Wat is ISO 27001?
ISO/IEC 27001 is de internationale norm die de eisen vastlegt voor het opzetten, invoeren, onderhouden en continu verbeteren van een Information Security Management System (ISMS), waarmee een organisatie de vertrouwelijkheid, integriteit en beschikbaarheid van haar informatie risicogestuurd beschermt. De norm wordt uitgegeven door ISO en IEC (commissie JTC 1/SC 27) en is de centrale norm uit de ISO 27000-familie waartegen organisaties zich laten certificeren; de overige delen, zoals ISO 27002 en ISO 27005, zijn grotendeels richtlijnen. De huidige versie is ISO/IEC 27001:2022, in Nederland gepubliceerd als NEN-EN-ISO/IEC 27001:2023. Het gaat om alle informatie: digitaal, op papier of mondeling, in IT- én in OT-omgevingen.
🎯 Wat is het doel van ISO 27001?
ISO 27001 schrijft geen vaste set technische maatregelen voor, maar een managementsysteem. De organisatie bepaalt zelf welke risico’s er spelen en welke maatregelen nodig zijn. De belangrijkste doelen:
- Risico’s beheersen - informatiebeveiligingsrisico’s systematisch identificeren, beoordelen en behandelen via een risicobeoordeling
- Passende maatregelen invoeren - beheersmaatregelen (controls) tegen cyberdreigingen, menselijke fouten en datalekken
- Gevoelige data beschermen - zoals klantinformatie, intellectueel eigendom, recepturen en productiegegevens
- Compliance ondersteunen - een ISMS helpt aantonen dat u voldoet aan wet- en regelgeving zoals de AVG en NIS2, al levert het certificaat zelf geen wettelijke vrijstelling op
- Vertrouwen wekken - een geaccrediteerd certificaat is voor klanten en ketenpartners een onafhankelijk bewijs
📚 Hoe is ISO 27001 opgebouwd?
ISO 27001 volgt de Harmonized Structure die alle ISO-managementsysteemnormen delen, zoals ISO 9001 en ISO 22301. Daardoor kunt u meerdere systemen integreren. Hoofdstukken 0 tot en met 3 zijn inleidend; de eisen staan in clausules 4 tot en met 10, die samen de PDCA-cyclus vormen.
| Clausule | Onderwerp | Kern van de eisen | PDCA |
|---|---|---|---|
| 4 | Context van de organisatie | Interne en externe factoren, belanghebbenden, scope van het ISMS | Plan |
| 5 | Leiderschap | Betrokkenheid directie, beveiligingsbeleid, rollen en verantwoordelijkheden | Plan |
| 6 | Planning | Risicobeoordeling, risicobehandeling, Statement of Applicability, doelstellingen | Plan |
| 7 | Ondersteuning | Middelen, competenties, bewustzijn, communicatie, gedocumenteerde informatie | Do |
| 8 | Uitvoering | Risicobeoordeling en -behandeling uitvoeren, wijzigingen beheersen | Do |
| 9 | Evaluatie van de prestaties | Monitoring en meting, interne audit, directiebeoordeling | Check |
| 10 | Verbetering | Afwijkingen, corrigerende maatregelen, continue verbetering | Act |
Daarnaast bevat de norm Annex A: een referentielijst van 93 beheersmaatregelen. De Statement of Applicability (SoA) legt per maatregel vast of die wordt toegepast, waarom, en of hij al is ingevoerd. Een maatregel uitsluiten mag, mits u dat onderbouwt. De uitgebreide toelichting per maatregel staat in de zusternorm ISO 27002.
🔒 Welke maatregelen staan in Annex A?
In de versie van 2022 zijn de maatregelen ingedeeld in vier thema’s, in plaats van de veertien domeinen uit 2013 (met 114 maatregelen):
| Thema | Annex A | Aantal | Voorbeelden |
|---|---|---|---|
| Organisatorisch | A.5 | 37 | Beleid, threat intelligence, leveranciersrelaties, incidentbeheer, ICT-gereedheid voor bedrijfscontinuïteit |
| Mensen | A.6 | 8 | Screening, bewustwording en training, geheimhouding, thuiswerken |
| Fysiek | A.7 | 14 | Fysieke toegang, beveiligingsbewaking, apparatuur, opslagmedia |
| Technologisch | A.8 | 34 | Toegangsbeveiliging, back-up, logging, netwerkbeveiliging, versleuteling, secure coding |
Elf maatregelen zijn nieuw in 2022, waaronder threat intelligence (A.5.7), informatiebeveiliging bij clouddiensten (A.5.23), ICT-gereedheid voor bedrijfscontinuïteit (A.5.30), configuratiebeheer (A.8.9), data leakage prevention (A.8.12), monitoringactiviteiten (A.8.16) en secure coding (A.8.28). Andere bekende onderwerpen zijn bewustwording, versleuteling, incidentrespons en leveranciersbeheer.
🕰️ Welke versies zijn er en wat veranderde er recent?
ISO 27001 komt voort uit de Britse norm BS 7799 uit 1995. De eerste ISO/IEC-editie verscheen in oktober 2005, gevolgd door herzieningen in 2013 en 2022.
- 25 oktober 2022 - publicatie van ISO/IEC 27001:2022; de clausules veranderden beperkt, Annex A werd volledig herschikt naar ISO 27002:2022 (februari 2022)
- Februari 2024 - Amendment 1 (Climate action changes): in clausule 4.1 moet u bepalen of klimaatverandering een relevant onderwerp is, en clausule 4.2 merkt op dat belanghebbenden klimaatgerelateerde eisen kunnen hebben
- 1 mei 2024 - geen initiële of hercertificeringsaudits meer tegen de versie van 2013
- 31 oktober 2025 - einde van de overgangsperiode van 36 maanden; geaccrediteerde certificaten tegen ISO 27001:2013 zijn sindsdien niet meer geldig
Een organisatie die de overgang heeft gemist, moet opnieuw een volledige initiële certificering doorlopen.
🎓 Hoe verloopt een ISO 27001-certificering?
Certificering gebeurt door een onafhankelijke certificatie-instelling. In Nederland worden die instellingen geaccrediteerd door de Raad voor Accreditatie (RvA), op basis van ISO/IEC 17021-1 en de ISMS-specifieke aanvulling ISO/IEC 27006. Een certificaat zonder geaccrediteerde instelling heeft beperkte waarde bij aanbestedingen.
| Fase | Wat gebeurt er? | Wanneer |
|---|---|---|
| Stage 1-audit | Documentatie, scope, risicobeoordeling en SoA worden beoordeeld op gereedheid | Voor de certificering |
| Stage 2-audit | Toetsing of het ISMS in de praktijk werkt en aantoonbaar effectief is | Enkele weken na stage 1 |
| Certificaatbesluit | Afgifte na afhandeling van eventuele afwijkingen | Na stage 2 |
| Surveillance-audits | Steekproefsgewijze controle van het ISMS | Jaarlijks (jaar 1 en 2) |
| Hercertificering | Volledige herbeoordeling | Elke 3 jaar |
🔧 Hoe pas je ISO 27001 toe in een OT-omgeving?
ISO 27001 is ontworpen vanuit IT en kantoorinformatie, maar de scope kan ook productie-installaties omvatten. In de praktijk loopt u in OT tegen grenzen aan:
- Beschikbaarheid en veiligheid gaan voor - de norm kent geen vaste rangorde tussen vertrouwelijkheid, integriteit en beschikbaarheid; in OT staan procesbeschikbaarheid en fysieke veiligheid voorop
- Generieke maatregelen - Annex A kent geen zones en conduits, security levels of eisen aan PLC’s en SCADA-systemen
- Patchen en scannen - maatregelen als regelmatig patchen of kwetsbaarheidsscans zijn in OT niet altijd uitvoerbaar zonder stilstand
Daarom combineren veel industriële organisaties ISO 27001 met IEC 62443. Het ISMS vormt het organisatorische kader; IEC 62443 levert de OT-specifieke invulling, waaronder het zones-en-conduitsmodel. De tweede editie van IEC 62443-2-1 (augustus 2024) is daar expliciet op ingericht: zij beschrijft het securityprogramma van de asset owner in zes security program elements, heeft eisen geschrapt die een ISMS al dekt en is bedoeld om naast een ISMS, doorgaans volgens ISO 27001, te worden gebruikt. Voor energiebedrijven biedt ISO/IEC 27019:2024 aanvullende maatregelen voor procesbesturing.
Een praktische aanpak in zes stappen:
- Neem OT expliciet op in de scope - benoem locaties, installaties en de grens met IT, bijvoorbeeld volgens het Purdue Model
- Maak een asset-inventaris - van MES en ERP-koppelingen tot SCADA, PLC’s en IIoT-apparaten
- Beoordeel risico’s met OT-impact - neem procesverstoring, milieu en veiligheid op in de risicomethode, bijvoorbeeld met ISO 27005 en IEC 62443-3-2
- Vertaal Annex A naar OT - zet netwerksegmentatie, beheerde toegang op afstand en patchmanagement met compenserende maatregelen in de SoA
- Betrek operations - maak procesverantwoordelijken mede-eigenaar van risico’s en wijzigingen
- Toets en verbeter - neem OT mee in interne audits en directiebeoordelingen
🔄 Hoe verhoudt ISO 27001 zich tot BIO, NIS2 en NIST CSF?
- ISO 27002 - de praktijkgids met toelichting en attributen per maatregel; niet certificeerbaar
- BIO - de Baseline Informatiebeveiliging Overheid. BIO2 is op 23 september 2025 vastgesteld; deel 1 volgt de structuur van NEN-EN-ISO/IEC 27001:2023 en deel 2 die van ISO 27002:2022
- NIS2 en de Cyberbeveiligingswet - de Nederlandse wet is op 15 augustus 2026 in werking getreden en vraagt een risicogebaseerde zorgplicht en incidentmelding binnen 24 uur. Een ISO 27001-ISMS dekt een groot deel van de zorgplicht, maar is geen automatische vrijstelling
- NIST CSF - Amerikaans raamwerk; versie 2.0 (februari 2024) kent de functies Govern, Identify, Protect, Detect, Respond en Recover. ISO 27002 gebruikt Identify tot en met Recover als attribuut (‘cybersecurity concepts’), waardoor beide goed te koppelen zijn
Zo vormt ISO 27001 de ruggengraat van breder risicomanagement en cybersecuritybeleid, waarop sectorregels en OT-normen worden gestapeld.
❓ Veelgestelde vragen
Is ISO 27001 verplicht?
ISO 27001 is in Nederland niet wettelijk verplicht. Wel eisen klanten, aanbestedende overheden en ketenpartners vaak een ISO 27001-certificaat. Organisaties onder de Cyberbeveiligingswet gebruiken ISO 27001 veel als kader om hun zorgplicht aantoonbaar in te vullen.
Wat is het verschil tussen ISO 27001 en ISO 27002?
ISO 27001 bevat de eisen voor een ISMS en is de norm waartegen u wordt gecertificeerd. ISO 27002 is een richtlijn die per beheersmaatregel uit Annex A uitlegt hoe u die kunt invoeren. Certificering tegen ISO 27002 is niet mogelijk.
Hoeveel beheersmaatregelen heeft ISO 27001:2022?
ISO 27001:2022 bevat in Annex A 93 beheersmaatregelen, verdeeld over vier thema’s: 37 organisatorische, 8 mensgerichte, 14 fysieke en 34 technologische. De versie van 2013 had er 114 in veertien domeinen. Via de Statement of Applicability bepaalt u welke maatregelen van toepassing zijn.
Hoe lang is een ISO 27001-certificaat geldig?
Een ISO 27001-certificaat is drie jaar geldig. In het eerste en tweede jaar volgt een surveillance-audit en na drie jaar een hercertificeringsaudit. Certificaten tegen de versie van 2013 zijn sinds 31 oktober 2025 niet meer geldig.
Is ISO 27001 genoeg voor OT-security?
ISO 27001 alleen is meestal onvoldoende voor OT-security, omdat de maatregelen generiek zijn en geen rekening houden met procesbesturing en veiligheidseisen. In de industrie wordt ISO 27001 daarom gecombineerd met IEC 62443, dat zones, conduits, security levels en eisen aan componenten beschrijft.
Helpt ISO 27001 bij NIS2?
ISO 27001 helpt veel bij NIS2, omdat de risicoanalyse, het beleid, incidentbeheer en leveranciersbeheer uit een ISMS aansluiten op de zorgplicht van de Cyberbeveiligingswet. Een certificaat geeft echter geen automatische vrijstelling: de toezichthouder kijkt of de scope en maatregelen de kritieke diensten echt dekken.
📌 Samengevat
ISO/IEC 27001 is de internationale, certificeerbare norm voor een ISMS: een risicogestuurd managementsysteem dat informatie systematisch beschermt en continu verbetert. De versie van 2022 telt 93 maatregelen in vier thema’s en is sinds 31 oktober 2025 de enige geldige basis voor certificering. In OT-omgevingen vormt ISO 27001 het organisatorische fundament, dat met IEC 62443 wordt aangevuld voor de beveiliging van procesbesturing.