Praktische gids · 13 stappen
ISO 27001 stappenplan voor kleine organisaties
Een ISO 27001 traject wordt overzichtelijker wanneer je het opdeelt in duidelijke fasen. De precieze invulling verschilt per organisatie, maar de volgorde hieronder voorkomt dat je te vroeg documenten gaat schrijven zonder de belangrijkste keuzes te hebben gemaakt.
Het stappenplan in het kort
Een logisch traject gaat van aanleiding en scope naar gap analyse, risicoanalyse, risicobehandeling, Statement of Applicability, uitvoering, bewijs, interne audit, managementreview, certificering en daarna onderhoud.
In dit stappenplan
Stap 01
Bepaal waarom je ISO 27001 wilt
Maak duidelijk wat de aanleiding is. Denk aan klantvragen, tenders, professionalisering of het beperken van risico’s. Een duidelijke aanleiding helpt bij beslissingen over planning, budget en scope.
Stap 02
Wijs een interne eigenaar aan
Een persoon moet het traject bewaken. Die persoon hoeft niet alles zelf uit te voeren, maar moet wel zorgen dat acties worden verdeeld en besluiten worden genomen.
Stap 03
Bepaal de scope
De scope beschrijft welke organisatieonderdelen, processen, locaties, mensen en systemen binnen het ISMS vallen. Een te brede scope maakt het traject zwaar; een kunstmatig smalle scope kan ongeloofwaardig zijn.
Stap 04
Breng de huidige situatie in kaart
Onderzoek welke processen, afspraken en maatregelen al bestaan. Kijk niet alleen naar documenten, maar ook naar wat medewerkers werkelijk doen.
Stap 05
Voer een risicoanalyse uit
Bepaal welke informatie belangrijk is, welke gebeurtenissen schade kunnen veroorzaken en welke maatregelen al bestaan. Beoordeel daarna welke aanvullende acties nodig zijn.
Stap 06
Selecteer relevante maatregelen
Niet iedere beheersmaatregel hoeft op dezelfde manier te worden toegepast. Leg vast welke maatregelen relevant zijn, hoe zij zijn ingericht en waarom sommige maatregelen niet van toepassing zijn. Deze onderbouwing komt samen in de Statement of Applicability.
Stap 07
Richt beleid en processen in
Leg de belangrijkste afspraken vast. Schrijf alleen documenten die medewerkers en verantwoordelijken werkelijk nodig hebben.
Stap 08
Voer verbeteracties uit
- Toegangscontroles invoeren
- Leveranciers beoordelen
- Incidentprocedure oefenen
- Back-up herstel testen
- Apparaten registreren
- Verantwoordelijkheden vastleggen
Stap 09
Verzamel bewijs
Bewijs laat zien dat afspraken daadwerkelijk worden uitgevoerd. Denk aan registraties, verslagen, screenshots, systeeminstellingen, auditlogs, testresultaten en goedgekeurde beoordelingen.
Stap 10
Voer een interne audit uit
De interne audit onderzoekt of het ISMS voldoet aan de normeisen en of de organisatie haar eigen afspraken naleeft. De auditor moet objectief en onpartijdig kunnen beoordelen; in een klein team kan externe hulp daarom nodig zijn.
Stap 11
Houd een managementreview
De directie beoordeelt of het ISMS nog passend en effectief is. Daarbij worden risico’s, incidenten, audits, doelstellingen en verbeterpunten besproken.
Stap 12
Doorloop de certificeringsaudit
Een certificerende instelling beoordeelt het ISMS. Voor extra vertrouwen kies je een geaccrediteerde certificerende instelling. De audit bestaat doorgaans uit een beoordeling van de opzet en een beoordeling van de werking in de praktijk.
Stap 13
Onderhoud en verbeter
Na certificering blijven controles, audits, reviews en verbeteracties nodig. ISO 27001 moet meegroeien met veranderingen in klanten, medewerkers, leveranciers en technologie.
Begin met inzicht en eigenaarschap.
Begin niet met een map vol templates. Begin met inzicht, keuzes en eigenaarschap, en bouw daarna pas documenten en bewijs op.
Bronnen en normversie
Raadpleeg voor certificering altijd de geldende normtekst en de eisen van je certificerende instelling. Officieel gaat het om ISO/IEC 27001:2022, inclusief relevante amendementen. We gebruiken hier ISO 27001 als kortere schrijfwijze.
Jullie volgende stap. Overzicht en een plan.
NormFrame helpt jullie naar de ISO 27001-audit, met beleid dat bij jullie past, duidelijke taken en een inhoudelijke check door een expert. Bekijk hoe dat voor jullie organisatie werkt.
Vraag een demo aan