Normity en ISO 27001

ISO 27001 is de internationale norm voor informatiebeveiligingsmanagementsystemen (ISMS). De norm beschrijft hoe een organisatie vertrouwelijkheid, integriteit en beschikbaarheid van informatie systematisch borgt via beleid, risicomanagement, maatregelen en continue verbetering. De huidige versie is ISO 27001:2022. Het is wereldwijd de leidende norm voor informatiebeveiliging.

ISO 27001 is geschikt voor elke organisatie die gevoelige of kritieke informatie verwerkt — van IT-dienstverleners, zorginstellingen en financiële instellingen tot overheden en MKB. Het certificaat wordt steeds vaker gevraagd door opdrachtgevers, aanbestedende diensten en toezichthouders, met name in sectoren die onder NIS2 vallen.

ISO 27001 is de certificeerbare norm met eisen aan een informatiebeveiligingsmanagementsysteem. ISO 27002 is een praktijkrichtlijn met uitgewerkte beveiligingsmaatregelen (controls). Je certificeert tegen ISO 27001 en gebruikt ISO 27002 als naslagwerk voor de concrete invulling van de maatregelen uit Bijlage A.

De huidige versie is ISO 27001:2022, gepubliceerd in oktober 2022. De belangrijkste wijziging ten opzichte van ISO 27001:2013 is Bijlage A: het aantal controls ging van 114 naar 93, gegroepeerd in vier thema's (organisatorisch, mensen, fysiek, technologisch). Organisaties hadden tot oktober 2025 om over te stappen.

Een ISMS (Information Security Management System) is de systematische manier waarop een organisatie informatiebeveiliging borgt — met beleid, processen, maatregelen en continue verbetering via de PDCA-cyclus. ISO 27001 beschrijft de eisen aan een ISMS. Software zoals Normity ondersteunt een ISMS; het is niet hetzelfde als het ISMS zelf.

De verklaring van toepasselijkheid (Statement of Applicability, SoA) is een verplicht document in ISO 27001 waarin staat welke controls uit Bijlage A wel of niet van toepassing zijn, en waarom. Het is het belangrijkste document dat de auditor controleert en laat zien hoe de risicobeoordeling is vertaald naar concrete maatregelen.

Een ISO 27001-traject duurt doorgaans negen tot achttien maanden, afhankelijk van complexiteit, IT-landschap en uitgangssituatie. Organisaties met volwassen IT-beheerprocessen zijn sneller klaar. Het traject omvat risicoanalyse, opstellen van een ISMS, implementatie van controls, interne audit, managementreview en een tweefase certificeringsaudit (stage 1 en stage 2).

NIS2 is Europese wetgeving die organisaties in kritieke sectoren verplicht om informatiebeveiligingsmaatregelen te treffen en incidenten te melden. ISO 27001 is een vrijwillige norm, maar dekt vrijwel alle NIS2-maatregelen af. Voor organisaties die onder NIS2 vallen is ISO 27001-certificering de meest efficiënte route naar aantoonbare naleving.