Een ISO 27001-traject raakt directie, IT, HR, inkoop en de dagelijkse uitvoering. Gebruik deze stappen om per fase een eigenaar, resultaat en beslismoment af te spreken. Lees eerst de uitleg over ISO 27001 als je nog bepaalt of de norm bij jullie klantvraag past.
1. Bepaal doel, scope en eigenaarschap
Leg vast welke klantvraag of organisatiedoelstelling de aanleiding vormt. Beschrijf vervolgens de diensten, locaties, systemen, teams en leveranciers die binnen de scope vallen. Een certificaat moet herkenbaar aansluiten op de dienstverlening die een klant afneemt.
Vraag ook meteen of de klant certificering onder accreditatie verlangt. Die keuze hoort bij de start van je traject, zodat je straks het juiste bewijs kunt laten zien.
Laat de directie de richting, middelen en verantwoordelijkheden vaststellen. Benoem één coördinator, maar verdeel inhoudelijke acties over de mensen die de processen kennen. Het resultaat is een afgebakend project met besluitvormers en beschikbare tijd.
2. Vergelijk de bestaande werkwijze met de norm
Inventariseer wat al werkt en wat nog ontbreekt. Kijk bij de nulmeting naar uitvoering én bewijs: een beschreven procedure zonder eigenaar of vastlegging is nog geen aantoonbaar werkend proces. Gebruik ISO/IEC 27001:2022 en de toepasselijke wijzigingen als referentie. Bekijk de officiële ISO-publicatie.
Beoordeel risico’s met vaste criteria, kies maatregelen en leg vast wie de behandeling en resterende risico’s goedkeurt. Verbind risicoanalyse, behandelplan en Verklaring van Toepasselijkheid. Dit zijn samenhangende onderdelen, geen losse invuloefeningen. BSI licht deze samenhang toe in de zelfbeoordeling.
Maak van de uitkomst een actielijst met prioriteit, eigenaar en gewenst bewijs. Zo wordt zichtbaar welke acties eerst aandacht vragen en welke afhankelijk zijn van een leverancier of directiebesluit.
3. Werk maatregelen uit en verzamel bewijs
Spreek per maatregel af wat iemand uitvoert, hoe vaak dat nodig is en waar het resultaat wordt bewaard. Hergebruik bestaande registraties, zoals tickets, HR-afspraken en leveranciersbeoordelingen. Bewaar geen gevoelige klantgegevens in een algemeen toegankelijk auditdossier.
Praktische onderdelen van het dossier zijn onder meer de scope, het beleid, de risicoanalyse, het behandelplan, de Verklaring van Toepasselijkheid en de vastlegging van controles. De ISO 27001-checklist helpt om per onderdeel eigenaar, status en bewijs te noteren. Met de Compliance Tool organiseer je taken, documenten en verbeteracties op één plek.
4. Toets intern en bespreek de uitkomsten
Plan een interne audit en een directiebeoordeling. De interne audit moet de opzet en werking onderzoeken; leg bevindingen en opvolging vast. De directie beoordeelt de resultaten en besluit over benodigde verbeteringen en middelen. Deze onderdelen behoren tot de terugkerende evaluatie van het ISMS. Zie de BSI-implementatiegids, hoofdstukken 9 en 10.
Zorg dat de auditor objectief kan beoordelen en niet zijn eigen implementatiewerk toetst. Bekijk de ondersteuning bij interne audits en spreek vooraf scope, onafhankelijkheid, rapportage en opvolging af. Een interne audit geeft geen certificaat.
5. Kies je certificeringsroute en houd het systeem bij
Bij externe certificering kun je kiezen voor een certificaat onder accreditatie of zonder accreditatie. Het verschil zit in de erkenning van de certificerende instelling. Welke route past, hangt mede af van de eisen van je klant, contract of aanbesteding.
Certificering onder accreditatie
Hiervoor kies je een certificatie-instelling die geaccrediteerd is voor ISO 27001 en de betreffende certificeringsactiviteiten. Die instelling beoordeelt je managementsysteem en beslist over het certificaat. DCA kan je op deze audit voorbereiden. Controleer de accreditatie en scope in het RvA-register.
Bij deze route bestaat de eerste certificeringsaudit uit twee fasen. Stage 1 beoordeelt de inrichting en gereedheid; stage 2 onderzoekt de uitvoering en het bewijs. Stem met de instelling af welk dossier en welke gesprekspartners nodig zijn. BSI beschrijft het certificeringsproces.
Certificering zonder accreditatie
Ook hiervoor kun je bij DCA terecht. Na een afzonderlijke beoordeling kan DCA een ISO 27001-certificaat zonder accreditatie afgeven, als voldoende objectief bewijs beschikbaar is en eventuele tekortkomingen zijn opgelost. Dit is een apart traject; implementatiebegeleiding of een interne audit levert dit certificaat niet automatisch op. Bekijk onze werkwijze bij certificering zonder accreditatie.
Spreek vooraf af wie begeleidt, wie beoordeelt en wie beslist, en hoe de onpartijdigheid wordt geborgd. Controleer vóór je kiest of deze certificeringsvorm wordt geaccepteerd. Een certificaat zonder accreditatie vervangt niet automatisch een gevraagd certificaat onder accreditatie. Vermeld de status duidelijk wanneer je het certificaat gebruikt.
ISO licht het onderscheid toe; de RvA legt uit wat de accreditatiescope betekent.
Plan na de audit de opvolging van bevindingen, periodieke controles en toekomstige audits. Certificering is geen eindpunt van het beheer. Houd wijzigingen in diensten, systemen en leveranciers daarom onderdeel van de normale werkafspraken.
Hoeveel interne tijd en begeleiding zijn nodig?
Er bestaat geen betrouwbaar standaard aantal interne uren voor iedere organisatie. Begroot tijd voor interviews, verzamelen van informatie, aanpassen van processen, uitvoeren van maatregelen, controles en besluitvorming. Verdeel dat over coördinator, directie en proceseigenaren. Plan ook ruimte voor herstelacties.
DCA kan de nulmeting, planning, uitwerking en auditvoorbereiding begeleiden of afgesproken uitvoering overnemen. Jullie leveren de organisatiekennis, voeren de afgesproken acties uit en blijven verantwoordelijk voor formele besluiten. Leg de verdeling per werkpakket vast bij implementatiebegeleiding.
Begeleiding start bij 4 uur per week tegen vanaf € 120 per uur: gemiddeld € 2.080 per maand exclusief btw. Software, interne uren en externe certificering zijn afzonderlijke onderdelen van de begroting. Bekijk de prijzen en calculator en de kostenopbouw van ISO 27001.
Veelgestelde vragen
Welke documenten bereid je voor?+
Begin met scope, beleid, risicoanalyse, behandelplan en Verklaring van Toepasselijkheid. Voeg bewijs van uitvoering, interne audits, directiebeoordeling en verbeteracties toe. De norm en jullie scope bepalen de verdere uitwerking.
Hoe lang duurt ISO 27001-certificering?+
De duur hangt af van de uitgangssituatie, scope, interne capaciteit en verbeteringen. Maak de planning na een nulmeting en stem de auditbeschikbaarheid af met de certificerende instelling; begeleiding bevat geen gegarandeerde doorlooptijd.
Wie beslist over het certificaat?+
Bij certificering onder accreditatie beslist een daarvoor geaccrediteerde certificatie-instelling. DCA kan daarnaast na een afzonderlijke beoordeling een certificaat zonder accreditatie afgeven. Spreek vooraf scope, rollen, voorwaarden en acceptatie af. Begeleiding of een interne audit geeft op zichzelf geen certificaat.
Wil je een eerste overzicht invullen? Gebruik de gratis online checklist auditvoorbereiding voor scope, eigenaarschap en bewijs. Dit algemene hulpmiddel is geen volledige ISO 27001-normtoets en geeft geen certificaat.
Bronnen bij dit artikel
- ISO: ISO/IEC 27001:2022 en wijzigingenGeraadpleegd op 19 september 2026
- BSI: implementatiegids ISO/IEC 27001:2022Geraadpleegd op 19 september 2026
- BSI: zelfbeoordeling van het ISMSGeraadpleegd op 19 september 2026
- BSI: certificeringsprocesGeraadpleegd op 19 september 2026
- ISO: certificering en accreditatieGeraadpleegd op 7 oktober 2026
- Raad voor Accreditatie: geaccrediteerde instellingenGeraadpleegd op 19 september 2026
- Raad voor Accreditatie: verschil tussen certificatie, accreditatie en scopeGeraadpleegd op 7 oktober 2026
Verder met dit onderwerp
Deze uitleg is algemeen en vervangt geen beoordeling van jullie situatie of de officiële normtekst.