Voor wie is ISO 27001 relevant?
ISO/IEC 27001:2022 is bruikbaar voor organisaties van verschillende omvang en sectoren. De aanleiding kan een klantvraag, aanbesteding of de behoefte aan structureel risicobeheer zijn. Certificering en het toepassen van de norm zijn afzonderlijke keuzes. Zie de officiële uitleg van ISO.
Leg bij een klantvraag eerst vast welk bewijs wordt gevraagd, voor welke dienstverlening en met welke scope. Een certificaat van een leverancier dekt niet automatisch jullie eigen processen. Een ISO 27001-certificaat betekent evenmin dat aan alle privacy- of sectorspecifieke verplichtingen is voldaan.
Welke stappen doorloop je?
- Scope en uitgangssituatie: bepaal diensten, locaties, systemen en betrokken partijen. Maak een gap-analyse en wijs een projecteigenaar aan.
- Risico’s en keuzes: beoordeel informatiebeveiligingsrisico’s, plan de behandeling en onderbouw welke maatregelen van toepassing zijn.
- Uitvoering: maak beleid passend, verdeel taken, train medewerkers en voer maatregelen daadwerkelijk in.
- Controle: verzamel bewijs, voer interne audits en een directiebeoordeling uit en volg afwijkingen op.
- Certificering en beheer: laat het systeem onafhankelijk beoordelen en houd risico’s, bewijs en verbeteracties daarna actueel.
Lees het uitgebreide ISO 27001-stappenplan voor de resultaten per fase. Stem de externe auditprocedure en planning af met de gekozen instelling.
Certificering onder accreditatie of zonder accreditatie?
Wil je een certificaat onder accreditatie, dan beoordeelt een daarvoor geaccrediteerde certificatie-instelling je managementsysteem en beslist zij over afgifte. DCA helpt je met de voorbereiding. Bekijk het stappenplan voor deze certificeringsroute.
DCA biedt ook een afzonderlijk traject voor certificering zonder accreditatie. Een certificaat kan volgen na beoordeling van voldoende objectief bewijs en oplossing van eventuele tekortkomingen. Controleer eerst of deze vorm past bij de eisen van je klant, contract of aanbesteding. Leg scope, rollen en onpartijdigheid vooraf vast. Lees hoe certificering zonder accreditatie bij DCA werkt.
Welke documenten en welk bewijs bereid je voor?
Werk vanuit één overzicht van scope, informatiebeveiligingsbeleid, risicoanalyse, behandelplan, Verklaring van Toepasselijkheid, verantwoordelijkheden en verbeteracties. Neem de interne audit en directiebeoordeling daarin op.
Een document beschrijft de afspraak; bewijs laat zien wat er gebeurt. Denk aan een afgeronde toegangscontrole, een uitgevoerde hersteltest, een leveranciersbeoordeling en de opvolging van een incident. Koppel bewijs aan de verantwoordelijke, datum en relevante maatregel. De ISO 27001-checklist helpt bij de voorbereiding; het is geen vervanging van de normtekst.
Drie manieren waarop DCA helpt
Kies de ondersteuning die past bij jullie uitgangssituatie. We spreken vooraf de scope, taakverdeling en op te leveren resultaten af. Jullie management blijft verantwoordelijk voor besluiten, risico’s en de uitvoering binnen de organisatie.
Implementatie: van uitgangssituatie naar een werkend ISMS
DCA helpt met de scope, gap-analyse, risicoanalyse, het behandelplan en het passend maken van beleid en documenten. We brengen verantwoordelijkheden in kaart en begeleiden de voorbereiding op toetsing. Zo werk je toe naar een ingericht managementsysteem met taken, eigenaren, besluiten en bewijs.
Wat jullie doen: proceskennis en bestaande documentatie aanleveren, de scope en risicoafwegingen vaststellen, capaciteit vrijmaken en afgesproken maatregelen uitvoeren. De taakverdeling bepaalt welke uitwerking DCA overneemt.
Bekijk de implementatiebegeleiding of lees hoe VORM risico’s, verantwoordelijkheden en documentatie samen met DCA organiseerde.
Bespreek mijn ISO 27001-traject →
Interne audit: beoordelen, rapporteren en opvolgen
Vooraf spreken we het auditdoel, de scope, toetsingscriteria, rollen en rapportagelijn af. Jullie leveren de relevante documenten, eerdere bevindingen en bewijs aan en zorgen dat betrokken medewerkers beschikbaar zijn. Een Compliance Officer onderzoekt de documentatie, spreekt betrokkenen en beoordeelt of afspraken en maatregelen aantoonbaar worden uitgevoerd.
Wat je ontvangt: een rapportage met bevindingen en verbeterpunten, in de Compliance Tool of als zelfstandig rapport volgens de gemaakte afspraken. Jullie wijzen eigenaren aan, voeren verbeteracties uit en leggen bewijs van opvolging vast. We stemmen af welke ondersteuning DCA daarbij levert.
Ook als DCA bij de implementatie betrokken is, beoordeelt een Compliance Officer het afgesproken onderwerp zonder eigen werk goed te keuren. We leggen de rolverdeling vooraf vast om objectiviteit en onpartijdigheid te borgen. De interne audit geeft geen certificaat; bij certificering neemt de certificerende instelling zelfstandig de externe certificatiebeslissing. Lees meer over onze werkwijze bij audits.
Compliance Tool: overzicht tussen de audits
De Compliance Tool brengt eisen, risico’s, maatregelen, taken, documenten en bewijs bij elkaar. Je legt verantwoordelijkheden en deadlines vast, plant audits en volgt bevindingen en verbeteracties. Zo blijft zichtbaar wie wat moet doen en waar het bijbehorende bewijs staat.
Wat DCA levert: de software en de afgesproken ondersteuning bij het gebruik. Wat jullie doen: informatie actueel houden, risico’s beoordelen, taken uitvoeren en verbeteringen onderbouwen. De Tool organiseert het werk; besluiten en uitvoering blijven bij jullie organisatie. Software of begeleiding op zichzelf is geen certificaat.
Ontdek de functies van de Compliance Tool of bekijk ze in een demo.
Onze eigen ISO 27001-certificering
Het informatiebeveiligingsmanagementsysteem van De Compliance Afdeling is gecertificeerd volgens ISO/IEC 27001:2022 door EIK Certificering, onder RvA-accreditatie C669.
Certificaat EIK417.01 vermeldt een geldigheid van 30 december 2025 tot 30 december 2028. Het betreft ons managementsysteem binnen de vermelde scope voor softwareontwikkeling en complianceconsultancy.
Voor onze eigen informatiebeveiliging betekent dit dat het managementsysteem onafhankelijk aan de normeisen is getoetst. De certificering gaat over hoe we informatiebeveiliging organiseren, beoordelen en verbeteren; ze is geen garantie dat incidenten nooit voorkomen.
Download ons ISO 27001-certificaat (PDF) · Controleer DCA in het EIK-register
EIK is de geaccrediteerde certificerende instelling. DCA is hierdoor niet zelf geaccrediteerd, de Compliance Tool is niet als zelfstandig product gecertificeerd en onze klanten zijn niet automatisch gecertificeerd. Bekijk de volledige certificaatgegevens en scope.
Bekijk onze certificering en registraties in het Trust Center →
Kosten, interne tijd en planning
Maak onderscheid tussen software, begeleiding, interne uren, eventuele technische maatregelen en de onafhankelijke externe audit. Implementatiebegeleiding start bij 4 uur per week à €120: gemiddeld €2.080 per maand, exclusief btw. De softwarelicentie en externe certificeringskosten komen daar apart bij. Bekijk de actuele prijzen en bereken de taakverdeling.
Er is geen vast aantal interne uren of gegarandeerde doorlooptijd. Reserveer capaciteit voor de projecteigenaar, management, IT, HR en relevante proceseigenaren. De scope, bestaande maatregelen, ontbrekend bewijs en auditbeschikbaarheid bepalen de planning. Laat de intake uitmonden in een werkplan met taken, verantwoordelijken en evaluatiemomenten.
Wil je de begroting uitwerken? Lees de kostenopbouw, aannames en uitsluitingen bij ISO 27001-certificering. De ISO 27001-checklist helpt je de voorbereiding per onderdeel te controleren.
Van voorbereiding naar een concrete keuze
Beginnen jullie net? De Compliance Scan helpt de uitgangssituatie en prioriteiten te bespreken. Bekijk daarnaast de kostenopbouw van ISO 27001-certificering. Werken jullie met zorginformatie, beoordeel dan ook de toepasselijkheid van NEN 7510.
Veelgestelde vragen over ISO 27001
Is DCA zelf ISO 27001-gecertificeerd?+
Ja. Het informatiebeveiligingsmanagementsysteem van De Compliance Afdeling is gecertificeerd volgens ISO/IEC 27001:2022 door EIK Certificering, onder RvA-accreditatie C669. Certificaat EIK417.01 vermeldt een geldigheid van 30 december 2025 tot 30 december 2028. EIK is de geaccrediteerde instelling; DCA is hierdoor niet zelf geaccrediteerd.
Waar kan ik het certificaat controleren?+
Bekijk ons certificaat (PDF) voor nummer, scope en data en controleer de vermelding van DCA in het EIK-certificatieregister. De accreditatie en scope van EIK staan in het RvA-register onder C669.
Wat valt binnen de certificeringsscope van DCA?+
De scope op ons certificaat luidt: “De ontwikkeling, levering, het onderhoud en de ondersteuning van softwareontwikkeling en consultancy ten behoeve van compliance vraagstukken.” Het certificaat betreft het informatiebeveiligingsmanagementsysteem binnen die scope.
Wat betekent onze certificering voor de Compliance Tool?+
De ontwikkeling, levering, het onderhoud en de ondersteuning binnen de genoemde scope vallen onder ons gecertificeerde managementsysteem. De Compliance Tool is hiermee niet als zelfstandig product gecertificeerd. Gebruik van de Tool certificeert jullie organisatie niet automatisch.
Hoe verschillen implementatie, interne audit en externe certificering?+
Implementatie richt het managementsysteem in. Een interne audit beoordeelt binnen de afgesproken scope hoe het systeem en de maatregelen werken en welke verbetering nodig is. Voor certificering onder accreditatie beoordeelt een daarvoor geaccrediteerde certificerende instelling jullie managementsysteem en neemt zij zelfstandig de certificatiebeslissing. De interne audit en implementatiebegeleiding leveren zelf geen certificaat op.
Kan DCA ook zelf certificaten afgeven?+
Naast software, implementatiebegeleiding en interne audits beschrijft DCA een afzonderlijk aanbod van certificering zonder accreditatie. Dat verschilt van een certificaat dat een geaccrediteerde certificerende instelling aan jullie afgeeft én van DCA’s eigen, door EIK onder accreditatie afgegeven certificaat. Stem vooraf af welk bewijs jullie opdrachtgever vraagt.
Is ISO 27001-certificering hetzelfde als een veilige organisatie?+
Een certificaat betreft het beoordeelde managementsysteem en de vermelde scope. Het geeft geen garantie dat incidenten nooit voorkomen. Blijvend controleren en verbeteren hoort bij de aanpak.
Hoeveel moet onze organisatie zelf doen?+
Jullie blijven verantwoordelijk voor managementbesluiten, proceskennis en het uitvoeren van afgesproken maatregelen. Tijdens de intake spreken we per taak af wat jullie doen en wat DCA oppakt.
Officiële bronnen
Bronnen geraadpleegd op 19 september 2026. Gebruik bij de uitvoering de actuele norm of schemavereisten.