Wil je je informatiebeveiliging aantoonbaar op orde hebben met ISO 27001:2022? Bij Westbroek IT Security maken we het certificeringsproces praktisch en behapbaar voor MKB-organisaties.
ISO 27001:2022 is dé internationale standaard voor informatiebeveiliging. Maar wat betekent dat nou eigenlijk voor jouw bedrijf? Simpel gezegd: je laat zien dat je zorgvuldig omgaat met gevoelige informatie. Of het nu gaat om klantgegevens, bedrijfsinformatie of persoonsgegevens.
Wat de norm precies van je vraagt en wat er in een traject op je afkomt, lees je in onze blog ISO 27001 voor het MKB.
ISO 27001:2022 is vooral relevant als:
In het MKB komt de vraag naar ISO 27001 vrijwel altijd van buiten: een klant die zijn leveranciers beoordeelt, een aanbesteding die het als eis stelt, of een verzekeraar. Met een certificaat beantwoord je die vraag in één keer.
Val je onder de Cyberbeveiligingswet, dan scheelt het ook werk. De risicobeoordeling, het beleid en de bewijsvoering die de wet verwacht zitten al in je managementsysteem. Meer op onze pagina over NIS2-compliance.
Onze werkwijze
Wij begeleiden het traject. Het certificaat zelf geeft een certificerende instelling af die de Raad voor Accreditatie heeft geaccrediteerd. ISO certificeert zelf geen organisaties, en een adviesbureau mag zijn eigen klant niet certificeren.
De auditor kijkt eerst naar je documenten en daarna naar de uitvoering in je organisatie. Wij bereiden je op beide voor.
Na de audit
Door het managementsysteem te blijven gebruiken. De certificerende instelling komt tussentijds terug voor controle-audits, en na een aantal jaren volgt een hercertificering. Blijkt dan dat het systeem stilligt, dan kan het certificaat worden geschorst of ingetrokken.
Je hebt daarvoor geen securityafdeling nodig, wel iemand die er eigenaar van is en er tijd voor heeft. Wij doen de interne audits mee, en met CISO as a Service houden we het systeem samen met je bij.
Bewijs dat je maatregelen werken, zoals de uitkomst van een security scan of pentest, hoort er ook bij. Een maatregel op papier zonder bewijs telt bij de audit niet.
Ja. Je bepaalt zelf welke onderdelen, locaties, systemen en diensten onder het certificaat vallen. De grens moet wel kloppen en te verdedigen zijn tegenover de auditor.
Niet automatisch. ISO 27001 geeft structuur aan de zorgplicht, maar een certificaat regelt geen melding bij het CSIRT en geen registratie in het entiteitenregister. Het bestuur moet de maatregelen bovendien zelf goedkeuren.
Een overzicht van alle maatregelen uit bijlage A van de norm, met per maatregel of je hem toepast, waarom wel of niet, en hoever je ermee bent. Auditors staan het langst bij dit document stil.
Bijlage A bevat 93 beheersmaatregelen, verdeeld over vier groepen: organisatorisch, mensen, fysiek en technologisch. Welke je toepast, volgt uit je eigen risicobeoordeling.
In de zorg is een andere norm aangewezen: NEN 7510, de Nederlandse norm voor informatiebeveiliging in de zorg. Die bouwt voort op ISO 27001.
Wil je weten of een ISO 27001-certificaat jou opdrachten oplevert, en wat er dan nog moet gebeuren? In een persoonlijk gesprek kijken we waar je staat en zeggen we eerlijk wat er nodig is.
