Kennisbank · ISO 27001
ISO 27001 voor een kmo: de stappen, de doorlooptijd en wat het vraagt
ISO 27001 is een certificeerbaar managementsysteem voor informatiebeveiliging en geen IT-project. Deze pagina zet de stappen van scope tot certificaat op een rij en zegt wie welk werk doet. Ze is ook eerlijk over wat niemand u vooraf kan beloven: de doorlooptijd. De geldende editie is ISO/IEC 27001:2022.
Beslishulp
ISO 27001 of CyFun: de vraag is wie het bewijs eist
Beide kunnen als bewijs voor NIS2 dienen. Of NIS2 op uw bedrijf van toepassing is, bepaalt de officiële scopetest van het CCB en niet deze tabel.
| Uw situatie | Richting |
|---|---|
| Klanten of aanbestedingen vragen uitdrukkelijk een ISO 27001-certificaat | ISO 27001 |
| U moet vooral aantonen dat u voldoet aan de Belgische NIS2-wet | CyFun volstaat vaak: een gevalideerde implementatie geeft een vermoeden van conformiteit |
| U werkt internationaal en uw afnemers kennen CyFun niet | ISO 27001 is internationaal bekender. Vraag het eerst na bij uw belangrijkste afnemers |
| U bent een essentiële entiteit en wil één systeem voor beide doelen | Kan, op voorwaarde dat de certificatiescope alle relevante systemen dekt (zie het blok over de scope) |
| U weet nog niet wat uw klanten gaan vragen | Een CyFun-stap is geen verplichte tussenstap naar ISO 27001. Kies op basis van wie het bewijs vraagt |
De stappen
Van scope tot certificaat in negen stappen
De volgorde is vast. Wat varieert is hoeveel van elke stap u al gedaan heeft.
| Stap | Wat het oplevert | Wie doet het werk |
|---|---|---|
| 1. Beslissing en mandaat | Doel, budget en een aangeduide interne trekker | Directie |
| 2. Scope afbakenen | Schriftelijke scope: locaties, processen, systemen, betrokken partijen | Directie en interne trekker, met de begeleider |
| 3. Risicobeoordeling | Risicomethode, risicoregister en risicobehandelplan | Interne trekker en procesverantwoordelijken, de begeleider bewaakt de methode |
| 4. Maatregelen kiezen | Verklaring van toepasselijkheid: welke Annex A-maatregelen gelden en waarom | Interne trekker, IT-partner en begeleider |
| 5. Maatregelen invoeren | Beleid, procedures, technische en organisatorische maatregelen | De IT-partner voert technisch uit, uw mensen volgen de procedures, de begeleider stuurt de planning |
| 6. Het systeem laten draaien | Bewijsstukken: metingen, opleidingen, incidenten | Interne trekker |
| 7. Interne audit | Auditrapport en lijst van afwijkingen | Iemand die het systeem niet zelf heeft opgesteld |
| 8. Directiebeoordeling | Beslissingen over resultaten, middelen en verbeteringen | Directie |
| 9. Certificatie-audit | Het certificaat, of een lijst van afwijkingen om op te volgen | Certificatie-instelling. De begeleider bereidt voor maar certificeert niet |
Documentatie
De norm vraagt minder papier dan veel offertes laten uitschijnen
De norm somt zelf op welke gedocumenteerde informatie verplicht is. Dat lijstje is korter dan veel documentpakketten doen vermoeden. Gebruik de normtekst als uiteindelijke checklist.
Documenten om te onderhouden
Scope, informatiebeveiligingsbeleid, informatie over het risicobeoordelings- en risicobehandelingsproces, verklaring van toepasselijkheid, risicobehandelplan, doelstellingen, bewijs van operationele beheersing en een auditprogramma.
Bewijsstukken om te bewaren
Competentie, resultaten van risicobeoordeling en risicobehandeling, meetresultaten, auditresultaten, resultaten van de directiebeoordeling en de aard van afwijkingen met de genomen acties.
Wat niet verplicht is
Bijlage A telt 93 maatregelen in vier thema's: organisatorisch, mensgericht, fysiek en technologisch. U documenteert enkel de maatregelen die u in uw verklaring van toepasselijkheid opneemt. Extra documentatie mag, maar de norm eist ze niet.
Doorlooptijd
Een eerlijk antwoord op de doorlooptijd is een lijst van drijvers
Aanbieders publiceren graag een aantal maanden. Zo'n cijfer zegt weinig zonder uw vertrekpunt, en een onafhankelijk Belgisch gemiddelde bestaat niet. Wat de duur wel bepaalt:
Uw beginsituatie
Bestaande beleidsstukken, een inventaris van systemen en een werkend kwaliteitssysteem verkorten de weg.
De grootte van de scope
Meer locaties, systemen en personen betekent meer risicobeoordeling, meer maatregelen en een langere audit.
Tijd van de interne trekker
Zonder vrijgemaakte uren in de agenda schuift alles op. Dit is de meest onderschatte drijver.
Tempo van de IT-partner
Technische maatregelen hangen af van de beschikbaarheid van wie ze invoert.
Bewijs dat het systeem draait
Interne audit en directiebeoordeling horen bij de norm. Ze kunnen pas als het systeem een tijd heeft gewerkt.
Planning van de certificatie-instelling
Auditdata liggen niet altijd op uw gewenste moment vast.
De audit
Twee auditfasen, een certificaat met een looptijd en een accreditatie die telt
De certificatie-audit verloopt in twee fasen. In fase 1 toetst de auditor uw documentatie en of u klaar bent. In fase 2 volgt de volledige audit van de uitvoering in de praktijk. Het certificaat geldt drie jaar, met jaarlijkse opvolgingsaudits en een hercertificatie voor het verstrijkt. Hoe lang de audit duurt, kiest de instelling niet vrij: ISO/IEC 27006 legt een berekening vast op basis van het aantal personen binnen de scope. Vraag die berekening op bij elke offerte, zo vergelijkt u instellingen op dezelfde basis. Accreditatie is geen detail. Een geaccrediteerde instelling staat zelf onder toezicht van een accreditatie-instantie, in België BELAC, en haar certificaten worden internationaal erkend. Wilt u het certificaat voor NIS2 in België gebruiken, dan moet de instelling volgens de CCB-FAQ bovendien door het CCB gemachtigd zijn. Controleer beide voor u tekent.
ISO 27001 voor NIS2
Niet het certificaat telt, de scopeEen certificaat met een te smalle scope bewijst voor NIS2 niets
Wilt u ISO 27001 ook voor NIS2 gebruiken, dan moeten alle relevante netwerk- en informatiesystemen binnen de certificatiescope vallen. Volgens de CCB FAQ moeten scope en verklaring van toepasselijkheid de volledige NIS2-entiteit dekken, en bewijst het certificaat van een moederbedrijf niets voor een dochter. Gelijkwaardigheid met CyFun toetst u via de correspondentietabel op de CyFun-website, met de kolommen voor Important en Essential. Voor essentiële entiteiten geeft de inspectiedienst tot 18 april 2027 voorrang aan maatregelen gelijkwaardig aan CyFun Important. Wie op 18 april 2027 geen certificatie heeft die maatregelen gelijkwaardig aan Essential dekt, dient een remediatieplan in: een ISO 27001-certificaat dat minstens maatregelen gelijkwaardig aan Important dekt, met een plan richting Essential. Tegen 18 april 2028 moet het niveau Essential gedekt zijn (mededeling NCCA/JK/INS/2026-002 van 11 augustus 2026). Belangrijke entiteiten kiezen vrijwillig. De volledige uitleg staat op de pagina's over NIS2 versus ISO 27001 en over de deadline.
ISO 9001
Heeft u ISO 9001, dan begint u niet bij nul
ISO 27001 en ISO 9001 delen dezelfde geharmoniseerde structuur, met de hoofdstukken 4 tot 10. Context, leiderschap, competentie, documentbeheer, interne audit, directiebeoordeling en corrigerende acties kunt u grotendeels hergebruiken. Nieuw zijn de risicobeoordeling voor informatiebeveiliging, de verklaring van toepasselijkheid en de maatregelen zelf. Wat uw bestaande systeem per requirement al draagt, bekijkt u op de pagina over het hergebruiken van ISO 9001.
Na het certificaat
Het certificaat is het begin van een jaarlijkse cyclus
Interne audit
Volgens uw auditprogramma, in de praktijk elk jaar. De norm eist audits met geplande tussenpozen.
Directiebeoordeling
De directie bekijkt resultaten, incidenten en middelen en legt beslissingen vast.
Risico's en verklaring bijwerken
Nieuwe systemen, leveranciers of dreigingen horen in het register en in de verklaring van toepasselijkheid.
Afwijkingen afhandelen
Elke afwijking krijgt een oorzaak, een actie en een controle van het resultaat.
Opvolgingsaudit
Jaarlijks bezoek van de certificatie-instelling. Een hercertificatie volgt in het derde jaar.
Bewustmaking en competentie
Nieuwe medewerkers, nieuwe tools en nieuwe risico's vragen opleiding die u kunt aantonen.
Veelgestelde vragen
Kort beantwoord
Weten welke route bij u past?
In een eerste, gratis gesprek bekijken we samen scope en route. RGI leidt het traject, de certificatie zelf doet een geaccrediteerde instelling.