ISMS

Wat is een ISMS?

Een ISMS (Information Security Management System) is het samenhangende geheel van beleid, processen, rollen, risicoanalyses en beheersmaatregelen waarmee een organisatie de vertrouwelijkheid, integriteit en beschikbaarheid van haar informatie systematisch beschermt en continu verbetert. Een ISMS is dus geen softwarepakket, maar een manier van organiseren: de directie stelt doelen, risico’s worden structureel beoordeeld, maatregelen worden gekozen en de werking wordt periodiek getoetst. De bekendste norm voor een ISMS is ISO 27001; in OT-omgevingen wordt het ISMS aangevuld met IEC 62443.

🧠 Wat doet een ISMS?

Een ISMS maakt van informatiebeveiliging, meer dan een verzameling losse maatregelen, een bestuurbaar proces. De kern bestaat uit vier eigenschappen:

• Risicogestuurd - maatregelen volgen uit een risicobeoordeling, niet uit een checklist; wat weinig risico loopt, krijgt minder aandacht
• Gericht op de CIA-triade - vertrouwelijkheid, integriteit en beschikbaarheid van informatie, ongeacht of die digitaal, op papier of in een besturingssysteem staat
• Cyclisch - het ISMS volgt de PDCA-cyclus (Plan-Do-Check-Act): plannen, uitvoeren, meten en bijsturen
• Aantoonbaar - beslissingen, risico’s en uitzonderingen worden vastgelegd, zodat een auditor, toezichthouder of klant kan nagaan dat de organisatie in control is en aan haar compliance-verplichtingen voldoet

Het verschil met “gewoon goed beveiligen” zit in die laatste twee punten. Een firewall, een SIEM of een back-upprocedure is een maatregel; een ISMS zorgt dat iemand eigenaar is, dat de maatregel wordt getest en dat afwijkingen leiden tot verbetering. Daarmee wordt informatiebeveiliging een onderdeel van governance in plaats van een taak van de IT-afdeling alleen.

🔧 Uit welke bouwstenen bestaat een ISMS?

ISO 27001 volgt de Harmonized Structure die alle ISO-normen voor een managementsysteem delen. De eisen in clausules 4 tot en met 10 vertalen zich naar een vaste set bouwstenen:

De Statement of Applicability is vaak het meest geraadpleegde document. Daarin staat voor elk van de 93 maatregelen uit Annex A van ISO 27001:2022 of die wordt toegepast, waarom, en wat de status is. Een maatregel uitsluiten mag, mits u dat onderbouwt. De 93 maatregelen zijn verdeeld over vier thema’s: 37 organisatorische, 8 personele, 14 fysieke en 34 technologische maatregelen, van toegangsbeheer tot logging en monitoring. De versie uit 2013 telde nog 114 maatregelen in 14 domeinen; de overgangstermijn naar de editie van 2022 liep af op 31 oktober 2025.

🔄 Wat is het verschil tussen een ISMS, ISO 27001 en een CSMS?

Een ISMS is het systeem zelf; ISO 27001 is de norm die beschrijft waaraan dat systeem moet voldoen en waartegen u zich kunt laten certificeren. U kunt dus een ISMS hebben zonder certificaat. In de industrie komt daar een derde begrip bij: het CSMS (Cyber Security Management System) uit IEC 62443-2-1.

In de eerste editie uit 2010 heette het OT-programma CSMS en overlapte het sterk met ISO 27001. De tweede editie van IEC 62443-2-1, gepubliceerd in augustus 2024, deelt de eisen op in security program elements, schrapt de dubbelingen met een ISMS en voegt een volwassenheidsmodel toe. Het praktische gevolg: veel organisaties houden één ISMS als paraplu en voegen de OT-specifieke eisen uit IEC 62443 daaronder toe.

🏭 Hoe past u een ISMS toe in een OT-omgeving?

Een ISMS dat alleen kantoorautomatisering dekt, laat in een fabriek, waterzuivering of energiecentrale het grootste risico buiten beeld. Het toepassen op SCADA, PLC’s, historians en MES vraagt een paar aanpassingen:

• Scope uitbreiden - neem de productieomgeving expliciet op, inclusief leveranciersverbindingen en toegang op afstand
• Beschikbaarheid voorop - weeg in de risicobeoordeling stilstand, veiligheid van mensen en milieuschade mee, niet alleen datalekken
• Architectuur meenemen - gebruik het Zone and Conduits-model en netwerksegmentatie als basis voor maatregelen; een detailrisicoanalyse volgens IEC 62443-3-2 past binnen de risicobeoordeling van het ISMS
• Compenserende maatregelen - waar patchen niet kan, legt u in de SoA vast welke alternatieve maatregel het risico afdekt
• Rollen over de grens - laat procesingenieurs en de IT-beveiliging samen eigenaar zijn van OT-risico’s

Een ISMS verbindt de technische beveiliging van IT en OT met organisatiebrede besluitvorming over risico’s.

🛠️ Hoe zet u stap voor stap een ISMS op?

1. Draagvlak bij de directie - leg vast wie eindverantwoordelijk is en welk budget beschikbaar is
2. Scope bepalen - kies welke vestigingen, processen en systemen meedoen; begin liever klein en volledig dan breed en oppervlakkig
3. Assets inventariseren - breng informatie, systemen en installaties in kaart, met eigenaar en belang
4. Risico’s beoordelen - kies een methode, bijvoorbeeld op basis van ISO 27005, en vul het risicoregister
5. Maatregelen kiezen - stel het behandelplan en de SoA op; gebruik ISO 27002 als toelichting per maatregel
6. Invoeren en trainen - voer maatregelen in, regel incidentrespons en train medewerkers
7. Meten en auditen - voer interne audits uit en houd minstens jaarlijks een directiebeoordeling
8. Verbeteren - los afwijkingen op en pas het ISMS aan na incidenten of veranderingen

Een eerste werkend ISMS kost voor een middelgrote organisatie doorgaans enkele maanden tot een jaar, afhankelijk van de scope en het bestaande beveiligingsniveau. Wie certificering nastreeft, laat daarna een geaccrediteerde certificatie-instelling een audit in twee fasen uitvoeren; het certificaat is drie jaar geldig, met jaarlijkse surveillance-audits.

🔐 Welke wetten en kaders vragen om een ISMS?

• Cyberbeveiligingswet - sinds 15 augustus 2026 van kracht; de zorgplicht vraagt een risicogestuurde aanpak met bestuurlijke verantwoordelijkheid. Het Cyberbeveiligingsbesluit sluit grotendeels aan op ISO 27001 en NEN 7510, maar verplicht geen certificering
• BIO - BIO2, vastgesteld op 23 september 2025, volgt in deel 1 de structuur van ISO 27001 en beschrijft het ISMS dat overheidsorganisaties moeten inrichten
• NIS2 - de Europese richtlijn achter de Cbw, met eisen aan risicobeheer, leveranciersbeveiliging en bedrijfscontinuïteit
• AVG - vraagt passende technische en organisatorische maatregelen voor persoonsgegevens; een ISMS helpt dat aantoonbaar te maken
• NEN 7510 - de Nederlandse norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001 en aangevuld met zorgspecifieke eisen

❓ Veelgestelde vragen

Is een ISMS verplicht?

Een ISMS is niet altijd letterlijk wettelijk verplicht, maar de Cyberbeveiligingswet en BIO2 vragen een risicogestuurde, aantoonbare aanpak die in de praktijk neerkomt op een ISMS. Ook klanten en aanbestedingen eisen steeds vaker een ISO 27001-certificaat. Voor overheidsorganisaties onder de Cbw is een ISMS volgens BIO2 de norm.

Wat is het verschil tussen een ISMS en ISO 27001?

Een ISMS is het managementsysteem dat een organisatie zelf inricht om informatiebeveiliging te sturen. ISO 27001 is de internationale norm die de eisen aan een ISMS vastlegt en waartegen een certificatie-instelling kan toetsen. U kunt een ISMS volgens ISO 27001 inrichten zonder u te laten certificeren.

Hoe lang duurt het om een ISMS in te voeren?

Het invoeren van een ISMS duurt voor een middelgrote organisatie meestal enkele maanden tot een jaar. De doorlooptijd hangt af van de scope, de volwassenheid van bestaande maatregelen en de beschikbare capaciteit. Voor certificering moet het ISMS bovendien aantoonbaar werken, inclusief interne audit en directiebeoordeling.

Wat is een Statement of Applicability in een ISMS?

De Statement of Applicability (SoA) is het ISMS-document dat per maatregel uit Annex A van ISO 27001 vastlegt of die van toepassing is, waarom, en of hij is ingevoerd. De SoA verbindt de risicobeoordeling met de gekozen maatregelen. Auditors gebruiken de SoA als startpunt van hun onderzoek.

Geldt een ISMS ook voor OT-systemen?

Een ISMS kan en moet ook OT-systemen zoals SCADA, PLC’s en historians omvatten wanneer die binnen de scope vallen. Omdat ISO 27001 geen OT-specifieke eisen kent, vullen organisaties het ISMS aan met IEC 62443, bijvoorbeeld voor zones en conduits en compenserende maatregelen. De Cyberbeveiligingswet maakt geen onderscheid tussen IT en OT.

Wie is verantwoordelijk voor een ISMS?

De eindverantwoordelijkheid voor een ISMS ligt bij de directie, die het beleid vaststelt, middelen beschikbaar stelt en de werking beoordeelt. De dagelijkse coördinatie ligt meestal bij een CISO of security officer. Risico-eigenaren in de lijn, ook in productie, zijn verantwoordelijk voor de maatregelen in hun domein.

📌 Samengevat

Een ISMS is het managementsysteem waarmee een organisatie informatiebeveiliging risicogestuurd organiseert, bewaakt en continu verbetert. Het combineert beleid, risicobeoordeling, maatregelen en audits in een PDCA-cyclus volgens ISO 27001, en vormt in OT-omgevingen samen met IEC 62443 de basis om aan de Cyberbeveiligingswet en BIO2 te voldoen.