Kort antwoord. Bij een managementreview, ook directiebeoordeling genoemd, beoordeelt het management of het managementsysteem voor informatiebeveiliging nog passend en effectief is. Bereid relevante informatie voor, maak beperkingen zichtbaar en leg besluiten over verbetering en veranderingen vast. Wijs per actie een eigenaar en termijn aan. Een bespreking zonder besluiten en opvolging is weinig bruikbaar.
Wat verlangt de norm en wat is onze praktische aanpak?
De actuele internationale editie is ISO/IEC 27001:2022, met amendement 1:2024. Paragraaf 9.3 gaat over de managementreview. De NEN-presentatie over de editie 2022 laat de onderdelen algemene beoordeling, input en resultaten zien en noemt veranderingen in behoeften van belanghebbenden.
De NQA-handreiking bij ISO 27001:2022, pagina 27, licht toe dat het management op geplande momenten beoordeelt en de uitkomsten documenteert. De norm bevat verplichte beoordelingsonderwerpen; gebruik je eigen normexemplaar om te controleren of je alles behandelt. De agenda, tabellen en taakverdeling hieronder zijn praktische aanbevelingen van DCA, geen voorgeschreven formulier of volledige weergave van de norm.
Wie bereidt voor en wie neemt de besluiten?
Laat de coördinator van je informatiebeveiliging de informatie bundelen. Proces- en risico-eigenaren leveren hun feiten en voorstellen aan; IT kan testresultaten en beveiligingsinformatie toelichten. Het management beoordeelt de samenhang en neemt de besluiten die bij zijn verantwoordelijkheid horen, bijvoorbeeld over prioriteiten, capaciteit en veranderingen.
Je kunt de voorbereiding verdelen. Dat neemt de beoordeling door het management niet over. Spreek vooraf af wie besluiten mag nemen en wie opvolging bewaakt. Ook bij een klein team helpt die scheiding: degene die een actie uitvoert, maakt duidelijk welk resultaat nodig is voor afsluiting.
Welke informatie verzamel je vooraf?
Maak een kort overzicht met de periode, bron, eigenaar en betekenis van ieder gegeven. Een losse lijst cijfers vertelt nog niet of je beveiliging verbetert. Gebruik dit praktische overzicht bij de voorbereiding en toets daarnaast de vereiste input van paragraaf 9.3 aan je normexemplaar:
- Eerdere besluiten en acties: wat is uitgevoerd, wat is nog open en welk bewijs ondersteunt afsluiting?
- Veranderingen: andere diensten, systemen, leveranciers, verplichtingen en behoeften van klanten of andere belanghebbenden.
- Doelstellingen en metingen: wat wilde je bereiken, wat laten de resultaten en trends zien, en wat kun je nog niet meten?
- Afwijkingen, incidenten en corrigerende acties: wat is er geleerd en heeft de maatregel het probleem aangepakt?
- Interne audits: scope, periode, bevindingen en opvolging. Vermeld onderdelen die niet onderzocht zijn.
- Risicobeoordeling en risicobehandeling: gewijzigde risico’s, voortgang van maatregelen en punten waar een besluit nodig is.
- Feedback en verbeterkansen: welke signalen van medewerkers, klanten of andere belanghebbenden vragen aandacht?
Voeg alleen informatie toe die nodig is voor het oordeel en de besluiten. Verwijs naar afgeschermd bewijs waar dat kan; kopieer geen volledige personeels- of incidentdossiers in een breed gedeeld verslag. Een BIV-classificatie kan helpen uitleggen welke processen bij uitval of fouten het zwaarst worden geraakt.
Wat doe je als informatie ontbreekt?
Noem het ontbrekende gegeven, waarom het nodig is en welke conclusie daardoor nog niet mogelijk is. Noteer wie het verzamelt en wanneer het management het opnieuw beoordeelt. “Geen incidenten geregistreerd” is bijvoorbeeld iets anders dan “we hebben vastgesteld dat er geen incidenten waren”.
Ontbreekt een hersteltest voor een belangrijk proces? Je kunt wel besluiten die test prioriteit te geven. Je kunt de herstelbaarheid nog niet als bewezen beschouwen. Leg eventuele tijdelijke maatregelen en het moment voor een aanvullend besluit vast. Als essentiële input ontbreekt, is een voorlopige bespreking geen onderbouwing voor een volledig oordeel.
Een compacte voorbeeldagenda
- Bepaal de scope en beoordeelde periode; benoem aanwezigen en beslisbevoegdheid.
- Controleer eerdere besluiten, acties en open punten.
- Bespreek veranderingen, prestaties, doelstellingen, feedback en auditbevindingen in samenhang met de risico’s.
- Maak duidelijk wat de gegevens wel en niet onderbouwen over de werking van het managementsysteem.
- Besluit over verbeteringen, nodige veranderingen en de inzet die daarvoor nodig is.
- Leg acties, eigenaren, termijnen, bewijs voor afsluiting en het volgende beoordelingsmoment vast.
Gebruik bestaande managementoverleggen als die de nodige onderwerpen en besluiten afdekken. Maak dan inzichtelijk welke bespreking welk onderdeel behandelt en hoe de gezamenlijke resultaten zijn vastgelegd. Een extra vergadering is niet het doel; een aantoonbare beoordeling met opvolging wel.
Hoe zien bruikbare besluiten en acties eruit?
Onderstaande besluiten zijn volledig fictief. De termijnen zijn voorbeeldafspraken, geen normtermijnen. Leg naast de actie ook vast wie het resultaat beoordeelt. “Besproken” is geen besluit en “afgerond” vraagt bewijs.
Op een klein scherm kun je de tabel zijwaarts verschuiven. Met het toetsenbord: ga naar de tabel en gebruik de pijltjestoetsen.
| Informatie en beperking | Besluit / actie | Eigenaar en termijn | Opvolging en afsluiting |
|---|---|---|---|
| Hersteltest orderplanning ontbreekt; herstelbaarheid is nog niet aangetoond. | Management reserveert capaciteit voor een hersteltest en laat een tijdelijk alternatief uitwerken. | IT-verantwoordelijke: binnen vier weken. | Proceseigenaar beoordeelt testresultaat tegenover het hersteldoel; management krijgt afwijkingen en een aanvullend voorstel. |
| Audit toont dat twee oude accounts nog actief waren; omvang van het probleem wordt onderzocht. | Accounts blokkeren waar dat verantwoord kan en de uitdienstprocedure controleren. Geen conclusie dat alle toegang op orde is. | Operations en IT: binnen twee weken. | Beveiligingscoördinator controleert de afgebakende accountreview en werking van de aangepaste procedure. |
| Nieuwe klant wil een kortere hersteltermijn; haalbaarheid nog onbekend. | Eerst impact en haalbaarheid onderzoeken; nog geen toezegging aan de klant. | Commercieel verantwoordelijke met IT: vóór de contractbeslissing. | Management beslist op basis van risico, kosten en testbare herstelafspraken; beslissing en motivatie vastleggen. |
Bewaar de beoordeelde informatie, onzekerheden, besluiten en actielijst zo dat je de redenering later terugvindt. Noteer ook een bewust besluit om iets niet te veranderen, met onderbouwing. Een verslag dat het systeem zonder passend bewijs “volledig effectief” noemt, helpt je niet bij een volgend incident of een audit.
Wat is het verschil met een interne audit?
Een interne audit onderzoekt afgebakend of afspraken en eisen worden gevolgd en hoe het systeem werkt. De managementreview gebruikt de audituitkomsten naast andere informatie voor keuzes over het geheel. Een auditrapport vervangt die managementbesluiten niet; een managementoverleg vervangt evenmin onafhankelijk en zorgvuldig auditonderzoek.
Plan de interne audit en review zo dat relevante bevindingen kunnen worden meegenomen. Vraag bij iedere bevinding wat er is onderzocht, welke beperking geldt en welk besluit nu nodig is. Het ISO 27001-stappenplan helpt deze momenten in je traject te plaatsen.
Wanneer plan je de volgende beoordeling?
Kies en leg een gepland ritme vast dat past bij je organisatie en veranderingen. “Altijd één keer per jaar” is geen universele frequentie uit ISO 27001. Aanvullende contract- of sectorafspraken kunnen wel een specifiek ritme vragen. Een jaarlijkse bijeenkomst kan bovendien te laat zijn voor een urgent risico.
Spreek daarom ook af welke gebeurtenissen een aanvullende beoordeling vragen, zoals een ingrijpende dienstwijziging, ernstig incident of een actie die niet werkt. Controleer tussentijds de actielijst. Begin je net? Gebruik de ISO 27001-checklist om te zien welke informatie je al hebt en wat je nog moet organiseren.
Verder lezen
Bronnen en broncontrole
Openbare primaire bronnen gecontroleerd op . De agenda, schalen en voorbeelden zijn praktische uitwerkingen van DCA. Openbare uitleg vervangt je eigen normexemplaar niet.
- ISO: ISO/IEC 27001:2022 — Officiële normcatalogus: editie 3, gepubliceerd oktober 2022, met amendement 1:2024. De openbare toelichting beschrijft een risicogericht managementsysteem.
- NEN-webinar: wijzigingen ISO/IEC 27001:2022 — Presentatie van 7 december 2022, dia 18: structuur van paragraaf 9.3 en veranderingen in behoeften van belanghebbenden als input. Geen vervanging van de normtekst.
- NQA: ISO 27001:2022 Implementation Guide — Uitleg van een certificatie-instelling, pagina 27: geplande beoordelingen door het management en vastlegging van besluiten. Publicatiedatum niet vastgesteld; gecontroleerde documentversie noemt ISO 27001:2022.