ISO 27001 voor het MKB: wat is het en wat komt erbij kijken?

ISO 27001 is de internationale norm voor informatiebeveiliging. Wat de norm van je vraagt is een managementsysteem: een vastgelegd beleid, een beoordeling van je risico’s, de maatregelen die daaruit volgen en een controle die blijft lopen. De norm geldt voor organisaties van elke grootte, dus ook voor een bedrijf met twintig mensen.

Certificering is vrijwillig. In het MKB komt de vraag erom vrijwel altijd van buiten: een klant die zijn leveranciers beoordeelt, een aanbesteding die het als eis stelt, of een markt waarin iedereen het heeft. Hieronder staat wat de norm inhoudt, wat je geregeld moet hebben voor een certificaat en hoe een traject verloopt.

Kort samengevat

• ISO 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging. De norm geldt voor organisaties van alle typen en groottes; de Nederlandse uitgave heet NEN-EN-ISO/IEC 27001:2023 en is inhoudelijk gelijk aan de internationale versie uit 2022.
• ISO 27001-certificering is voor het MKB wettelijk nergens verplicht. De eis komt van klanten, aanbestedingen en verzekeraars.
• Bijlage A van de norm bevat 93 beheersmaatregelen. Welke je toepast volgt uit je eigen risicobeoordeling, en per maatregel leg je vast waarom je hem wel of niet gebruikt.
• Een certificaat geeft een certificerende instelling af die de Raad voor Accreditatie heeft geaccrediteerd. ISO certificeert zelf geen organisaties.

Wat is ISO 27001?

ISO 27001 stelt eisen aan de manier waarop je informatiebeveiliging organiseert. De norm bepaalt niet welke firewall je koopt. Hij vraagt dat je weet welke informatie je hebt, wat er misgaat als die uitvalt of uitlekt, welke maatregelen daarbij horen en wie daarover beslist. Die cyclus is de kern: beoordelen, maatregelen nemen, controleren, bijstellen.

Bijlage A van de norm bevat 93 beheersmaatregelen, verdeeld over vier groepen: organisatorisch, mensen, fysiek en technologisch. Die lijst is een naslagwerk en geen verplichte boodschappenlijst. Je kiest de maatregelen die uit je eigen risicobeoordeling volgen en legt per maatregel vast waarom je hem toepast of overslaat. De uitwerking van die maatregelen staat in een tweede norm, ISO 27002, waarvan de inhoud in bijlage A is opgenomen. In Nederland heet de norm NEN-EN-ISO/IEC 27001:2023. Zo pakken wij een ISO 27001-certificering aan.

ISO 27001 gaat over informatiebeveiliging. Voor organisaties die AI inzetten bestaat een eigen norm, ISO 42001, met een eigen managementsysteem. Wat die norm vraagt staat in onze blog over ISO 42001 voor het MKB.

Is ISO 27001 verplicht voor een MKB-bedrijf?

Nee. Er is geen Nederlandse wet die een MKB-bedrijf verplicht tot ISO 27001-certificering. De norm is een vrijwillige afspraak, en certificering is een keuze.

In de praktijk voelt het soms anders, omdat de eis via contracten binnenkomt. Een opdrachtgever die zelf onder de Cyberbeveiligingswet valt moet zijn leveranciers beoordelen en vraagt daarom naar een certificaat of naar een ingevulde beveiligingsvragenlijst. Bij aanbestedingen staat ISO 27001 vaak als harde eis in de uitvraag. En in sommige sectoren is een andere norm aangewezen: in de zorg is dat NEN 7510.

Dat maakt de vraag zakelijk in plaats van juridisch. Levert het certificaat je opdrachten op, of houdt het je in een markt waar je al zit? Is het antwoord op beide nee, dan is de zorgplicht uit de wet of een goed ingerichte basis vaak genoeg.

Wat is het verschil tussen ISO 27001 en de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en geldt automatisch, zodra je in een aangewezen sector zit en groot genoeg bent. ISO 27001 kies je zelf. Dat is het eerste verschil.

Het tweede verschil zit in wat er van je gevraagd wordt. De wet legt drie verplichtingen op: een zorgplicht om maatregelen te nemen op basis van een risicobeoordeling, een meldplicht bij ernstige incidenten en een registratieplicht. ISO 27001 geeft je structuur voor die eerste. Een certificaat levert geen melding bij het CSIRT en geen registratie in het entiteitenregister. Het bestuur moet de maatregelen bovendien zelf goedkeuren en toezien op de uitvoering, en dat kun je niet uitbesteden aan een auditor.

Een certificaat maakt je dus niet automatisch compliant met de wet. Het scheelt wel werk, omdat de risicobeoordeling, het beleid en de bewijsvoering die de wet verwacht in het managementsysteem al zitten. Wat de wet precies van je vraagt staat in onze blog over NIS2-verplichtingen voor het MKB en op de pagina over NIS2-compliance.

Wat moet je geregeld hebben voor ISO 27001?

Dit is de lijst die een auditor langsloopt:

1. Een afbakening.
   Welke onderdelen, locaties, systemen en diensten onder het managementsysteem en het certificaat vallen. Een deel van je bedrijf mag, zolang de grens klopt en te verdedigen is.
2. Een beeld van je omgeving en van wie er eisen stelt.
   Welke interne en externe factoren je informatiebeveiliging raken, welke belanghebbenden er zijn en wat zij van je vragen: klanten, toezichthouders, verzekeraars en je eigen mensen.
3. Een overzicht van wetten, regels en contractafspraken.
   Welke wettelijke en contractuele eisen voor jou gelden, en hoe je daaraan voldoet.
4. Een informatiebeveiligingsbeleid, goedgekeurd door de directie. Hierin staat wat je beschermt, wie waarover beslist en welke regels gelden.
5. Rollen en verantwoordelijkheden.
   Namen, geen functies in het algemeen. Wie gaat over risico’s, toegangsrechten, leveranciers en incidenten.
6. Een risicobeoordeling en een plan per risico.
   Dezelfde methode elke keer, zodat twee beoordelingen te vergelijken zijn. Per risico een besluit: verkleinen, accepteren, verzekeren of overdragen, en wie het restrisico accepteert.
7. Een verklaring van toepasselijkheid.
   Per maatregel uit bijlage A of je hem toepast, waarom wel of niet, en hoever je ermee bent. Dit is het document waar auditors het langst bij stilstaan.
8. Een beoordeling van je leveranciers.
   Welke partijen bij je gegevens of systemen kunnen, welke beveiligingsafspraken je met ze hebt en wanneer je die opnieuw bekijkt.
9. Afspraken over incidenten en continuïteit.
   Hoe je een incident herkent, meldt en afhandelt, en hoe je kritieke processen weer draaiend krijgt na een verstoring.
10. Doelstellingen en een actieplan.
    Wat je het komende jaar wilt verbeteren, wie het doet en waaraan je ziet dat het gelukt is.
11. Bewijs dat de maatregelen draaien.
    Verslagen van overleg, logboeken, een teruggezette back-up, een afgehandeld incident, de uitkomst van een security scan of pentest. Een maatregel op papier zonder bewijs geldt niet.
12. Een interne audit en een directiebeoordeling.
    Je controleert jezelf voordat de certificerende instelling dat doet, en de directie trekt daar conclusies uit.
13. Een procedure voor afwijkingen en verbeteringen.
    Wat je doet als iets niet werkt, en hoe je vastlegt dat het is opgelost.

Hoe verloopt een ISO 27001-traject?

Het begint met een fit-gap analyse: naast elke eis van de norm zetten we wat je al hebt. Veel MKB-bedrijven hebben meer staan dan ze denken, alleen ligt het niet vast. Daarna volgt de risicobeoordeling, en uit die uitkomst rollen het beleid en de maatregelen die je nodig hebt.

Dan ga je het gebruiken. Dat is het deel dat niet versneld kan worden, want de certificerende instelling wil zien dat het systeem heeft gedraaid. In die periode doe je je interne audit en de directiebeoordeling, en los je op wat daar bovenkomt.

De certificatie-audit zelf doet een certificerende instelling die de Raad voor Accreditatie heeft geaccrediteerd. Eerst kijkt de auditor naar je documenten, daarna naar de uitvoering in je organisatie. Na het certificaat komt de instelling tussentijds terug voor controle-audits, en daarna volgt een hercertificering. Een certificaat is dus geen eenmalige inspanning: het vraagt elk jaar onderhoud.

Wij werken met kant-en-klare templates en doen de interne audits mee, zodat je dat werk niet zelf hoeft op te bouwen.

Wanneer is ISO 27001 nog te vroeg?

Als niemand erom vraagt. Een certificaat kost geld en tijd, en het levert pas iets op zodra een klant, een aanbesteding of een verzekeraar erom vraagt. Blijft die vraag uit, dan zijn je uren beter besteed aan de maatregelen zelf.

Ook te vroeg: als er niemand is die het systeem kan onderhouden. Een certificaat dat je bij de eerste controle-audit niet kunt laten zien in gebruik, kost je geld en vertrouwen. Een bedrijf met vijftien mensen heeft hiervoor geen securityafdeling nodig, wel iemand die het erbij krijgt en er tijd voor heeft.

Komt de vraag van een klant die nu een vragenlijst stuurt, dan is een certificaat vaak niet het snelste antwoord. Een ingevulde vragenlijst, een recente scan en een beleid dat klopt zijn dat wel, en het is meteen de voorbereiding voor later.