Begin bij de vraag van uw opdrachtgever
Een certificeringsvraag begint vaak in een aanbesteding of leveranciersbeoordeling. Voordat u documenten gaat schrijven, moet duidelijk zijn welk bewijs de opdrachtgever verwacht. Voor welke dienst, juridische entiteit en activiteiten moet het certificaat gelden? Is er een datum afgesproken? En welk deel van uw organisatie heeft invloed op die dienst?
Tijdens de intake bespreken we deze vragen en bekijken we wat al aanwezig is. Een organisatie met een vast wijzigingsproces, goede toegangscontrole en geteste back-ups begint ergens anders dan een organisatie die dit nog moet organiseren. Dat verschil bepaalt de werkzaamheden, de benodigde inzet en de planning.
Een scope die aansluit op uw dagelijkse praktijk
De scope bepaalt wat het managementsysteem omvat. We beschrijven de relevante diensten, locaties, mensen, systemen en afhankelijkheden. Uitbestede hosting of IT-beheer verdwijnt niet uit beeld: uw afspraken en toezicht op die leveranciers blijven onderdeel van de beoordeling.
Een illustratief voorbeeld: een SaaS-bedrijf wil het ontwikkelen, beheren en ondersteunen van zijn klantenplatform laten certificeren. Dan kijken we ook naar releasebeheer, ondersteuningstoegang, cloudleveranciers en medewerkers die bij klantgegevens kunnen. Alleen de productieserver noemen geeft een onvolledig beeld van de dienstverlening.
Van risicoanalyse naar verdedigbare keuzes
Een werkend ISMS, het managementsysteem voor informatiebeveiliging, verbindt risico's met besluiten en maatregelen. Welke informatie is belangrijk? Welke verstoring is onaanvaardbaar? Wat kan er misgaan door een leverancier, medewerker of technische wijziging? We helpen deze afwegingen concreet te maken.
De organisatie bepaalt wie risico's mag accepteren en welke verbeteringen voorrang krijgen. In de verklaring van toepasselijkheid leggen we vast welke beheersmaatregelen relevant zijn en waarom. Daarmee ontstaat een uitlegbaar geheel. Een standaardpakket zonder aansluiting op uw risico's maakt die keuzes niet voor u.
Afspraken die medewerkers ook kunnen uitvoeren
Beleid krijgt pas waarde wanneer duidelijk is hoe iemand ernaar moet handelen. Wie keurt nieuwe toegang goed? Wie trekt rechten in bij vertrek? Hoe wordt een beveiligingsincident gemeld? En welke controle hoort bij een wijziging aan het platform? We vertalen het plan naar werkafspraken met een eigenaar en een haalbare frequentie.
Technische maatregelen stemmen we af met uw IT-verantwoordelijke en betrokken leveranciers. In het voorstel staat wie de inrichting uitvoert, wie controleert en welke ondersteuning u ontvangt. Uw directie blijft verantwoordelijk voor besluiten, capaciteit en het aanvaarden van restrisico's.
Bewijs verzamelen zonder een tweede administratie
Veel bruikbaar bewijs ontstaat al in het werk: een goedgekeurd toegangsverzoek, een hersteltest, een leveranciersbeoordeling of het verslag van een incident. We helpen bepalen wat u moet bewaren, waar het staat en wie het bijhoudt. Waar mogelijk sluiten we aan op uw bestaande systemen.
Een auditor moet kunnen volgen wat is afgesproken en wat daadwerkelijk is gebeurd. Ontbreekt bewijs, dan onderzoeken we eerst of de maatregel niet is uitgevoerd of alleen slecht is vastgelegd. Die twee situaties vragen een andere oplossing. Achteraf een document maken vervangt geen eerdere uitvoering.
Interne toetsing en de onafhankelijke certificatieaudit
Voor de externe audit organiseren we de noodzakelijke interne toetsing, directiebeoordeling en opvolging van afwijkingen. De interne audit moet objectief worden uitgevoerd; iemand die een onderdeel zelf heeft ingericht, is niet vanzelfsprekend de juiste persoon om datzelfde werk te beoordelen.
Datajuristen begeleidt de implementatie en voorbereiding. Een onafhankelijke certificerende instelling voert de certificatieaudit uit en beslist over het certificaat. We helpen auditvragen te structureren en bevindingen op te volgen. Een positieve beslissing kunnen we niet vooraf beloven.
Na de eerste audit blijft de organisatie veranderen
Een nieuwe leverancier, overname of AI-toepassing kan nieuwe risico's introduceren. Daarom richten we een terugkerend ritme in voor wijzigingen, leveranciers, incidenten, risico's en verbeteracties. Ook moet duidelijk zijn wie dit onderhoud overneemt als het implementatieproject klaar is.
De actuele internationale norm is ISO/IEC 27001:2022, met amendement 1:2024. ISO-certificering vervangt geen aparte beoordeling van de AVG of de Cyberbeveiligingswet. We verbinden de onderwerpen waar dat helpt en houden de afzonderlijke verplichtingen zichtbaar.
Zo pakken we het aan
Een duidelijke stap, op het juiste moment.
- 1
Richting bepalen
We bespreken uw klantvraag, scope, startpunt en gewenste planning.
- 2
Inrichten en uitvoeren
U werkt met ons aan risico's, maatregelen, werkafspraken en aantoonbare uitvoering.
- 3
Toetsen en verbeteren
We bereiden objectieve interne toetsing, directiebeoordeling en herstelacties voor.
- 4
Audit en overdracht
De onafhankelijke instelling toetst; uw organisatie houdt daarna het systeem bij.
Nog een vraag?
Veelgestelde vragen
Hoeveel tijd moet onze organisatie zelf vrijmaken?
Dat hangt af van uw startpunt en scope. Er is in ieder geval inzet nodig van een projectverantwoordelijke, de directie en de eigenaren van relevante processen. We maken die bijdrage vooraf concreet; volledig uitbesteden van verantwoordelijkheid is geen werkbaar uitgangspunt.
Is ISO 27001 hetzelfde als een technische securitytest?
Nee. ISO 27001 gaat over het managementsysteem voor informatiebeveiliging. Een technische test kan bewijs opleveren over specifieke beveiligingsrisico's, maar vervangt het managementsysteem of de certificatieaudit niet.
Moeten we een speciaal ISMS-platform aanschaffen?
Niet per definitie. Eerst bepalen we welke informatie, goedkeuringen en bewijzen nodig zijn. Daarna kiezen we hoe u dat beheert. Een passend platform kan helpen, maar maakt beleid en uitvoering niet vanzelf op orde.
Wat kost een implementatietraject?
We begroten na het afbakenen van de scope en een beoordeling van uw startpunt. Begeleiding, eventuele technische uitvoering en de onafhankelijke certificatieaudit zijn verschillende kostenposten. U ontvangt afspraken over werkzaamheden, inzet en meerwerk.
Bronnen en actualiteit
Deze uitleg gebruikt onderstaande bronnen, geraadpleegd op 12 oktober 2026. De precieze eisen en aanpak hangen af van uw scope, activiteiten en de actuele afspraken met de onafhankelijke toetsende partij.
Van uitleg naar uw praktijk
Wat betekent dit voor uw organisatie?
Vertel waar u staat en welke vraag u wilt oplossen. We bespreken een concrete eerste stap.