Bewijs: vragen en antwoorden.

Bewijs is alles wat laat zien dat een maatregel is ontworpen en werkt: beleid, procedures, configuratie-exports, logs, verslagen van reviews, trainingsregistraties, notulen en testresultaten. Auditors zoeken bewijs dat past bij de beschrijving van de maatregel en de periode dekt die ze beoordelen.

ISO 27001 schrijft geen vaste bewaartermijn voor, dus je bepaalt die zelf, in lijn met wettelijke en contractuele eisen. Veel organisaties bewaren bewijs minstens één certificeringscyclus van drie jaar. Bewijs met persoonsgegevens valt onder de AVG en bewaar je niet langer dan nodig.

Bewijs laat zien dat een maatregel op een bepaald moment werkte, dus het veroudert. Je legt per maatregel een reviewfrequentie vast, bijvoorbeeld een toegangsreview per kwartaal of een jaarlijkse leveranciersbeoordeling, en vernieuwt het bewijs volgens dat schema. Verouderd bewijs is een veelvoorkomende auditbevinding.

Hang bewijs aan de maatregel, niet aan een framework. Telt de maatregel voor ISO 27001, NIS2 en ISO 42001, dan is hetzelfde bewijs voor elk ervan beschikbaar. Je voegt alleen bewijs toe waar een framework iets specifieks vraagt.

Automatisch bewijs komt rechtstreeks uit systemen, zoals configuratie-exports of logs. Handmatig bewijs maken mensen, zoals goedkeuringen, notulen van directiebeoordelingen en trainingsregistraties. Normen voor managementsystemen vragen altijd om beide, omdat veel eisen over beslissingen van mensen gaan.