Wat is een ISMS binnen ISO 27001?

Een ISMS, of informatiebeveiligingsmanagementsysteem, is een gestructureerd geheel van beleidsregels, processen en maatregelen waarmee een organisatie de beveiliging van haar informatie systematisch beheert. Het gaat niet om één tool of softwarepakket, maar om een samenhangend raamwerk dat risico’s identificeert, beheerst en continu verbetert. ISO 27001 is de internationale norm die beschrijft waaraan een ISMS moet voldoen. In dit artikel beantwoorden we de meest gestelde vragen over ISMS en ISO 27001, zodat je precies weet wat het inhoudt en wat het voor jouw organisatie betekent.

Waaruit bestaat een ISMS in de praktijk?

Een ISMS bestaat in de praktijk uit een combinatie van beleidsdocumenten, risicoanalyses, beveiligingsmaatregelen, verantwoordelijkheden en controleprocessen die samen de informatiebeveiliging van een organisatie borgen. Het is geen statisch document, maar een levend systeem dat voortdurend wordt bijgehouden en aangepast aan nieuwe risico’s en omstandigheden.

Concreet bevat een ISMS de volgende onderdelen:

• Informatiebeveiligingsbeleid: de overkoepelende visie en doelstellingen van de organisatie op het gebied van beveiliging
• Risicoanalyse en risicobehandeling: een inventarisatie van welke informatie gevoelig is, welke bedreigingen er bestaan en hoe je daarmee omgaat
• Beveiligingsmaatregelen (controls): technische en organisatorische maatregelen zoals toegangsbeheer, encryptie, back-upbeleid en incidentprocedures
• Rollen en verantwoordelijkheden: wie is verantwoordelijk voor welk onderdeel van de informatiebeveiliging
• Bewustzijnstraining: medewerkers die begrijpen wat informatiebeveiliging inhoudt en hoe ze veilig werken
• Interne audits en managementreviews: periodieke controles om te toetsen of het systeem nog effectief werkt

Het gaat er dus niet alleen om dat je technische maatregelen treft, maar ook dat je de menselijke en organisatorische kant goed regelt. Informatiebeveiliging is een gedeelde verantwoordelijkheid die door de hele organisatie heen loopt.

Wat is het verschil tussen een ISMS en ISO 27001?

Een ISMS is het systeem zelf, ISO 27001 is de norm die beschrijft hoe dat systeem eruit moet zien. ISO 27001 is een internationale standaard gepubliceerd door de International Organization for Standardization, en het biedt een gedetailleerd raamwerk van eisen waaraan een ISMS moet voldoen om gecertificeerd te kunnen worden.

Je kunt het vergelijken met een gebouw en een bouwnorm: het ISMS is het gebouw, ISO 27001 is de bouwcode die bepaalt aan welke eisen het gebouw moet voldoen. Een organisatie kan een ISMS opzetten zonder ISO 27001-certificering na te streven, maar de norm biedt wel een erkend en beproefd kader om op te bouwen.

ISO 27001 schrijft voor dat een ISMS moet voldoen aan specifieke eisen op het gebied van:

• De context van de organisatie en de betrokken partijen
• Leiderschap en commitment van het management
• Risicobeheer en de selectie van passende beveiligingsmaatregelen
• Continue verbetering via de Plan-Do-Check-Act-cyclus

Wanneer je als organisatie ISO 27001-gecertificeerd bent, toont een onafhankelijke certificeringsinstantie aan dat jouw ISMS voldoet aan deze internationale eisen. Dat geeft klanten, partners en andere stakeholders vertrouwen in jouw aanpak van informatiebeveiliging.

Hoe werkt de Plan-Do-Check-Act-cyclus binnen een ISMS?

De Plan-Do-Check-Act-cyclus, ook wel de PDCA-cyclus genoemd, is het sturingsmechanisme achter een ISMS. Het zorgt ervoor dat informatiebeveiliging geen eenmalig project is, maar een continu verbeterproces dat meegroeit met jouw organisatie en het dreigingslandschap.

De vier fasen werken als volgt:

1. Plan: Je brengt de context in kaart, identificeert risico’s en stelt doelstellingen en maatregelen vast. Dit is de fase waarin je bepaalt wat je wilt bereiken en hoe.
2. Do: Je implementeert de geplande maatregelen en processen. Medewerkers worden getraind, technische beveiligingen worden ingericht en procedures worden vastgelegd.
3. Check: Je toetst of de maatregelen werken zoals bedoeld. Dit gebeurt via interne audits, monitoring, incidentanalyse en managementreviews.
4. Act: Op basis van de bevindingen uit de Check-fase pas je het systeem aan. Wat werkt niet? Wat kan beter? Verbeteringen worden doorgevoerd, waarna de cyclus opnieuw begint.

De kracht van deze cyclus zit in de herhaling. Dreigingen veranderen, jouw organisatie groeit, en nieuwe technologieën brengen nieuwe risico’s met zich mee. Door de PDCA-cyclus structureel te doorlopen, blijft jouw informatiebeveiligingsmanagementsysteem actueel en effectief in plaats van te verouderen.

Welke risico’s dekt een ISMS af?

Een ISMS dekt een breed spectrum aan risico’s die de vertrouwelijkheid, integriteit en beschikbaarheid van informatie kunnen bedreigen. Het gaat zowel om digitale dreigingen als om menselijke en fysieke risico’s die de beveiliging van bedrijfsgegevens in gevaar kunnen brengen.

Voorbeelden van risico’s die een ISMS adresseert:

• Cyberaanvallen: ransomware, phishing, malware en andere vormen van digitale criminaliteit
• Menselijke fouten: medewerkers die per ongeluk gevoelige informatie delen of verkeerd omgaan met toegangsrechten
• Ongeautoriseerde toegang: interne of externe partijen die toegang krijgen tot systemen of data waarvoor ze geen toestemming hebben
• Datalekken: verlies of onbedoelde openbaarmaking van persoonsgegevens of bedrijfsgevoelige informatie
• Uitval van systemen: storingen die de beschikbaarheid van kritieke bedrijfsinformatie in gevaar brengen
• Fysieke bedreigingen: diefstal van apparatuur, brand of waterschade die data en systemen kunnen aantasten
• Leveranciersrisico’s: derde partijen die toegang hebben tot jouw systemen en daarmee een risicofactor vormen

Een ISMS helpt je niet alleen om deze risico’s te identificeren, maar ook om bewuste keuzes te maken over welke risico’s je accepteert, welke je mitigeert en welke je overdraagt aan bijvoorbeeld een verzekeraar. Dat maakt het een strategisch instrument, niet alleen een technische checklist.

Moet een MKB-bedrijf een volledig ISMS implementeren?

Een MKB-bedrijf hoeft geen volledig ISO 27001-gecertificeerd ISMS te implementeren, maar heeft baat bij de structuur en aanpak die een ISMS biedt. De omvang en complexiteit van het systeem mag je afstemmen op de grootte, het risicoprofiel en de sector van jouw organisatie.

Veel MKB-bedrijven denken dat een ISMS alleen voor grote corporates is weggelegd, maar dat klopt niet. Juist kleine en middelgrote bedrijven zijn een aantrekkelijk doelwit voor cybercriminelen, omdat ze vaak minder goed beveiligd zijn. Tegelijk beschikken ze niet altijd over de middelen voor een uitgebreid implementatietraject.

De slimme aanpak voor het MKB is een proportioneel ISMS: je neemt de principes van ISO 27001 als leidraad, maar schaalt de implementatie naar wat realistisch en haalbaar is voor jouw situatie. Dat betekent in de praktijk:

• Beginnen met een risicoanalyse die aansluit bij jouw bedrijfsactiviteiten
• Prioriteit geven aan de maatregelen die de grootste risico’s afdekken
• Beleid en procedures simpel en werkbaar houden, niet onnodig complex
• Medewerkers bewust maken van hun rol in informatiebeveiliging

Of je uiteindelijk kiest voor een formele ISO 27001-certificering hangt af van factoren zoals klanteisen, aanbestedingsvereisten of sectorspecifieke regelgeving. Steeds vaker vragen grote opdrachtgevers of overheidsinstanties om bewijs van een goed ingericht informatiebeveiligingsmanagementsysteem.

Wat zijn de stappen om een ISMS op te zetten?

Een ISMS opzetten verloopt via een aantal vaste stappen die je in logische volgorde doorloopt. De aanpak is gebaseerd op de eisen van ISO 27001 en kan worden aangepast aan de omvang en complexiteit van jouw organisatie.

1. Bepaal de scope: Welke systemen, processen en locaties vallen onder het ISMS? Hoe smaller en gerichter de scope, hoe beheersbaarder de implementatie.
2. Voer een risicoanalyse uit: Breng in kaart welke informatie gevoelig is, welke bedreigingen relevant zijn en hoe groot de kans en impact van elk risico is.
3. Stel een risicobehandelplan op: Bepaal per risico welke maatregel je treft: mitigeren, accepteren, overdragen of vermijden.
4. Selecteer en implementeer beveiligingsmaatregelen: Kies de controls die passen bij jouw risicoprofiel en voer ze door in processen, systemen en gedrag.
5. Documenteer beleid en procedures: Leg vast wat de spelregels zijn, wie waarvoor verantwoordelijk is en hoe incidenten worden afgehandeld.
6. Train medewerkers: Zorg dat iedereen in de organisatie begrijpt wat informatiebeveiliging inhoudt en wat er van hem of haar wordt verwacht.
7. Voer interne audits uit: Toets of de maatregelen werken en of de procedures worden nageleefd.
8. Voer een managementreview uit: Het management beoordeelt de werking van het ISMS en stelt prioriteiten voor verbetering.
9. Verbeter continu: Verwerk de bevindingen in aanpassingen en start de cyclus opnieuw.

Het is verstandig om bij de start externe expertise in te schakelen, zeker als je voor het eerst met ISO 27001 werkt. Dat bespaart tijd en voorkomt dat je energie steekt in zaken die niet bijdragen aan een effectief systeem.

Hoe lang duurt het om een ISMS te implementeren?

De implementatieduur van een ISMS varieert sterk, maar voor een MKB-bedrijf moet je rekenen op drie tot twaalf maanden. De exacte doorlooptijd hangt af van de omvang van de scope, de beschikbare capaciteit intern en de mate waarin informatiebeveiliging al is gestructureerd binnen jouw organisatie.

Een paar factoren die de doorlooptijd beïnvloeden:

• Startpositie: Heb je al beleid, procedures of beveiligingsmaatregelen op orde? Dan bouw je voort op een bestaande basis en gaat het sneller.
• Scope: Een ISMS dat alleen een specifieke afdeling of dienst omvat, is sneller te implementeren dan een organisatiebrede aanpak.
• Interne capaciteit: Hoe meer tijd en mensen je beschikbaar stelt, hoe sneller het gaat. Voor MKB-bedrijven is dit vaak de grootste bottleneck.
• Externe begeleiding: Met de juiste ondersteuning van een ervaren partner kun je valkuilen vermijden en het proces versnellen.

Als je streeft naar een formele ISO 27001-certificering, tel dan ook de tijd voor de certificeringsaudit mee. Die vindt doorgaans plaats nadat het ISMS minimaal enkele maanden operationeel is, zodat de auditor kan toetsen of het systeem daadwerkelijk werkt.

Wat kost een ISMS voor een MKB-bedrijf?

De kosten van een ISMS voor een MKB-bedrijf variëren, maar je moet rekening houden met een investering in zowel interne uren als eventuele externe begeleiding, tools en certificeringskosten. Er is geen vaste prijs, maar de totale kosten worden bepaald door de scope, de complexiteit en de gekozen aanpak.

Globaal zijn er drie kostencategorieën:

• Interne uren: De tijd die jij en je collega’s steken in het opzetten, documenteren en onderhouden van het ISMS. Dit is vaak de grootste kostenpost, al wordt die niet altijd als zodanig herkend.
• Externe begeleiding: Een consultant of IT-partner die je helpt met de risicoanalyse, documentatie en implementatie. De kosten hiervan variëren afhankelijk van de omvang van de opdracht.
• Certificeringskosten: Als je kiest voor een formele ISO 27001-certificering, betaal je voor de audit door een geaccrediteerde certificeringsinstantie. Voor MKB-bedrijven liggen deze kosten doorgaans lager dan voor grote organisaties, maar het is een serieuze investering.

Zet de kosten altijd af tegen de risico’s die je afdekt. Een datalek, ransomware-aanval of boete vanuit de AVG kan financieel en reputatiegewijs veel zwaarder wegen dan de investering in een goed ingericht informatiebeveiligingsmanagementsysteem.

Hoe NTNT jou helpt met informatiebeveiliging en een ISMS

Een ISMS opzetten klinkt misschien als een flinke klus, en dat is het ook als je het alleen aanpakt. Bij NTNT begrijpen we dat MKB-bedrijven niet altijd de interne capaciteit of kennis hebben om dit zelfstandig te doen. Daarom helpen wij je op een praktische en toegankelijke manier verder, zonder onnodige complexiteit.

Wat wij voor jou kunnen betekenen:

• Een heldere risicoanalyse die aansluit bij jouw bedrijfsactiviteiten en risicoprofiel
• Begeleiding bij het opzetten van beleid, procedures en beveiligingsmaatregelen die echt werken
• Proactieve monitoring en bescherming van jouw IT-omgeving via onze cybersecurity oplossingen
• Bewustzijnstraining voor jouw medewerkers, zodat de menselijke factor geen zwakke schakel wordt
• Doorlopende ondersteuning zodat jouw informatiebeveiliging actueel blijft

Of je nu wilt starten met de basis of toewerkt naar een ISO 27001-certificering: wij denken met je mee en zorgen dat je stap voor stap vooruitgaat. Zo kun jij je focussen op jouw bedrijf, terwijl wij de informatiebeveiliging bewaken.