Naar inhoud
IT-Checklist

ISO 27001: checklist en advies

Laatst bijgewerkt: · Redactie IT-Checklist

ISO 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging, kort ISMS. Je legt vast wat je beschermt, welke risico's er zijn en welke maatregelen je neemt. Daarna controleer en verbeter je dat elk jaar.

Deze checklist volgt de versie van 2022: de hoofdstukken 4 tot en met 10 en de 93 maatregelen uit bijlage A. Gebruik hem om te zien hoe ver je bent, ook als je (nog) niet wilt certificeren.

Kijk waar jouw bedrijf staat op iso 27001

De gratis IT-check stelt je deze vragen. Daarna zie je je score per thema en advies bij elk verbeterpunt. Je hebt geen account nodig.

Start de IT-check →

Waarom dit belangrijk is

Certificaten op de oude versie uit 2013 zijn sinds 31 oktober 2025 niet meer geldig. Een klant die om een certificaat vraagt, accepteert alleen nog de versie van 2022.

Zonder vaste methode voor de risicoanalyse kies je maatregelen op gevoel. Een auditor vraagt juist waarom je iets wel of niet doet.

Een ISMS dat alleen op papier bestaat, valt bij de eerste audit door de mand. Interne audits en een directiebeoordeling horen er elk jaar bij.

De 12 vragen in dit thema, met advies

Elke vraag beschrijft de situatie die je wilt hebben. Het label laat zien hoe zwaar de maatregel meetelt in je score. 'Eerst regelen' telt het zwaarst.

  1. Wij hebben vastgelegd voor welk deel van de organisatie ons managementsysteem voor informatiebeveiliging (ISMS) geldt.

    Eerst regelen

    Leg het toepassingsgebied vast (ISO 27001 hoofdstuk 4.3): welke locaties, afdelingen, processen en systemen vallen eronder. Begin liever klein en duidelijk dan groot en vaag. Een auditor toetst alles tegen deze afbakening.

  2. Wij hebben een informatiebeveiligingsbeleid dat de directie heeft goedgekeurd en dat bekend is bij medewerkers.

    Belangrijk

    Schrijf een kort beleid met je doelen en afspraken (hoofdstuk 5.2) en laat de directie het ondertekenen. Deel het met iedereen en kijk er minstens één keer per jaar opnieuw naar.

  3. Wij doen volgens een vaste methode een risicoanalyse voor informatiebeveiliging en herhalen die regelmatig.

    Eerst regelen

    ISO 27001 draait om risico's (hoofdstuk 6.1.2 en 8.2). Leg vast hoe je kans en impact inschat, welke risico's je accepteert en wie de eigenaar is. Herhaal de analyse op vaste momenten en na grote veranderingen.

  4. Wij hebben een actuele verklaring van toepasselijkheid (Statement of Applicability) voor alle 93 maatregelen uit bijlage A.

    Eerst regelen

    Geef per maatregel uit bijlage A aan of je hem toepast, waarom wel of niet, en wat de status is. Dit document is verplicht (hoofdstuk 6.1.3) en is het eerste waar een auditor naar vraagt.

  5. Wij hebben een overzicht van onze informatie en bedrijfsmiddelen (systemen, apparaten, data), met per onderdeel een eigenaar.

    Belangrijk

    Je kunt alleen beveiligen wat je kent (bijlage A 5.9). Begin met een simpele lijst van laptops, telefoons, cloudapplicaties en belangrijke gegevens, en zet bij elk onderdeel wie ervoor verantwoordelijk is.

  6. Wij geven toegang op basis van wat iemand nodig heeft voor zijn werk en controleren de toegangsrechten periodiek.

    Belangrijk

    Leg je regels voor toegang vast (bijlage A 5.15 en 5.18). Loop bijvoorbeeld elk kwartaal na wie waar bij kan en haal rechten weg van mensen die van functie wisselden of vertrokken.

  7. Wij hebben afspraken over informatiebeveiliging met leveranciers en clouddiensten en controleren of ze die nakomen.

    Belangrijk

    Bijlage A 5.19 tot en met 5.23 gaat over leveranciers en clouddiensten. Maak een lijst van leveranciers die bij je gegevens kunnen, leg eisen vast in het contract en vraag om bewijs, zoals een certificaat of auditrapport.

  8. Wij hebben een vaste procedure voor het melden, afhandelen en evalueren van beveiligingsincidenten.

    Belangrijk

    Leg vast wie wat doet bij een incident (bijlage A 5.24 tot en met 5.28): melden, inschatten, oplossen en bewijs bewaren. Bespreek na afloop wat je ervan leert en pas je maatregelen aan.

  9. Wij maken back-ups, testen het terugzetten ervan en hebben vastgelegd hoe we doorwerken als belangrijke systemen uitvallen.

    Belangrijk

    Een back-up die je nooit terugzette, is een gok (bijlage A 8.13). Test het terugzetten op vaste momenten. Beschrijf ook hoe je ICT weer op gang krijgt na een storing of aanval (bijlage A 5.30).

  10. Wij volgen kwetsbaarheden in onze software en systemen en installeren beveiligingsupdates binnen een vaste termijn.

    Belangrijk

    Spreek af hoe snel updates erop moeten, bijvoorbeeld kritieke lekken binnen 14 dagen, en wie dat controleert (bijlage A 8.8). Automatische updates en een overzicht van al je systemen maken dit veel makkelijker.

  11. Medewerkers krijgen regelmatig uitleg of training over informatiebeveiliging, passend bij hun werk.

    Belangrijk

    Bijlage A 6.3 vraagt om bewustwording en training. Denk aan een korte sessie bij indiensttreding, een jaarlijkse opfrisser en een phishingtest. Houd bij wie wat gevolgd heeft, dat vraagt een auditor.

    Geldt voor: mkb, bv

  12. Wij doen interne audits, de directie beoordeelt het ISMS periodiek en afwijkingen lossen we aantoonbaar op.

    Eerst regelen

    Dit is de verbetercyclus van de norm (hoofdstuk 9.2, 9.3 en 10.2). Plan minstens één interne audit per jaar, bespreek de uitkomsten met de directie en houd een lijst bij van verbeterpunten met eigenaar en deadline.

Hier begin je

  • Leg de scope vast: welke vestigingen, afdelingen en systemen vallen eronder. Een kleinere scope maakt de start makkelijker.
  • Laat de directie een kort beveiligingsbeleid van één A4 goedkeuren en deel het met iedereen.
  • Maak een lijst van je informatie en systemen, met per onderdeel een eigenaar.
  • Begin de verklaring van toepasselijkheid (Statement of Applicability): zet per maatregel uit bijlage A of hij geldt en waarom.

Veelgemaakte fouten

  • Alle 93 maatregelen invoeren, ook als ze voor jouw bedrijf geen risico afdekken. De norm vraagt een onderbouwde keuze.
  • De IT-partner het ISMS laten schrijven, zonder dat de directie het draagt.
  • Incidenten en afwijkingen niet vastleggen. Juist die laten zien dat het systeem werkt.

Officiële bronnen

Lees verder

Alle thema's in de checklist