ISO 27001 certificering
ISO 27001 certificering (ISMS)
ISO 27001 is de internationale certificeringsnorm voor een Information Security Management System (ISMS). Een geaccrediteerde ISO 27001-certificering toont aan dat uw organisatie beschikt over de juiste processen, maatregelen en controles om bedrijfs- en klantinformatie te beschermen tegen een steeds complexer dreigingslandschap.
Met een risicogedreven aanpak (risk management) helpt ISO 27001 organisaties bij het structureel beheersen van informatiebeveiliging rondom mensen, processen en systemen. ISO 27001 is op dit moment de meest bekende norm binnen de ISO 27000-familie.
Aanvullende richtlijnen die ISO 27001 ondersteunen
Naast ISO 27001 zijn er aanvullende ISO-richtlijnen die organisaties ondersteunen bij de implementatie en verdieping van informatiebeveiliging, waaronder:
ISO 27017 – Praktijkrichtlijn voor informatiebeveiligingscontroles voor clouddiensten
ISO 27018 – Praktijkrichtlijn voor de bescherming van persoonlijk identificeerbare informatie (PII) in publieke clouds (PII-verwerkers)
ISO 27032 – Richtlijnen voor cybersecurity
360° gecertificeerde
informatie- en cyberbeveiliging
Met gecertificeerde expertise helpen we u risico’s en bedreigingen te identificeren en te beperken. We ondersteunen u volgens het Plan-Do-Check-Act-principe, waarbij we continu verbeteren:
Plan – We brengen risico’s en kwetsbaarheden in kaart en ontwikkelen een beveiligingsplan op maat.
Do – We implementeren maatregelen en voeren securityoplossingen uit.
Check – We monitoren en beoordelen de effectiviteit van de genomen stappen via audits en assessments.
Act – We optimaliseren processen en versterken uw beveiligingsniveau op basis van inzichten en resultaten.
Zo helpen we u niet alleen te voldoen aan certificeringseisen, maar ook om aanvallen en incidenten te voorkomen ter bescherming van uw merk, financiën en operatie.
Gratis consult
Wilt u meer weten over onze diensten of heeft u een specifieke vraag? Wij helpen u graag verder.
Gratis consult
Wilt u meer weten over onze diensten of heeft u een specifieke vraag? Wij helpen u graag verder.
FAQ's Valecta
De meest gestelde vragen van onze klanten over ISO 27001.
De doorlooptijd van een ISO 27001-certificering verschilt per organisatie en hangt af van factoren zoals omvang (locaties, medewerkers), complexiteit van processen, interne capaciteit en bestaande kennis/volwassenheid op het gebied van informatiebeveiliging. In de praktijk duurt het traject vaak enkele maanden tot ruim een jaar.
We bespreken graag de aanpak en een realistische planning in een gesprek en begeleiden u van de eerste intake tot en met de certificaatuitgifte.
We starten met een grondige intake om uw organisatie en bedrijfsdoelstellingen goed te begrijpen. Vervolgens bepalen we samen het certificeringstraject voor ISO 27001. U ontvangt een helder, uitgebreid plan. Indien gewenst voeren we een pre-audit uit en kunnen we ook een bestaande certificering overnemen.
Een typische ISMS-verklaring van toepasselijkheid (Statement of Applicability, SoA) beschrijft vooral welke informatiebeveiligingscontroles van toepassing zijn op de levering van producten en diensten. Interne activiteiten of ISMS-processen hoeven hierin niet uitgebreid te worden opgenomen. Het doel is om de lezer vertrouwen te geven dat informatie die wordt verwerkt of gedeeld in het kader van het product of de dienst, adequaat wordt beschermd.
De SoA bevat een traceerbare verwijzing naar de geselecteerde controles (op basis van de controle-set, zoals ISO 27001 Bijlage A) en naar de onderbouwing die is gebruikt tijdens de meest recente ISO 27001-audit. De SoA beschrijft doorgaans niet alle controledetails. Sommige organisaties maken daarnaast een publieke versie die gedeeld kan worden en alleen de geselecteerde controles vermeldt, maar dit is niet verplicht.
De kosten van een ISO 27001-certificering zijn vooral afhankelijk van het aantal auditdagen, gebaseerd op het aantal FTE binnen de ISMS-scope. De auditduur is vastgelegd in de openbare accreditatienorm ISO/IEC 27006.
Een vaste prijs is niet algemeen te geven: factoren zoals omvang, locaties, complexiteit, sector en bijvoorbeeld softwareontwikkeling spelen mee. Ter indicatie: bij ±100 FTE is de initiële audit vaak 8–12 dagen, toezicht 3–4 dagen/jaar en hercertificering 6–8 dagen.
We bespreken dit graag kort om een offerte op maat te maken.
Wij ondersteunen bij interne audits en zorgen dat uw organisatie goed voorbereid is. Voor externe audits werken wij samen met zorgvuldig geselecteerde partners. Dit doen wij om objectiviteit te waarborgen, onafhankelijkheid te garanderen en u de hoogste kwaliteit van certificering te bieden.
Ja. Omdat ISO 9001 en ISO 27001 dezelfde managementsystematiek (Annex SL) volgen, kunt u één geïntegreerd managementsysteem opzetten dat aan beide normen voldoet.
Dat versterkt de governance, voorkomt dubbel werk en kan de audittijd en daarmee de kosten verlagen.
Bovendien wordt beveiliging zo direct meegenomen als onderdeel van kwaliteit bij het ontwikkelen van nieuwe producten en diensten.
Een ISMS helpt bedreigingen te weren door risico’s structureel te identificeren, beheersen en continu te verbeteren. Met een ISO 27001-risicoanalyse beoordeelt u of de informatiebeveiliging van uw organisatie op een acceptabel niveau is en waar extra maatregelen nodig zijn, passend bij de context van uw organisatie.
Bij de analyse kunt u ISO 27001 Annex A gebruiken als leidraad voor veelvoorkomende beheersmaatregelen, zoals:
- informatiebeveiligingsbeleid
- personeelsveiligheid (bv. screening)
- beheer van bedrijfsmiddelen
- toegangsbeveiliging
- communicatiebeveiliging
De norm werkt procesgericht met de PDCA-cyclus (Plan-Do-Check-Act), zodat verbeterpunten planmatig worden opgepakt en het beveiligingsniveau aantoonbaar groeit.
ISO 27001 en ISO 27002 gaan allebei over informatiebeveiliging, maar met een ander doel:
ISO 27001: de certificeerbare norm met eisen voor het opzetten, uitvoeren en continu verbeteren van een ISMS.
ISO 27002: een praktijkrichtlijn met best practices en beveiligingsmaatregelen (controls) die u helpt om ISO 27001 in te vullen—maar niet bedoeld om zelfstandig op te certificeren.
Na goedkeuring is de certificering drie jaar geldig, mits u via periodieke toezichtsaudits aantoont dat het managementsysteem effectief wordt onderhouden.