Plan een oriënterend gesprek

ISO 27001: certificeren of aantoonbaar conform werken?

Laatst bijgewerkt: september 2026 · Leestijd: 8 min

ISO 27001 stelt eisen aan een managementsysteem voor informatiebeveiliging (ISMS). U kunt de norm toepassen met of zonder certificering. Wie aantoonbare conformiteit claimt, moet binnen de vastgestelde scope aan alle managementsysteemeisen voldoen. Certificering voegt onafhankelijke toetsing toe. Welke route past, hangt af van wettelijke en contractuele eisen, de gewenste zekerheid en de vraag welk bewijs uw klanten en andere belanghebbenden accepteren.

Wat is een ISMS?

Een ISMS, voluit information security management system, is de samenhang waarmee een organisatie informatiebeveiliging bestuurt: context en scope bepalen, risico's beoordelen, maatregelen uitvoeren, resultaten beoordelen en verbeteren. Daar horen eigenaarschap, middelen en besluiten over risico's bij.

ISO 27001 stelt eisen aan dat managementsysteem. De hoofdstukken 4 tot en met 10 behandelen context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Wie conformiteit met de norm claimt, kan daarbinnen geen eisen uitsluiten. Dat geldt ook zonder certificaat.1 Alleen enkele ISO-maatregelen toepassen rechtvaardigt dus nog geen claim dat de organisatie conform ISO 27001 werkt.

Begin met een heldere scope: welke activiteiten, locaties, informatie en afhankelijkheden vallen binnen het ISMS? Een certificaat voor een afgebakende dienst zegt niet automatisch iets over andere onderdelen van de organisatie. Maak die begrenzing ook richting klanten duidelijk.

Kern: beide routes vragen een werkend ISMS en bewijs van conformiteit. De certificeringskeuze bepaalt welke onafhankelijke toetsing u daaraan toevoegt en welk bewijs u aan anderen kunt aanbieden.

Welke normversie geldt?

De actuele internationale editie is ISO/IEC 27001:2022, met amendement 1:2024. In Nederland is deze editie overgenomen als NEN-EN-ISO/IEC 27001:2023. Het andere jaartal betreft de Europese en Nederlandse overname. De overgangstermijn voor geaccrediteerde certificaten op basis van de 2013-editie eindigde op 31 oktober 2025.1

Het amendement uit 2024 verduidelijkt dat klimaatverandering moet worden meegenomen bij de contextanalyse. Beoordeel of dit relevant is voor uw ISMS en neem relevante eisen van belanghebbenden mee. Denk bijvoorbeeld aan de beschikbaarheid van locaties of dienstverlening bij extreem weer. Leg de afweging vast en verbind relevante uitkomsten aan uw risicobehandeling.2

De 93 controls in vier thema's

Annex A van ISO 27001:2022 bevat een referentieset van 93 beheersmaatregelen. ISO 27002:2022 geeft daarvoor implementatierichtlijnen. De maatregelen zijn verdeeld over vier thema's:3

  1. Organisatorisch (37). Onder meer beleid, rollen, leveranciersrelaties, incidentmanagement en continuïteit.
  2. Mensen (8). Onder meer screening, arbeidsvoorwaarden, awareness en verantwoordelijkheden bij wijziging of beëindiging van het dienstverband.
  3. Fysiek (14). Onder meer toegang tot locaties, beveiligingszones, apparatuur, bekabeling en clear desk.
  4. Technologisch (34). Onder meer toegangsbeheer, cryptografie, logging, netwerkbeveiliging, veilige ontwikkeling en back-ups.

Uw risicobehandeling bepaalt welke maatregelen nodig zijn. Vergelijk die selectie met Annex A om te controleren of u noodzakelijke maatregelen mist. U kunt ook maatregelen uit andere bronnen toevoegen. Wettelijke en contractuele verplichtingen horen bij deze afweging.

De Verklaring van Toepasselijkheid, ook Statement of Applicability (SoA), vermeldt de noodzakelijke maatregelen, de redenen voor opname en de implementatiestatus. U onderbouwt daarin ook waarom maatregelen uit Annex A worden uitgesloten. Een risicoacceptatie maakt een wettelijke verplichting niet ongedaan. Alle 93 maatregelen beoordelen is dus iets anders dan ze allemaal op dezelfde manier invoeren.

De strategische keuze: certificeren of aantoonbaar conform werken

Stel eerst vast wie zekerheid nodig heeft en welk bewijs daarvoor wordt verlangd. Beide routes gebruiken dezelfde normvereisten.

Certificeren betekent dat een onafhankelijke certificerende instelling uw ISMS binnen de afgesproken scope beoordeelt. Na de eerste certificeringsaudit volgen periodieke toezichtaudits en hercertificering. Controleer of de instelling voor deze norm is geaccrediteerd en of het certificaat de relevante activiteiten omvat.4 Certificering kan helpen bij klantbeoordelingen en aanbestedingen. Het blijft een beoordeling binnen een bepaalde scope, op basis van audits en steekproeven. Het certificaat garandeert geen incidentvrije organisatie.

Aantoonbaar conform werken zonder certificaat kan passen wanneer de toepasselijke eisen en uw belanghebbenden dat toelaten. Interne audits, managementbeoordeling, corrigerende maatregelen en continue verbetering blijven vereist. Zorg voor objectieve en onpartijdige audits en organiseer waar nodig externe deskundigheid. Laat zien waarop uw conformiteitsclaim berust.

Bij de tweede route vervallen de kosten van certificering, maar de inrichting, het onderhoud en de toetsing van het ISMS blijven werk vragen. Klanten kunnen bovendien eigen onderzoeken of aanvullende rapportages verlangen. Een interne toets biedt niet dezelfde onafhankelijke zekerheid als geaccrediteerde certificering.

Neem het besluit op basis van drie vragen: welke eisen gelden, welke zekerheid wordt gevraagd en welke route past bij uw organisatie? Controleer bij aanbestedingen de precieze eis en eventuele mogelijkheden voor gelijkwaardig bewijs. Kijk ook naar de scope en naar de terugkerende kosten van beide routes.

De verhouding tot NIS2 en de Cyberbeveiligingswet

De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026. Een ISMS kan de uitvoering van de zorgplicht ondersteunen en wettelijke verplichtingen in de dagelijkse sturing opnemen. Een ISO 27001-certificaat geeft geen automatische vrijstelling van de Cbw. Vergelijk uw scope en bewijs met de toepasselijke zorgplicht, meldplicht, registratie en bestuurlijke verplichtingen.5

De Cbw kent geen algemene verplichting tot ISO 27001-certificering. Sectorregels kunnen toepassing van de norm wel voorschrijven. Dat geldt voor de overheidsorganisaties binnen de BZK-regeling en het betreffende hoofdstuk van de IenW-regeling: daar is NEN-EN-ISO/IEC 27001:2023 aangewezen voor de managementsystematiek en de scope. Ook ISO 27002 en relevante BIO2-maatregelen krijgen daarin een wettelijke rol. Een verplichting om de norm toe te passen is op zichzelf geen verplichting om een certificaat te behalen.6

Het Europese wijzigingsvoorstel COM(2026) 13 is op 29 september 2026 nog in behandeling. Het beoogt een rol voor toekomstige Europese certificeringsregelingen voor de cyberweerbaarheid van organisaties, met gevolgen voor bepaalde toezichtaudits voor zover het certificaat de betreffende eisen afdekt. Dat is geen bestaande vrijstelling op basis van een ISO 27001-certificaat. Het voorstel laat de verantwoordelijkheid van de organisatie voor naleving bestaan.7

Voor de concrete vergelijking, zie NIS2 en ISO 27001. De bredere aanpak staat in NIS2 implementatie en NIS2 audit en aantoonbaarheid.

Vijf fouten die ISO 27001-implementaties ondermijnen

  1. Beginnen bij Annex A zonder context en scope. Dan blijft onduidelijk welke activiteiten, risico's en verplichtingen de maatregelen moeten afdekken. Werk de managementsysteemeisen en de maatregelselectie in samenhang uit.
  2. De SoA als invuloefening. Een lijst met vinkjes laat de redenering achter selectie en uitsluiting onbesproken. Verbind keuzes aan risicobehandeling en toepasselijke eisen en houd de implementatiestatus actueel.
  3. Het ISMS alleen voor de audit onderhouden. Nieuwe diensten, leveranciers en incidenten veranderen het risicobeeld tussentijds. Plan periodieke beoordelingen en leg vast welke gebeurtenissen aanleiding geven tot een nieuwe beoordeling.
  4. Risicoacceptaties zonder bevoegd eigenaar. Maak duidelijk wie restrisico's accepteert, op basis waarvan en wanneer herbeoordeling nodig is. De risico-eigenaren moeten het risicobehandelplan en de acceptatie van restrisico's goedkeuren.
  5. Documentatie verwarren met werking. Beleid en procedures beschrijven de bedoeling. Registraties, testresultaten, audits en opvolging van bevindingen moeten laten zien hoe de organisatie handelt en verbetert.

Hoe ik ISO 27001 benader

Ik richt het ISMS in rond de besluiten en werkzaamheden waarmee uw organisatie informatiebeveiliging beheerst. Daarbij werk ik aan vier onderdelen:

  1. Context, scope en eisen. We bepalen welke processen, informatie en afhankelijkheden het ISMS omvat. Wettelijke verplichtingen, klantafspraken en de normvereisten nemen we vanaf het begin mee.
  2. Risicobehandeling en maatregelen. We verbinden risico's aan passende maatregelen, eigenaren en onderbouwde keuzes in de SoA. Verplichte eisen blijven daarbij herkenbaar.
  3. Werking en bewijs. We richten toetsing, interne audits en managementbeoordeling zo in dat bevindingen tot besluiten en verbeteringen leiden. Het bewijs ontstaat tijdens de uitvoering.
  4. De certificeringskeuze. We beoordelen de gewenste scope, de bewijsvraag en de kosten van beide routes. Certificering plannen we op basis van de gereedheid van het ISMS en eventuele externe deadlines.

Deze aanpak is de kern van de dienst GRC en ISO 27001 →

Veelgestelde vragen over ISO 27001

Is ISO 27001-certificering verplicht?

Er bestaat geen algemene verplichting voor alle organisaties om een ISO 27001-certificaat te hebben. Controleer wel uw sectorregels, aanbestedingen en contracten. Die kunnen specifieke eisen stellen aan normtoepassing of certificering. De Cbw vereist niet algemeen een ISO-certificaat; de genoemde overheidsregelingen schrijven wel toepassing van ISO 27001 voor.6

Hoe lang duurt een implementatie?

Dat hangt af van de scope, de bestaande inrichting, beschikbare capaciteit en noodzakelijke verbeteringen. De norm kent geen vaste implementatieduur. Plan tijd voor daadwerkelijke uitvoering, interne audits, managementbeoordeling en opvolging van bevindingen. Stem bij certificering de auditplanning tijdig af met de certificerende instelling.

Wat is het verschil tussen ISO 27001 en ISO 27002?

ISO 27001 bevat de eisen aan het ISMS en is de norm waartegen een organisatie zich kan laten certificeren. Annex A bevat de referentieset van beheersmaatregelen. ISO 27002 geeft richtlijnen voor de toepassing van die maatregelen. ISO 27002 is zelf geen certificeringsnorm voor het ISMS.

Is ISO 27001 te zwaar voor een middelgrote organisatie?

De norm is bedoeld voor organisaties van verschillende omvang. Stem de inrichting af op uw activiteiten, risico's en eisen. Een beperkte scope en eenvoudige processen kunnen minder uitwerking vragen dan een complexe keten. Proportionaliteit verandert niet de verplichting om aan de managementsysteemeisen te voldoen als u conformiteit claimt.

Kunnen we zonder certificaat zeggen dat we ISO 27001-conform werken?

Ja, als u dat binnen een duidelijk benoemde scope kunt onderbouwen en daadwerkelijk aan de norm voldoet. Vermeld dat u niet gecertificeerd bent. Wie nog niet aan alle eisen voldoet, kan preciezer aangeven welke onderdelen zijn ingevoerd en welke verbeteringen openstaan. Een implementatieplan is nog geen bewijs van conformiteit.

Is een ISO 27001:2013-certificaat nog geldig?

De overgangstermijn voor geaccrediteerde certificaten eindigde op 31 oktober 2025. Een certificaat tegen de 2013-editie geldt sindsdien niet meer als geldig geaccrediteerd certificaat binnen die overgangsregeling. Controleer de actuele normversie, scope en status bij uw certificerende instelling.1

Wij zijn al ISO 27001-gecertificeerd. Zijn we dan NIS2-klaar?

Het certificaat is bruikbaar bewijs binnen de gecertificeerde scope. Beoordeel daarnaast of uw ISMS de toepasselijke Cbw-eisen en wettelijke reikwijdte afdekt. ISO bevat zelf al eisen over managementbetrokkenheid, leveranciers en evaluatie; voor de Cbw moet ook de concrete wettelijke invulling kloppen. Zie de zes toetsingspunten in NIS2 en ISO 27001.

De norm als instrument

Een bruikbaar ISMS maakt zichtbaar welke risico's aandacht vragen, wie daarover beslist en of maatregelen werken. De keuze voor certificering volgt uit de zekerheid die uw organisatie en haar belanghebbenden nodig hebben. Beide routes vragen dat u het systeem onderhoudt en besluiten opvolgt.

Wilt u bepalen welke route bij uw organisatie past, of uw bestaande ISMS laten toetsen? Ik help bij de afweging en bij de inrichting van een werkend managementsysteem. Plan een oriënterend gesprek.

Liever eerst zien wat een traject omvat? Bekijk de dienst GRC en ISO 27001 →

Bronnen

  1. ISO, ISO/IEC 27001:2022. NEN, NEN-EN-ISO/IEC 27001:2023, waaronder de toelichting dat bij een conformiteitsclaim geen eisen uit hoofdstukken 4 tot en met 10 mogen worden uitgesloten. UKAS, Transition arrangements for ISO/IEC 27001:2022, met de transitiedeadline van 31 oktober 2025. ↩
  2. ISO, ISO/IEC 27001:2022/Amd 1:2024, Climate action changes. UKAS, Inclusion of Climate Change considerations within Management System Standards, 27 februari 2024, over contextanalyse en beoordeling van de relevantie van klimaatverandering. ↩
  3. ISO, ISO/IEC 27002:2022, beheersmaatregelen met implementatierichtlijnen. DNV, ISO/IEC 27001:2022 changes and benefits, over de herziening naar 93 maatregelen en vier thema's. ↩
  4. DNV, ISO/IEC 27001 Certification: Information Security Management System, over onafhankelijke certificering, de eerste audit, jaarlijkse audits en factoren die de doorlooptijd en kosten bepalen. ↩
  5. NCTV, Wetten en regelgeving, met de inwerkingtreding van de Cbw op 15 augustus 2026. Cyberbeveiligingswet, Staatsblad 2026, 187, voor de zorgplicht, bestuurlijke verplichtingen, meldplicht en registratie. ↩
  6. Cyberbeveiligingsregeling BZK, artikelen 3 tot en met 5, en Cyberbeveiligingsregeling IenW, paragraaf 4.1 en artikelen 6 tot en met 8. Deze bepalingen regelen voor de betrokken overheidsorganisaties de toepassing van ISO 27001, ISO 27002 en BIO2. ↩
  7. Europese Commissie, voorstel COM(2026) 13, waaronder de voorgestelde toevoegingen aan artikel 24 van NIS2 over Europese certificering van de cyberweerbaarheid van organisaties. De wetgevingsprocedure 2026/0012/COD is nog lopend, gecontroleerd op 29 september 2026. ↩