Wat is ISO 27001 en heb je het nodig?

Gepubliceerd op 14 juli 2026 door het team van CloudDock, bijgewerkt op 28 oktober 2026.

Wat is ISO 27001?

ISO 27001 is de internationale norm voor informatiebeveiliging. Hij beschrijft niet welk product je moet kopen, maar hoe je als bedrijf grip houdt op de veiligheid van je gegevens. De kern is een ISMS, wat staat voor Information Security Management System. Dat klinkt zwaar, maar in gewone taal is het gewoon een vaste manier van werken: je bepaalt welke risico's je loopt, je neemt maatregelen, je legt vast wie waarvoor verantwoordelijk is en je controleert regelmatig of het nog klopt.

Het draait om drie dingen die je met je informatie wilt beschermen:

• Vertrouwelijkheid: alleen wie het nodig heeft, kan bij de gegevens.
• Integriteit: je gegevens kloppen en zijn niet ongemerkt aangepast.
• Beschikbaarheid: je kunt erbij wanneer je het nodig hebt.

Een certificaat betekent dat een onafhankelijke partij heeft gecontroleerd dat je dit systeem echt gebruikt. Het is dus geen eenmalige actie, maar een manier van werken die je jaar na jaar volhoudt.

Het verschil met NIS2, en hoe je begint

ISO 27001 en NIS2 worden vaak in één adem genoemd, maar ze zijn niet hetzelfde. NIS2 is een wet: hij verplicht bepaalde bedrijven hun beveiliging op orde te hebben en incidenten te melden. ISO 27001 is een norm die je vrijwillig kiest om aan te tonen dat je het goed geregeld hebt. Ze bijten elkaar niet. Sterker nog, wie volgens ISO 27001 werkt, heeft de basis voor de NIS2-eisen al grotendeels op orde. Wil je weten of NIS2 voor jou geldt, lees dan eerst dat artikel.

Beginnen doe je niet met het certificaat, maar met de basis. Die is voor bijna elk bedrijf hetzelfde:

• MFA aan op alle accounts, te beginnen bij e-mail.
• Backups die je ook echt kunt terugzetten.
• Updates en beheer die bijgehouden worden.
• Overzicht van wie bij welke gegevens kan.
• Duidelijke afspraken voor als er een incident is.

Daarna kijk je pas of het volledige certificaat de moeite waard is. Omdat beveiliging bij ons standaard in het beheer zit, ligt die basis er bij onze klanten meestal al. We kijken graag nuchter met je mee wat in jouw geval echt nodig is, zonder je meteen een dik traject in te praten.

De eisen van ISO 27001 in het kort

De norm heet voluit ISO/IEC 27001 en bestaat uit twee delen. Het eerste deel beschrijft het managementsysteem (het ISMS) in zeven hoofdstukken; het tweede deel, bijlage A, is een lijst met beheersmaatregelen waaruit je kiest wat voor jouw bedrijf van toepassing is.

De zeven hoofdstukken, in gewone taal:

• Context: wat doet je bedrijf, welke gegevens zijn belangrijk en wat verwachten klanten en de wet van je?
• Leiderschap: de directie stelt het beleid vast, maakt mensen verantwoordelijk en geeft het voorbeeld.
• Planning: je brengt risico's in kaart en bepaalt welke je aanpakt en hoe.
• Ondersteuning: mensen, kennis, middelen en vastlegging zijn geregeld.
• Uitvoering: de maatregelen zijn ingevoerd en werken in de praktijk.
• Evaluatie: je meet, voert interne audits uit en de directie beoordeelt het geheel.
• Verbetering: afwijkingen worden opgelost en het systeem wordt beter.

Bijlage A van de versie uit 2022 telt 93 maatregelen in vier thema's: organisatorisch (37), mensen (8), fysiek (14) en technologisch (34). Je hoeft ze niet allemaal in te voeren; in de Verklaring van Toepasselijkheid leg je vast welke je gebruikt en waarom de rest niet geldt.

Goed om te weten: de oudere versie uit 2013 (in Nederland vaak aangeduid als NEN-EN-ISO/IEC 27001:2017) is vervangen door de versie van 2022. Bestaande certificaten moesten uiterlijk eind oktober 2025 zijn overgezet. Begin je nu, dan werk je dus altijd met de versie van 2022.

Wat staat er in een informatiebeveiligingsbeleid?

Het informatiebeveiligingsbeleid is het document waarmee alles begint. Het hoeft geen boekwerk te zijn; een paar heldere pagina's die de directie vaststelt en die iedereen begrijpt, werken beter dan een map die niemand leest. Dit hoort erin:

• Doel en reikwijdte: waarom je beveiligt en voor welke onderdelen van het bedrijf het beleid geldt.
• Verantwoordelijkheden: wie is eindverantwoordelijk, wie beheert, wie controleert.
• Hoe je met risico's omgaat: hoe vaak je ze beoordeelt en wie beslist wat acceptabel is.
• Spelregels voor iedereen: wachtwoorden en MFA, omgaan met apparaten en thuiswerken, wie bij welke gegevens mag, hoe je met klantgegevens omgaat.
• Incidenten: hoe iemand een lek of verdachte mail meldt en wat er dan gebeurt.
• Leveranciers: welke afspraken je maakt met partijen die bij je gegevens kunnen, zoals je IT-partner of softwareleverancier.
• Evaluatie: wanneer het beleid wordt herzien.

Een goed beleid beschrijft wat je echt doet, niet wat mooi klinkt. Een auditor controleert namelijk of de praktijk klopt met het papier.

Hoe voldoe je aan ISO 27001? Zes stappen

• 1. Bepaal de scope. Welke locaties, systemen en processen vallen eronder? Klein beginnen mag.
• 2. Doe een risicoanalyse. Welke gegevens zijn belangrijk, wat kan ermee misgaan en hoe erg is dat?
• 3. Kies je maatregelen. Uit bijlage A, vastgelegd in de Verklaring van Toepasselijkheid. Vaak zijn de basismaatregelen (MFA, back-ups, updates, toegangsbeheer) al grotendeels geregeld als je IT goed beheerd wordt.
• 4. Leg beleid en procedures vast en zorg dat mensen weten wat er van ze verwacht wordt.
• 5. Voer uit en controleer. Meet of het werkt, doe een interne audit en laat de directie het beoordelen.
• 6. Laat je certificeren. Een onafhankelijke certificerende instelling controleert eerst je documenten (fase 1) en daarna de praktijk (fase 2). Daarna volgt jaarlijks een controle-audit en na drie jaar hercertificering.

Voor een mkb-bedrijf dat zijn IT al goed beheerd heeft, duurt zo'n traject meestal zes tot twaalf maanden. Het meeste werk zit niet in de techniek, maar in het vastleggen en volhouden. Wil je eerst weten of NIS2 voor jou geldt, lees dan wat NIS2 betekent voor het mkb of bekijk hoe wij helpen met compliance.