Je kunt beginnen met ISO 27001 zonder interne compliance-kennis door het traject te structureren rondom een externe partner die de technische en organisatorische maatregelen voor je vertaalt naar concrete stappen. De norm vraagt geen juridisch specialist, maar wel een gestructureerde aanpak: een nulmeting, een risicoanalyse en een implementatieplan dat past bij de schaal van jouw organisatie. De vragen hieronder geven je per onderwerp een helder antwoord.
Welke bedrijven zijn verplicht om ISO 27001 te implementeren?
Geen enkel bedrijf is wettelijk verplicht om ISO 27001 te implementeren. De norm is vrijwillig. Maar in de praktijk worden steeds meer organisaties indirect gedwongen: opdrachtgevers, aanbestedende diensten en ketenpartners stellen ISO 27001-certificering als voorwaarde voor samenwerking. Zeker in sectoren als zorg, overheid en zakelijke dienstverlening is dit steeds vaker het geval.
Bedrijven die onder de NIS2-richtlijn vallen, zijn wettelijk verplicht om aantoonbare informatiebeveiligingsmaatregelen te treffen. ISO 27001 is daarvoor geen wettelijke eis, maar het raamwerk sluit naadloos aan op wat NIS2 en de Nederlandse Cyberbeveiligingswet vereisen. Wie ISO 27001 implementeert, voldoet daarmee grotendeels aan de technische en organisatorische eisen van die wetgeving.
Praktisch gezien zijn dit de situaties waarin ISO 27001 onvermijdelijk wordt:
- Je werkt als toeleverancier voor een grote organisatie of overheidsinstelling
- Je bedrijf valt onder de NIS2-richtlijn (zorg, transport, energie, maakindustrie, digitale dienstverlening)
- Je verwerkt gevoelige klantdata en wil die aantoonbaar beveiligen
- Je verliest aanbestedingen omdat je geen gecertificeerde beveiliging kunt aantonen
| Afspraak maken |
Wat kost ISO 27001-certificering voor een middelgroot bedrijf?
Voor een middelgroot bedrijf met 50 tot 250 medewerkers liggen de totale kosten van ISO 27001-certificering doorgaans tussen de 15.000 en 60.000 euro, afhankelijk van de uitgangssituatie, de complexiteit van de IT-omgeving en of je een externe partner inschakelt. Dit bedrag omvat voorbereiding, implementatie en de externe audit door een certificerende instantie.
De kosten bestaan uit een aantal onderdelen:
- Nulmeting en gap-analyse: inzicht in waar je nu staat ten opzichte van de norm
- Implementatiekosten: technische maatregelen, beleidsdocumenten, training van medewerkers en interne audits
- Externe audit: de certificerende instantie voert een stage 1- en stage 2-audit uit; dit varieert per auditor en bedrijfsgrootte
- Jaarlijkse surveillance-audits: het certificaat is drie jaar geldig, maar vereist jaarlijkse herbeoordelingen
Bedrijven die al een volwassen IT-omgeving hebben met gedocumenteerde processen, betalen minder dan organisaties die vrijwel van nul beginnen. Het inschakelen van een ervaren IT-partner die het implementatietraject begeleidt, bespaart intern uren en verkleint de kans op herstelwerk na de audit.
Hoe lang duurt een ISO 27001-traject van nul tot certificaat?
Een realistisch ISO 27001-traject van nul tot certificaat duurt voor een middelgroot bedrijf gemiddeld 9 tot 18 maanden. Organisaties met een goede IT-basis en betrokken management halen de onderkant van die bandbreedte. Wie nog geen enkel beleid heeft vastgelegd, is eerder 12 tot 18 maanden bezig.
Het traject kent globaal vier fasen:
- Nulmeting en scopebepaling (1 tot 2 maanden): vaststellen welke systemen, processen en data onder de norm vallen
- Risicoanalyse en beleidsontwikkeling (2 tot 4 maanden): identificeren van risico’s en het opstellen van informatiebeveiligingsbeleid en procedures
- Implementatie van maatregelen (3 tot 6 maanden): technische en organisatorische maatregelen doorvoeren, medewerkers trainen
- Interne audit en externe certificeringsaudit (2 tot 4 maanden): interne controle, eventuele correcties en de formele audit door een certificerende instantie
De doorlooptijd wordt het sterkst bepaald door de beschikbaarheid van intern personeel en de snelheid waarmee beslissingen worden genomen. Een externe partner die het traject aanjaagt en de documentatie verzorgt, verkort de doorlooptijd aanzienlijk.
Wat is het verschil tussen ISO 27001 en NIS2?
ISO 27001 is een internationale norm voor informatiebeveiliging die organisaties vrijwillig kunnen implementeren en waarvoor ze gecertificeerd kunnen worden. NIS2 is Europese wetgeving die verplichte cybersecurity-eisen stelt aan bedrijven in kritieke sectoren. Het zijn geen alternatieven voor elkaar: NIS2 is een wettelijke verplichting, ISO 27001 is een bewezen raamwerk om aan die verplichting te voldoen.
De belangrijkste verschillen op een rij:
- Juridische status: NIS2 is wet, ISO 27001 is een norm. Niet-naleving van NIS2 leidt tot boetes en bestuurdersaansprakelijkheid; ISO 27001 kent geen wettelijke sancties
- Reikwijdte: NIS2 geldt voor specifieke sectoren en bedrijfsgroottes; ISO 27001 is toepasbaar voor elke organisatie, ongeacht sector of omvang
- Certificering: ISO 27001 levert een officieel certificaat op; NIS2 kent geen certificeringssysteem, maar vereist aantoonbare naleving
- Inhoud: NIS2 schrijft voor wat er geregeld moet zijn (incidentmelding, risicobeheer, ketenverantwoordelijkheid); ISO 27001 beschrijft hoe je dat gestructureerd aanpakt
In de praktijk geldt: wie ISO 27001 implementeert, voldoet voor een groot deel aan de eisen van NIS2. De norm is daarmee een logische basis voor bedrijven die zowel aantoonbaar veilig willen zijn als voorbereid op de Cyberbeveiligingswet, die naar verwachting medio 2026 in Nederland van kracht wordt.
Wie is intern verantwoordelijk als er geen compliance-officer is?
Als er geen compliance-officer of CISO aanwezig is, ligt de eindverantwoordelijkheid voor informatiebeveiliging bij de directie of het management. ISO 27001 vereist expliciet dat het topmanagement eigenaarschap toont: het stelt het beleid vast, wijst verantwoordelijkheden toe en zorgt voor voldoende middelen. Die verantwoordelijkheid kun je niet delegeren aan de IT-afdeling.
In de praktijk werkt dit in kleine en middelgrote organisaties als volgt:
- Een directeur of MT-lid wordt aangewezen als eindverantwoordelijke voor informatiebeveiliging
- De IT-manager of systeembeheerder voert de technische maatregelen uit en bewaakt de naleving operationeel
- Een externe partner neemt de rol van adviseur en procesbegeleider op zich, inclusief voorbereiding van interne audits en documentatie
ISO 27001 vraagt geen fulltime compliance-specialist. Wat het wel vraagt, is structuur: gedocumenteerde processen, regelmatige risicobeoordelingen en aantoonbare betrokkenheid van het management. Dat is goed te organiseren met de juiste externe ondersteuning, ook als je geen eigen juridische of compliance-afdeling hebt. TCA werkt als vaste IT-partner voor organisaties die precies in deze situatie zitten.
| Afspraak maken |
Hoe werkt een externe IT-partner bij ISO 27001-implementatie?
Een externe IT-partner neemt bij ISO 27001-implementatie de rol op zich van gids, uitvoerder en aanspreekpunt. De partner vertaalt de abstracte normeisen naar concrete maatregelen die passen bij jouw organisatie, begeleidt het traject van nulmeting tot certificeringsaudit en blijft daarna betrokken voor doorlopende naleving. Zo hoef je intern geen compliance-expertise op te bouwen die je normaal gesproken niet nodig hebt.
Concreet doet een goede IT-partner het volgende:
- Nulmeting: inzicht geven in de huidige situatie en het verschil met de norm (de zogenaamde gap-analyse)
- Technische implementatie: security-baseline, endpoint protection, netwerksegmentatie, back-upbeleid en monitoring inrichten
- Organisatorische maatregelen: informatiebeveiligingsbeleid opstellen, incidentresponsprocedures documenteren, medewerkers trainen
- Interne audit ISO 27001: de pre-audit uitvoeren zodat je weet wat de externe auditor gaat aantreffen
- Doorlopende begeleiding: surveillance-audits voorbereiden, beleid actueel houden en bijsturen bij wijzigingen in de organisatie of wetgeving
Het verschil met een adviesbureau is continuïteit. Een adviesbureau schrijft een rapport en vertrekt. Een managed IT-partner blijft betrokken, monitort actief en past maatregelen aan als de situatie verandert. TCA werkt op die manier: als partner voor IT-security die niet alleen de techniek regelt, maar ook de organisatorische kant van informatiebeveiliging meeneemt.
TCA is zelf gecertificeerd volgens ISO 27001 (sinds 2017) en ISO 9001. Die certificeringen zijn geen marketingkeuze, maar het bewijs dat TCA de norm niet alleen kent, maar ook zelf toepast. Je kunt de certificaten van TCA online inzien.
Wil je weten waar jouw organisatie nu staat op het gebied van informatiebeveiliging? Maak een afspraak voor een vrijblijvende nulmeting. Binnen 48 uur weet je wat het verschil is tussen je huidige situatie en wat ISO 27001 of de Cyberbeveiligingswet van je vraagt, zonder dat je er intern een specialist voor nodig hebt.