ISO 27001 is een internationale norm voor informatiebeveiliging die beschrijft hoe een organisatie haar informatie systematisch beveiligt via beleid, processen en technische maatregelen. Voor mkb-bedrijven is ISO 27001 geen wettelijke verplichting, maar steeds vaker een praktische noodzaak: opdrachtgevers, aanbesteders en partners vragen er actief naar als bewijs dat je informatie veilig beheert. In dit artikel beantwoorden we de meest gestelde vragen over ISO 27001 voor het mkb.
Valt een mkb-bedrijf onder de verplichte ISO 27001-eisen?
Nee, ISO 27001-certificering is niet wettelijk verplicht voor mkb-bedrijven. De norm is vrijwillig en geldt voor elke organisatie die haar informatiebeveiliging aantoonbaar wil inrichten, ongeacht de omvang. Toch groeit de druk vanuit de markt: grote opdrachtgevers, overheidsinstanties en partijen in de zorg- en logistieke keten stellen ISO 27001 steeds vaker als eis bij aanbestedingen of contractverlenging.
De praktijk laat zien dat mkb-bedrijven die werken met persoonsgegevens, medische informatie, financiële data of vertrouwelijke bedrijfsinformatie van klanten steeds vaker worden gevraagd om hun beveiliging aan te tonen. Een ISO 27001-certificaat is daarin het meest erkende bewijs. Zonder certificaat kun je in sommige sectoren simpelweg niet meer meedingen naar opdrachten.
Daarnaast speelt de komst van de Cyberbeveiligingswet een rol. Bedrijven die onder de NIS2-richtlijn vallen, krijgen wettelijke verplichtingen op het gebied van risicobeheersing en aantoonbare beveiligingsmaatregelen. ISO 27001 sluit daar nauw op aan en wordt door veel organisaties gebruikt als raamwerk om aan die verplichtingen te voldoen.
Wat zijn de concrete eisen van ISO 27001?
| Afspraak maken |
ISO 27001 vereist dat een organisatie een Information Security Management System (ISMS) opzet en onderhoudt. Dat betekent: een formeel informatiebeveiligingsbeleid, een risicoanalyse, aantoonbare beveiligingsmaatregelen en een cyclus van periodieke evaluatie en verbetering. De norm schrijft niet voor welke technologie je gebruikt, maar wel dat je keuzes onderbouwt en documenteert.
De concrete eisen zijn opgebouwd rond een aantal pijlers:
- Risicoanalyse: je brengt in kaart welke informatie je beheert, welke risico’s daaraan kleven en hoe je die risico’s beheerst of accepteert.
- Informatiebeveiligingsbeleid: een gedocumenteerd beleid dat door het management is vastgesteld en actief wordt uitgedragen.
- Technische maatregelen: denk aan toegangsbeheer, versleuteling, back-upbeleid, netwerksegmentatie en patchbeheer.
- Organisatorische maatregelen: incidentresponsprocedures, bewustzijnstraining voor medewerkers en leveranciersbeheer.
- Interne audits en directiebeoordeling: periodieke controle of het systeem nog werkt en verbeterd moet worden.
- Continue verbetering: ISO 27001 is geen eenmalig project, maar een doorlopend proces.
Voor een mkb-bedrijf zonder dedicated compliance-afdeling voelt dit omvangrijk. Toch is de norm schaalbaar: de diepgang van de maatregelen mag afgestemd worden op de omvang en het risicoprofiel van je organisatie. Een bedrijf met vijftig medewerkers hoeft niet dezelfde documentatiediepte te hanteren als een multinational.
Wat kost ISO 27001-certificering voor een mkb-bedrijf?
De kosten van ISO 27001-certificering voor een mkb-bedrijf liggen doorgaans tussen de vijf- en twintigduizend euro voor de initiële implementatie en certificering, afhankelijk van de omvang van de organisatie, de volwassenheid van de bestaande beveiliging en of je externe ondersteuning inschakelt. Daarna komen jaarlijkse onderhoudskosten voor surveillance-audits bij.
De totale investering bestaat uit drie componenten:
- Implementatiekosten: het opzetten van het ISMS, het uitvoeren van de risicoanalyse, het schrijven van beleidsdocumenten en het doorvoeren van technische maatregelen. Dit is vaak het grootste kostenblok, zeker als je een externe partner inschakelt.
- Certificeringsaudit: een onafhankelijke certificerende instelling voert de audit uit en verleent het certificaat. De kosten hiervan variëren per instelling en per omvang van de organisatie.
- Jaarlijks onderhoud: ISO 27001-certificaten hebben een looptijd van drie jaar, met jaarlijkse tussentijdse audits. Tel daarbij de interne uren op die nodig zijn om het systeem actueel te houden.
Bedrijven die al een solide IT-basis hebben, zoals een goede security baseline, betalen doorgaans minder voor de implementatie. De meeste kosten zitten in het opvullen van de gaten die een nulmeting blootlegt.
Hoe lang duurt het om ISO 27001 te implementeren?
Voor een mkb-bedrijf duurt een ISO 27001-implementatie gemiddeld zes tot twaalf maanden. De doorlooptijd hangt af van de startpositie van de organisatie, de beschikbare interne capaciteit en de snelheid waarmee beslissingen worden genomen. Organisaties met een volwassen IT-omgeving en bestaand beveiligingsbeleid kunnen dit traject versnellen.
Een typisch implementatietraject ziet er als volgt uit:
- Nulmeting (twee tot vier weken): in kaart brengen waar de organisatie nu staat ten opzichte van de ISO 27001-eisen.
- Beleid en documentatie (vier tot acht weken): opstellen van informatiebeveiligingsbeleid, procedures en risicoanalyse.
- Technische implementatie (twee tot vier maanden): doorvoeren van de benodigde technische maatregelen op basis van de risicoanalyse.
- Interne audit en correcties (vier tot zes weken): toetsen of alles klopt en eventuele tekortkomingen herstellen.
- Externe certificeringsaudit (twee tot vier weken): de onafhankelijke auditor beoordeelt het systeem en verleent het certificaat.
De grootste vertraging zit zelden in de techniek, maar in de organisatorische kant: het afstemmen van beleid, het betrekken van management en het documenteren van processen. Wie daarin snel beslissingen neemt, haalt de kortste doorlooptijd.
Wat is het verschil tussen ISO 27001 en NIS2?
ISO 27001 is een vrijwillige internationale certificeringsnorm voor informatiebeveiliging, terwijl NIS2 een Europese richtlijn is die in Nederland wordt omgezet in de Cyberbeveiligingswet en voor bepaalde sectoren wettelijk verplicht is. Het zijn geen concurrerende eisen: ISO 27001 kan dienen als raamwerk om aan de NIS2-verplichtingen te voldoen.
De belangrijkste verschillen op een rij:
- Vrijwillig versus verplicht: ISO 27001 kies je zelf; NIS2 geldt voor bedrijven in aangewezen sectoren zodra de Cyberbeveiligingswet van kracht is, naar verwachting rond medio 2026.
- Scope: ISO 27001 richt zich op het beheer van informatiebeveiliging als geheel. NIS2 richt zich specifiek op netwerk- en informatiesystemen en de continuïteit van essentiële diensten.
- Handhaving: ISO 27001 wordt gehandhaafd via de markt (klanten en aanbesteders eisen het). NIS2 wordt gehandhaafd door toezichthouders met bevoegdheid tot boetes tot tien miljoen euro of twee procent van de wereldwijde omzet.
- Bestuurdersaansprakelijkheid: NIS2 legt expliciet verantwoordelijkheid bij het management. ISO 27001 vereist betrokkenheid van de directie, maar kent geen persoonlijke aansprakelijkheid.
Praktisch gezien geldt: wie ISO 27001 implementeert, legt een stevige basis voor NIS2-compliance. De risicoanalyse, het incidentresponsproces en de documentatievereisten overlappen aanzienlijk. TCA baseert haar aanpak voor NIS2-begeleiding dan ook expliciet op het ISO 27001-raamwerk, zodat klanten met één investering beide doelen bereiken.
Wanneer is ISO 27001 de juiste keuze voor een mkb-bedrijf?
| Afspraak maken |
ISO 27001 is de juiste keuze voor een mkb-bedrijf wanneer je informatiebeveiliging aantoonbaar wilt maken richting klanten, opdrachtgevers of toezichthouders, of wanneer je te maken hebt met gevoelige data waarvoor een gestructureerde aanpak noodzakelijk is. Het is geen zinvolle investering als er geen externe druk of intern risico is dat certificering rechtvaardigt.
Concrete situaties waarin ISO 27001 de logische stap is:
- Je werkt voor overheidsinstanties of grote bedrijven die ISO 27001 eisen bij aanbestedingen.
- Je verwerkt persoonsgegevens, medische informatie of vertrouwelijke bedrijfsdata van klanten op grote schaal.
- Je valt of denkt te vallen onder de NIS2-richtlijn en wilt een erkend raamwerk gebruiken voor compliance.
- Je wilt je onderscheiden van concurrenten die geen aantoonbaar beveiligingsniveau kunnen laten zien.
- Je hebt een datalek of beveiligingsincident gehad en wilt structureel verbeteren.
Is certificering nu nog een stap te ver, maar wil je wel weten waar je staat? Een nulmeting is dan de logische eerste stap. TCA biedt een gratis online assessment waarmee je binnen 48 uur inzicht krijgt in de huidige staat van je informatiebeveiliging en de afstand tot ISO 27001- of NIS2-compliance. Zo weet je precies wat er nodig is voordat je een investering doet.
TCA is zelf gecertificeerd volgens ISO 27001 (sinds 2017) en ISO 9001, wat betekent dat je als klant werkt met een partner die de norm niet alleen begrijpt, maar er zelf ook aan voldoet. Bekijk onze certificeringen en keurmerken voor meer informatie. Wil je weten hoe TCA jouw organisatie kan begeleiden richting aantoonbare informatiebeveiliging? Plan een afspraak en bespreek je situatie met een van onze specialisten.