zijn gemaakt, niet alleen zijn vastgelegd. In hoofdstuk 6 zijn de eisen aan doelstellingen uitgebreid: ze worden gemonitord en zijn beschikbaar als gedocumenteerde informatie. Nieuw is paragraaf 6.3 over het plannen van wijzigingen. Wanneer u het ISMS aanpast, gebeurt dat gepland en met aandacht voor de gevolgen.
Uitvoering en evaluatie
Hoofdstuk 8 vraagt dat u criteria vaststelt voor uw processen en die processen volgens deze criteria uitvoert. Extern geleverde processen, producten en diensten die relevant zijn voor het ISMS moeten worden beheerst. Denk aan uw ICT-partner, cloudleveranciers en softwareontwikkelaars.
In hoofdstuk 9 zijn interne audit en directiebeoordeling opgesplitst in duidelijkere subparagrafen. De directiebeoordeling neemt nu expliciet veranderingen in de behoeften en verwachtingen van belanghebbenden mee.
Verbetering
Hoofdstuk 10 is omgedraaid: continue verbetering staat nu vóór afwijkingen en corrigerende maatregelen. Inhoudelijk verandert hier weinig. Het onderstreept wel dat verbetering een doorlopend proces is en niet alleen een reactie op auditbevindingen.
Hoe toetst u dit zelf?
Loop per hoofdstuk na of u het bewijs kunt laten zien. Een contextanalyse met een klimaatafweging, een overzicht van belanghebbenden en hun eisen, gemonitorde doelstellingen, een vastgelegde werkwijze voor wijzigingen en afspraken met leveranciers. Ontbreekt een van deze onderdelen, dan weet u waar u moet beginnen.