ISO/IEC 27001 · Managementsysteem voor informatiebeveiliging
ISO 27001 software voor je ISMS.
ISO 27001 is de internationale norm voor informatiebeveiliging. Met Basenorm richt je je ISMS in, houd je het bij en toon je het aan, en breid je het uit met ISO 42001 zodra AI in scope komt.
Gehost in Nederland. Je data blijft in de EU.De norm in het kort
- Versie
- ISO/IEC 27001:2022Annex A afgestemd op ISO/IEC 27002:2022
- Soort
- ManagementsysteemnormCertificeerbaar door een geaccrediteerde instelling
- Opbouw
- Clausule 4 tot en met 10Dezelfde opbouw als ISO 42001
- Annex A
- 93 maatregelen in 4 thema’sGekozen in je verklaring van toepasselijkheid
01 / De eisen
Wat ISO 27001
van je vraagt.
ISO 27001 stelt eisen aan een managementsysteem voor informatiebeveiliging: context en scope, leiderschap, risicobeoordeling en risicobehandeling, en continue verbetering. Annex A bevat de maatregelen waaruit je kiest.
- Clausule 4Context van de organisatie
Bepaal interne en externe kwesties, belanghebbenden en de scope van je ISMS.
- Clausule 5Leiderschap
Stel een informatiebeveiligingsbeleid vast en wijs rollen, verantwoordelijkheden en bevoegdheden toe.
- Clausule 6Planning
Beoordeel risico’s voor informatiebeveiliging, plan de behandeling en stel doelstellingen vast.
- Clausule 7Ondersteuning
Regel middelen, competenties, bewustzijn, communicatie en gedocumenteerde informatie.
- Clausule 8Uitvoering
Voer risicobeoordelingen en het risicobehandelplan uit in de dagelijkse praktijk.
- Clausule 9Evaluatie van de prestaties
Monitor en meet, voer interne audits uit en houd directiebeoordelingen.
- Clausule 10Verbetering
Pak afwijkingen aan met corrigerende maatregelen en blijf verbeteren.
De titels van de clausules volgen de geharmoniseerde opbouw die ISO 42001 ook gebruikt.
02 / Annex A
De maatregelen
in Annex A.
Annex A van ISO 27001:2022 bevat 93 maatregelen in vier thema’s. Je bepaalt per maatregel of hij van toepassing is, en legt je keuzes en onderbouwing vast in de verklaring van toepasselijkheid.
- A.5Organisatorische maatregelen37 maatregelen
- A.6Mensgerichte maatregelen8 maatregelen
- A.7Fysieke maatregelen14 maatregelen
- A.8Technologische maatregelen34 maatregelen
03 / Naast ISO 42001
ISO 27001 naast ISO 42001.
| Onderwerp | ISO 27001 | ISO 42001 |
|---|---|---|
| Onderwerp | Informatiebeveiliging | Verantwoord ontwikkelen, aanbieden en gebruiken van AI |
| Opbouw | Clausule 4 tot en met 10 | Clausule 4 tot en met 10, dezelfde opbouw |
| Risico | Risico’s voor informatiebeveiliging | AI-risico’s en de impact op personen, groepen en de samenleving |
| Annex A | Maatregelen voor informatiebeveiliging | Maatregelen voor AI |
| Verklaring van toepasselijkheid | Verplicht | Verplicht |
| Certificering | Door een geaccrediteerde certificerende instelling | Door een geaccrediteerde certificerende instelling |
Beide delen de opbouw van clausule 4 tot en met 10. Hergebruik beoordeel je per maatregel, niet als vast percentage.
Waar ISO 42001 op voortbouwt
- Documentbeheer en goedkeuringen
- Interne audit en directiebeoordeling
- Afwijkingen en corrigerende maatregelen
- Competenties en bewustzijn
- Leveranciersbeheer
Wat ISO 42001 toevoegt voor AI
- AI-systemen en hun beoogde gebruik
- AI-risico- en impactbeoordeling
- Datakwaliteit en herkomst
- Menselijk toezicht
- Testen, monitoring en transparantie
04 / De route
Van scope naar certificaat.
- 01
Bepaal context en scope
Beschrijf kwesties, belanghebbenden en de grenzen van je ISMS.
In BasenormLeg scope, assets en eigenaren op één plek vast.
- 02
Stel beleid en verantwoordelijkheden vast
Schrijf je informatiebeveiligingsbeleid en wijs rollen en bevoegdheden toe.
In BasenormKoppel beleid en besluiten aan de maatregelen die ze onderbouwen.
- 03
Beoordeel en behandel risico’s
Beoordeel risico’s en leg in een risicobehandelplan vast hoe je ze behandelt.
In BasenormKoppel risico’s aan maatregelen, eigenaren en de status van de behandeling.
- 04
Verklaring van toepasselijkheid
Bepaal per Annex A-maatregel of hij van toepassing is en onderbouw je keuze.
In BasenormHoud je verklaring van toepasselijkheid actueel als maatregelen veranderen.
- 05
Laat zien dat het werkt
Verzamel bewijs, voer een interne audit uit en houd een directiebeoordeling.
In BasenormKoppel bewijs één keer en zie wat er nog openstaat.
- 06
Certificering en toezicht
Een geaccrediteerde certificerende instelling auditeert je ISMS. Een certificaat is doorgaans drie jaar geldig, met tussentijdse controle-audits.
In BasenormGeef je auditor toegang tot maatregelen en bewijs met de auditorrol.
05 / NIS2 en meer
RICHTLIJN (EU) 2022/2555ISO 27001 en
NIS2.
NIS2 is wet. ISO 27001 is een vrijwillige norm. Een certificaat alleen bewijst geen NIS2-compliance, maar je ISMS geeft je de structuur voor de risicobeheersmaatregelen die NIS2 vraagt.
Lees meer over NIS2De meeste maatregelen zijn gedeeld. ISO 27001 en NIS2 delen 70 tot 80% van hun maatregelen, dus NIS2 begint grotendeels ingevuld.
Beveiliging van de verwerking. Je maatregelen voor informatiebeveiliging ondersteunen de beveiligingseisen voor persoonsgegevens.
ICT-risicobeheer. Voor financiële entiteiten ondersteunt het ISMS het kader voor ICT-risicobeheer.
NIS2 is Richtlijn (EU) 2022/2555; DORA is Verordening (EU) 2022/2554. De overlap van 70 tot 80% komt uit de eigen gepubliceerde mapping van Basenorm.
06 / In Basenorm
Hoe Basenorm je helpt.
Unified Control Library
Definieer een maatregel één keer en zie of hij telt voor ISO 27001, ISO 42001, NIS2 of meer.
02Governance Graph
Verbind assets, risico’s, maatregelen, bewijs en eigenaren.
03AskNorman
Vraag wat er nog openstaat voor je ISMS, in Basenorm of via MCP vanuit ChatGPT of Claude. Je controleert zelf de onderbouwing.
07 / De vragen
Vragen over
ISO 27001.
Wat is ISO 27001?
ISO/IEC 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging (ISMS). De norm stelt eisen aan het opzetten, invoeren, onderhouden en continu verbeteren van een ISMS, en is certificeerbaar door een geaccrediteerde certificerende instelling.
Wat is er veranderd in ISO 27001:2022?
ISO 27001:2022 is de huidige versie. Annex A is afgestemd op ISO 27002:2022 en bevat nu 93 maatregelen in vier thema’s: organisatorisch, mensgericht, fysiek en technologisch.
Hoe bepaal je de scope van het ISMS?
De scope legt de grenzen van je ISMS vast in organisatieonderdelen, locaties, processen, diensten, assets en technologie. Je houdt daarbij rekening met interne en externe kwesties, belanghebbenden en raakvlakken.
Wat is de verklaring van toepasselijkheid?
De verklaring van toepasselijkheid bevat alle Annex A-maatregelen, geeft aan welke van toepassing zijn, onderbouwt opnames en uitsluitingen en beschrijft de stand van de invoering.
Hoe werkt risicobehandeling?
Per risico kies je hoe je het behandelt: vermijden, verminderen met maatregelen, overdragen of accepteren. Je legt je keuzes vast in een risicobehandelplan.
Wat houdt de interne audit in?
ISO 27001 vraagt om interne audits met geplande tussenpozen, om te controleren of het ISMS voldoet aan de norm en doeltreffend is ingevoerd en onderhouden.
Hoe werkt certificering?
Een geaccrediteerde certificerende instelling beoordeelt of je ISMS voldoet aan ISO 27001. Een certificaat is doorgaans drie jaar geldig, met controle-audits in de tussenliggende jaren.
Hoe verhoudt ISO 27001 zich tot NIS2?
ISO 27001 ondersteunt veel NIS2-eisen, zoals risicobeheer, incidentafhandeling en leveranciersbeveiliging. Beide delen 70 tot 80% van hun maatregelen, maar een certificaat alleen bewijst geen NIS2-compliance.
Kunnen we later ISO 42001 toevoegen?
Ja. ISO 42001 volgt dezelfde opbouw van clausule 4 tot en met 10. Je bouwt voort op processen zoals documentbeheer, interne audit en directiebeoordeling, en voegt toe wat AI vraagt.
Certificeert Basenorm onze organisatie?
Nee. Basenorm ondersteunt het inrichten, bijhouden en aantonen van je ISMS. Een onafhankelijke, geaccrediteerde certificerende instelling voert de audit uit en beslist over het certificaat.
Plan een demo
Breng je ISMS samen in één EU-native platform.
In een demo bekijken we je huidige ISMS, je scope en je volgende stap.
- Waar je ISMS nu staat.
- Hoe je maatregelen, risico’s en bewijs op één plek beheert.
- Hoe je later ISO 42001 of NIS2 toevoegt.
Gehost in Nederland. Je data blijft in de EU.