ISO 27001

ISO 27001-checklist: documenten, taken en auditbewijs

Je hoeft niet alles tegelijk te regelen. Loop eerst de basis langs: scope, risico’s, eigenaarschap en bewijs.

De Compliance Afdeling
De Compliance AfdelingPraktische uitleg · 5 minuten leestijdOorspronkelijke bijdrage: Aileen · Business Analist
Bijgewerkt op

Neem deze vragen mee in een eerste werksessie met directie, coördinator en proceseigenaren. Noteer per onderwerp: geregeld, deels geregeld of nog te onderzoeken. Lees de uitleg over ISO 27001 en gebruik het stappenplan om de acties te plannen.

Gebruik de zelfcheck met zeven vragen om je eerste aandachtspunten te bepalen. Lees hieronder de uitleg en voorbeelden bij ieder onderwerp.

1. Zijn richting en scope afgesproken?

  • Welk doel willen we met het ISMS bereiken en wie beslist daarover?
  • Welke diensten, locaties, systemen, informatie en uitbestede activiteiten vallen binnen de scope?
  • Welke eisen van klanten en andere betrokkenen zijn relevant?
  • Wie coördineert, wie voert uit en hoeveel tijd hebben zij beschikbaar?

Maak scope en doelen vindbaar en leg de taakverdeling vast. De context en afbakening vormen de basis voor het ISMS. ISO beschrijft het toepassingsgebied van de norm.

2. Zijn risico’s verbonden aan maatregelen?

  • Welke informatie en processen onderzoeken we, en wat kan er misgaan?
  • Gebruiken we vaste beoordelingscriteria die bij een volgende analyse opnieuw bruikbaar zijn?
  • Wie is eigenaar van elk risico en wie mag het restrisico accepteren?
  • Zijn behandelkeuzes vertaald naar maatregelen, acties en eigenaren?
  • Is de Verklaring van Toepasselijkheid onderbouwd en sluit zij aan op de uitvoering?

Het risico-overzicht, behandelplan en de Verklaring van Toepasselijkheid moeten samen leesbaar zijn. Controleer dus ook of aanpassingen in het ene overzicht zijn verwerkt in het andere. Zie de BSI-zelfbeoordeling over risicobehandeling.

3. Is de dagelijkse uitvoering aantoonbaar?

Kies voorbeelden uit jullie eigen processen en vraag wie de uitvoering kan toelichten. Mogelijke werkvragen zijn:

  • Kunnen we een aanvraag, wijziging en intrekking van toegangsrechten volgen?
  • Waar staan de uitkomsten en opvolging van leveranciersbeoordelingen?
  • Wie registreert een incident en beoordeelt de verbeteractie?
  • Hoe blijkt dat een afgesproken hersteltest is uitgevoerd?
  • Hoe weten medewerkers welke afspraken voor hun rol gelden?

4. Welke documenten en registraties verzamel je?

Maak een dossieroverzicht waarin je de normonderdelen aan de bestaande informatie koppelt. Het hoeft geen verzameling nieuwe losse bestanden te worden. Een praktische indeling is:

  • Richting: scope, beleid, doelen en verantwoordelijkheden.
  • Risicokeuzes: analysemethode, uitkomsten, behandelplan, goedkeuringen en Verklaring van Toepasselijkheid.
  • Uitvoering: werkinstructies en passende registraties uit het dagelijks werk.
  • Evaluatie: metingen, interne auditresultaten en directiebeoordeling.
  • Verbetering: bevindingen, oorzaken, acties en controle van de uitkomst.

Deze indeling is een hulpmiddel voor de dossieropbouw. Controleer de vereiste vastlegging steeds tegen de officiële norm. De BSI-implementatiegids beschrijft documentatie en evaluatie.

5. Zijn toetsing en verbetering georganiseerd?

Plan interne audits, directiebeoordeling en het opvolgen van afwijkingen. Leg vast wie toetst en hoe objectiviteit is geregeld. Maak per open bevinding duidelijk wat de oorzaak is, welke actie nodig is en wie nagaat of die actie werkt.

Een afgeronde checklist is geen certificaat. De certificerende instelling beoordeelt jullie ISMS onafhankelijk. ISO licht de rol van certificering toe.

Wie voert de acties uit en wat kost dat?

Laat de coördinator de samenhang bewaken. Directie en proceseigenaren leveren informatie, besluiten over risico’s en organiseren uitvoering. Reserveer hun tijd expliciet; een normdocument of softwarelicentie maakt die capaciteit niet automatisch beschikbaar.

DCA kan ondersteunen bij analyse, planvorming, inrichting en auditvoorbereiding. Gebruik de prijscalculator om interne capaciteit en begeleidingsuren te vergelijken. Het startpunt van 4 uur begeleiding per week is geen norm voor de interne inzet en geen garantie op een bepaalde doorlooptijd.

Begroot interne tijd, software, begeleiding, eventuele verbetermaatregelen en audits afzonderlijk. Het artikel over de kosten van ISO 27001-certificering legt uit hoe je die posten vergelijkt.

Veelgestelde vragen

Is deze checklist voldoende voor certificering?+

Nee. Het is een hulpmiddel voor voorbereiding. De officiële norm, de scope en de organisatiecontext bepalen wat de certificerende instelling beoordeelt.

Moet elk onderwerp een apart document krijgen?+

Niet vanzelfsprekend. Maak de vereiste informatie vindbaar en beheersbaar en hergebruik bestaande registraties waar die voldoen. Controleer de uitwerking tegen de norm.

Hoeveel interne uren moet ik reserveren?+

Maak per werkpakket een inschatting voor interviews, besluiten, uitvoering, controles en opvolging. Er is geen universeel aantal interne uren; scope en uitgangssituatie bepalen de inzet.

Wil je een eerste overzicht invullen? Gebruik de gratis online checklist auditvoorbereiding voor scope, eigenaarschap en bewijs. Dit algemene hulpmiddel is geen volledige ISO 27001-normtoets en geeft geen certificaat.

Waar staat jouw ISO 27001-voorbereiding?

Beantwoord zeven vragen. Bij Deels, Nee of Weet ik niet tonen we de bijbehorende actie en uitleg. Bij Ja verschijnt dat aandachtspunt niet; dat is geen controle van jouw bewijs. Je krijgt geen score of oordeel over conformiteit.

Antwoorden blijven in het geheugen van deze pagina en verdwijnen bij opnieuw laden. Je hoeft geen e-mailadres in te vullen om de uitkomst te bekijken. Vul hier geen namen, incidentdetails of andere vertrouwelijke informatie in.

1. Is duidelijk welke diensten, locaties en systemen binnen jullie ISMS vallen?

Maak de scope concreet en bespreek wat erbuiten valt. Lees over richting en scope.

2. Zijn een verantwoordelijke en beschikbare tijd afgesproken?

Spreek eigenaarschap en capaciteit af met directie en proceseigenaren. Verdeel taken en interne tijd.

3. Zijn jullie informatiebeveiligingsrisico’s beoordeeld en vastgelegd?

Beoordeel risico’s vanuit jullie eigen informatie en processen. Verbind risico’s aan maatregelen.

4. Is afgesproken hoe je risico’s behandelt en welke maatregelen van toepassing zijn?

Onderbouw keuzes in het behandelplan en de Verklaring van Toepasselijkheid. Onderbouw jullie risicokeuzes.

5. Kun je met recente voorbeelden laten zien dat maatregelen worden uitgevoerd?

Verzamel gericht uitvoeringsbewijs, met eigenaar en datum. Maak uitvoering aantoonbaar.

6. Zijn een objectieve interne audit en directiebeoordeling georganiseerd?

Plan toetsing en besluitvorming met passende scope en objectiviteit. Organiseer interne controle.

7. Worden bevindingen opgevolgd en wordt gecontroleerd of verbeteringen werken?

Leg oorzaak, actie, eigenaar en effectcontrole per bevinding vast. Volg verbeteringen op.

Bespreek mijn ISO 27001-traject

Vertel waar je staat en welke ondersteuning je zoekt. Na verzending neemt een collega contact op om je vraag, scope en gewenste vervolgstap te bespreken. Een aanvraag is nog geen opdracht of certificering.

We gebruiken je gegevens om je aanvraag te behandelen en contact met je op te nemen. Lees in onze privacyverklaring hoe we daarmee omgaan.

Geen automatische offerte, score of certificeringsbeslissing.

Je aanvraag is ontvangen

We nemen contact op om jouw ISO 27001-vraag te bespreken.

Bronnen bij dit artikel

Verder met dit onderwerp

VerdiepingISO 27001-certificering: stappenplanBekijk de uitleg →VerdiepingKosten van ISO 27001-certificeringBekijk de uitleg →VerdiepingISO 27001: de norm en onze ondersteuningBekijk de uitleg →

Deze uitleg is algemeen en vervangt geen beoordeling van jullie situatie of de officiële normtekst.

Met jouw toestemming delen we gebruiksgegevens met Microsoft Clarity om klikken, scrollen en sessies te analyseren. Zonder toestemming laden we Clarity niet. Je kunt je keuze altijd wijzigen via Cookievoorkeuren. Lees ons cookiebeleid.

We onthouden jouw cookiekeuze en weergavevoorkeuren. Deze opslag is nodig om de website en jouw instellingen te laten werken.

Clarity registreert klikken, scrollen en pagina-interacties voor gebruiksanalyse en sessieopnamen. Formuliervelden zijn gemaskeerd. De cookies _clck (maximaal 1 jaar) en _clsk (1 dag) koppelen paginaweergaven aan een bezoek of sessie.

Daarnaast gebruiken we Plausible voor geaggregeerde, cookieloze statistieken. Deze meting blijft werken bij weigeren.

We bewaren jouw keuze 30 dagen in deze browser. Bij intrekken kan de pagina opnieuw laden om al geladen volgsoftware te stoppen. Lees ons cookiebeleid.