ISO 27001

Wat bepaalt of certificering echt waarde oplevert?

Wat ISO 27001 is, hoeven we je waarschijnlijk niet uit te leggen. De interessantere vraag: waarom levert het ene certificeringstraject blijvende grip op, terwijl het andere vooral een map met documenten produceert die één keer per jaar opengaat, vlak voor de audit? In dit artikel delen we wat in onze praktijk het verschil maakt, van scopekeuze tot de rol van de Verklaring van Toepasselijkheid.

Het verschil zit niet in de norm, maar in de toepassing

Elke organisatie die ISO27001 certificeert, werkt met dezelfde internationale norm. Toch lopen de uitkomsten enorm uiteen. Het onderscheid zit in de vraag of het ISMS sturend is. Een sturend ISMS begint bij risicomanagement dat beslissingen voedt: welke risico's accepteren we, welke maatregelen, wat besteden we uit? Een papieren ISMS begint bij een template-set en redeneert terug naar de risico's die de gekozen documenten rechtvaardigen. Beide halen het certificaat; maar slechts één helpt de organisatie.

De lakmoesproef is de Verklaring van Toepasselijkheid. Wie die behandelt als invullijst ('alles van toepassing'), heeft het risicoproces overgeslagen. Wie er per maatregel een herleidbare afweging in kan tonen, met de uitsluitingen scherp onderbouwd, heeft een sterke basis in het ISMS.

Certificeren om de juiste reden

De aanleiding kleurt in onze ogen vaak het traject. In de praktijk zien we drie motieven, met elk hun valkuil:

• Eis of aanbesteding: legitiem en vaak urgent, maar wie alleen voor het papiertje gaat, bouwt een minimaal systeem dat elke controle-audit opnieuw pijn doet. De marginale investering van 'certificeerbaar' naar 'bruikbaar' is kleiner dan veel organisaties denken.

• Wettelijk fundament: vanuit NIS2 (cbw) en AVG is een ISMS de logische kapstok geworden om zorgplicht en governance-eisen aantoonbaar te maken. Let wel: het certificaat is daarvoor een basis, geen automatische naleving.

• Grip en professionalisering: het sterkste motief. Organisaties die vanuit grip en professionaliering redeneren, halen certificering doorgaans zonder eindsprint, omdat het bewijs vanzelf ontstaat.

Scope: de meest onderschatte beslissing

De scopekeuze bepaalt de omvang, kosten en geloofwaardigheid van je certificaat, en toch wordt die keuze vaak impliciet gemaakt. Certificeer de dienstverlening waar klanten om vragen, niet zomaar de hele organisatie. Maar pas op voor het omgekeerde: een scope die zo smal is geknipt dat de kritische ondersteunende processen (HR, inkoop, IT-beheer) erbuiten vallen, prikt elke professionele inkoper er direct doorheen. Onze vuistregel: de scope moet het verhaal kunnen dragen dat je aan je belangrijkste klant vertelt.

Een certificeringstraject raakt daarbij per definitie meer dan IT. Het gaat over mensen, informatie, processen, assets en uiteindelijk de waarde die je organisatie levert; juist die samenhang bepaalt of maatregelen effectief zijn. Reken voor een eerste certificering op zes tot twaalf maanden, met de fase 1- en fase 2-audit als sluitstuk, daarna de jaarlijkse controle-audits en driejaarlijkse hercertificering.

Waar volwassen trajecten zich onderscheiden

• Het risicoproces voedt de directieagenda: risicoacceptaties worden expliciet en op het juiste niveau genomen, niet impliciet op de werkvloer. De directiebeoordeling is een beslismoment, geen samenvattingsritueel.

• Bewijs ontstaat in de lijn: aantoonbaarheid komt uit de systemen waar het werk gebeurt (ticketing, IAM, wijzigingsbeheer, operationele processen), niet uit een parallelle compliance-administratie die elke audit opnieuw gevuld moet worden.

• Interne audits doen pijn op de juiste plek: risicogericht, met de werkvloer als bron, in plaats van een documentcontrole die elk jaar dezelfde drie bevindingen oplevert.

• Het ISMS werkt absorberend: NIS2-zorgplicht, eisen uit de AVG of klantspecifieke frameworks landen gemakkelijk op het bestaande systeem, niet als nieuw bouwwerk ernaast.

De businesscase, eerlijk bekeken

De investering bestaat uit interne uren (veruit de grootste post), eventuele externe begeleiding en de certificerende instelling. Daartegenover staat opbrengst die verder gaat dan markttoegang: kortere security-vragenlijsten in verkooptrajecten, een herbruikbaar fundament voor NIS2, DORA en klantframeworks, en, het meest onderschat, bestuurbare rust: je weet wat je belangrijkste risico's zijn, wie ze draagt en wat ze mogen kosten. De verborgen kostenpost zit in jaar twee en verder: een ISMS dat niet in de lijn is verankerd, vraagt elke controle-audit opnieuw een eindsprint. Ontwerp dus voor de exploitatie, niet voor de eerste audit.

Aan de slag

Wil je scherp krijgen of je ISMS sturend werkt, of sta je aan het begin van een certificeringstraject? We voeren nulmetingen uit en begeleiden organisaties van strategie tot en met de externe audit, met een ISMS dat ontworpen is om te blijven werken. Neem vrijblijvend contact met ons op.