Question 1

Wat is ISO 27001 in gewone taal?

Accepted Answer

ISO 27001 is de internationale norm voor informatiebeveiliging. In gewone taal: je laat aantoonbaar zien dat je zorgvuldig omgaat met de informatie van je klanten en van jezelf. Dat doe je met een managementsysteem (ISMS): afspraken over wie waarvoor verantwoordelijk is, welke risico's er zijn, welke maatregelen je neemt en hoe je dat bijhoudt. Een externe auditor controleert het jaarlijks; daarmee verdien je het certificaat.

Question 2

Waarom zou ik ISO 27001 halen?

Accepted Answer

Eerlijk antwoord: 80 tot 90 procent van de bedrijven begint omdat het moet, een grote klant of een aanbesteding eist het certificaat. Dat is een prima reden. Maar als je er dan toch energie in stopt, haal er ook iets uit: overzicht over je systemen en leveranciers, duidelijke afspraken met je team en minder kans op incidenten. Het certificaat is voor je klant, de rust en grip zijn voor jou.

Question 3

Hoe lang duurt een ISO 27001-traject?

Accepted Answer

Reken op enkele maanden tot een klein jaar, afhankelijk van je startpunt en tempo. Onze standaardaanpak: een vast wekelijks overleg van een half uur, met beperkt huiswerk per week. Zo blijft het traject naast de drukke operatie lopen. Moet het sneller vanwege een deadline, dan kan een fast-track, mits realistisch gepland. Drie maanden is uitdagend maar haalbaar als je er echt tijd voor vrijmaakt.

Question 4

Hoeveel tijd kost ISO 27001 mij en mijn team?

Accepted Answer

Minder dan je vreest, als je het slim aanpakt. De verantwoordelijke is per week ongeveer een half uur overleg plus wat huiswerk kwijt. De rest van het team merkt er weinig van, behalve een korte uitleg over beleid en gedragsregels en af en toe een taak. Na de certificering zit het werk vooral in de terugkerende taken uit de jaarplanning, en die kun je grotendeels bij ons neerleggen.

Question 5

Wat kost ISO 27001?

Accepted Answer

Drie kostenposten: begeleiding, een tool en de certificerende instelling. De begeleiding hangt af van hoeveel je zelf doet versus uitbesteedt, van coaching op afroep tot volledige ontzorging. De tool kost enkele tientjes tot rond de honderd euro per maand. De certificeerder rekent voor de audit, jaarlijks terugkerend. Vraag offertes en let daarbij op wat er ná het certificaat nodig is; daar zitten de verborgen kosten van doe-het-zelf-trajecten.

Question 6

Moet ik voor ISO 27001 een tool aanschaffen?

Accepted Answer

Moeten niet, maar wij doen het nooit zonder. ISO 27001 heeft een flinke structuur van maatregelen, risico's en terugkerende taken; zonder tool wordt het beheer al snel een puinhoop van losse documenten. Met een goede tool (wij werken veel met ISOplanner) heb je een template die je op weg helpt en een omgeving die het jaarlijkse onderhoud draagbaar houdt. Je verdient de tool makkelijk terug op beheeruren.

Question 7

We zijn zelf al begonnen maar gestrand. Kunnen jullie het oppakken?

Accepted Answer

Ja, dat is zelfs een van de meest voorkomende startsituaties. Vaak is er een tool aangeschaft of een map met documenten gemaakt, en dan blijft het liggen: waar begin je, hoe diep ga je, wat stel je uit. Wij gooien je werk niet weg, maar brengen volgorde en ritme aan. Interne afspraken schuiven makkelijk; met een externe afspraak gebeurt het wél.

Question 8

Wat moet mijn personeel weten en doen voor ISO 27001?

Accepted Answer

Minder dan je denkt. De basis: iedereen kent het beleid, de gedragsregels en de afspraken over apparatuur, en weet dat er iets met classificatie van informatie is. En vooral: iedereen weet dat en hoe je incidenten meldt. Dat regel je met een korte uitleg en een lijstje dat mensen aftekenen. De diepere kennis zit bij één of twee mensen, en bij je adviseur.

Question 9

Wat gebeurt er tijdens de externe audit?

Accepted Answer

Rustiger dan je verwacht. De auditor loopt de norm gewoon op volgorde door, 4.1, 4.2, 4.3, en bij elke eis laten we zien hoe jij het hebt opgelost. Wij zitten erbij als vertaler tussen auditortaal en jouw praktijk: als de auditor om je 'contextanalyse' vraagt, weten wij dat jouw SWOT- en stakeholdersanalyse bedoeld wordt. Bevindingen zijn normaal; die los je daarna gewoon op.

Question 10

Wat is een ISMS eigenlijk?

Accepted Answer

ISMS staat voor Information Security Management System: het geheel van je afspraken, risico's, maatregelen en terugkerende taken rondom informatiebeveiliging. Praktisch gezien is het gewoon één plek, bij ons meestal een tool, waar je beleid staat, je taken terugkomen en je bewijs verzameld wordt. Geen mysterieus systeem, maar een goed geordende werklijst met geheugen.

Question 11

Hoe blijf ik gecertificeerd na het behalen?

Accepted Answer

Het certificaat is drie jaar geldig, met elk jaar een controle-audit. Het onderhoud bestaat uit een jaarplanning met terugkerende taken (toegangsrechten checken, leveranciers beoordelen, back-ups testen), incidenten en afwijkingen registreren en oplossen, jaarlijks een interne audit en een directiebeoordeling. Klinkt dat als veel? Met een goed systeem is het een beheersbaar ritme, en je kunt het beheer ook aan ons uitbesteden.

Question 12

Wat is het verschil tussen ISO 27001 en AVG?

Accepted Answer

De AVG is een wet die specifiek gaat over persoonsgegevens en voor iedereen geldt, certificaat of niet. ISO 27001 is een vrijwillige norm over álle informatie die je wilt beschermen, ook broncode, offertes en bedrijfsgeheimen. Ze overlappen flink: wie ISO 27001 goed inricht, heeft de organisatorische kant van de AVG grotendeels staan. Andersom niet: AVG-compliance alleen levert geen certificaat op.

Question 13

Kunnen jullie het hele beheer van ons ISMS overnemen?

Accepted Answer

Ja. Onze dienstverlening loopt van één vraag per jaar tot volledig beheer, waarbij wij de jaarplanning draaien, de interne audit doen, de directiebeoordeling voorbereiden en naast je zitten bij de externe audit. Veel klanten kiezen een tussenvorm: zelf de dagelijkse dingen, wij het normwerk. Dat bepaal je niet vooraf voor eeuwig, het groeit mee met wat jouw team aankan.

Question 14

Onze klant eist ISO 27001 in het contract. Wat nu?

Accepted Answer

Eerst: rustig blijven. Vraag na wat er precies geëist wordt, een certificaat, of 'werken volgens' de norm, en per wanneer. Soms is een plan van aanpak met een realistische datum al genoeg om de opdracht te behouden. Plan daarna een kennismaking: wij kunnen snel inschatten waar je staat en wat de kortste route is. Begin niet zelf in het wilde weg documenten te verzamelen; dat kost vaak meer tijd dan het oplevert.

ISO 27001, informatiebeveiliging

Kies een vraag