Krijg je vanuit een tender of opdrachtgever de vraag of jouw organisatie voldoet aan "de ISO 27000-norm"? Dan merk je al snel dat het niet om één enkel document gaat, maar om een complete familie van standaarden rondom informatiebeveiliging en privacy.
In dit overzicht leggen we in begrijfelijke taal uit hoe de ISO 27000-serie is opgebouwd, welke 'nummertjes' ertoe doen en welke norm je nodig hebt voor een officieel certificaat.
Wat is de ISO 27000-serie?
De ISO/IEC 27000-serie is een internationaal erkende reeks normen voor informatiebeveiliging.
Belangrijk om te weten: informatiebeveiliging gaat niet alleen over firewalls en IT-systemen. De normen richten zich op drie pijlers:
- Mensen: Bewustzijn, screenings, bevoegdheden en veilige werkmethoden.
- Processen: Incidentmanagement, beleidsdocumenten en leveranciersafspraken.
- Techniek en fysiek: Toegangscontrole, back-ups, encryptie én de beveiliging van fysieke papierstromen en panden.
De belangrijkste normen uit de reeks op een rij
Binnen de serie heeft elk document een eigen nummer en doel. Dit zijn de kernnormen die je moet kennen:
| Norm | Rol binnen de serie | Certificering mogelijk? |
| ISO/IEC 27000 | Geeft de definities, termen en het overzicht van de hele serie. | Nee (naslagwerk) |
| ISO/IEC 27001 | Bevat de harde eisen voor een Information Security Management System (ISMS). | Ja (dé norm voor certificering) |
| ISO/IEC 27002 | Beschrijft de concrete maatregelen (controls) om aan de eisen van 27001 te voldoen. | Nee (richtlijn) |
| ISO/IEC 27005 | Richtlijn voor het uitvoeren van een degelijke risicoanalyse. | Nee (hulpmiddel) |
| ISO/IEC 27705 | De specifieke uitbreiding op 27001 voor de AVG / privacybescherming. | Ja (als uitbreiding op 27001) |
| ISO/IEC 27017 | Aanvullende richtlijnen specifiek voor SaaS-leveranciers en cloudgebruikers. | Nee (aanvullend certificaat/attest) |
| ISO/IEC 27019 | Aanvullende richtlijnen specifiek voor Energie Utiliteit Industrie | Nee (aanvullend certificaat/attest) |
Het verschil tussen ISO 27000, 27001 en 27002
De meeste verwarring ontstaat rondom de eerste drie nummers:
- ISO 27000 (Overzicht):
Dit document fungeert als het woordenboek van de serie. - ISO 27001 (De norm):
Hierin staat wat je organisatie moet regelen (een managementsysteem, directiebetrokkenheid, doelstellingen en continue verbetering). Voldoe je hieraan, dan ontvang je na een audit het officiële ISO 27001-certificaat. - ISO 27002 (De maatregelen):
Waar ISO 27001 zegt wat er moet zijn, legt ISO 27002 uit hoe je dat in de praktijk kunt inrichten. Denk aan richtlijnen voor wachtwoordbeleid, thuiswerken, logging of fysieke beveiliging.
Tip: Je kunt je als organisatie dus niet laten certificeren voor ISO 27000 of ISO 27002;
Welke normen heeft jouw organisatie nodig?
De meeste organisaties hebben geen volle boekenkast nodig. De norm vereist dit ook niet. De inrichting moet 'passend' zijn bij de omvang en complexiteit van jouw organisatie.
Als richtlijn kun je onderstaande gebruiken:
1. Standaard MKB en dienstverlening: ISO27001 (het fundament) en ISO27002 (de maatregelen).
2. Verwerk je veel persoonsgegevens: Alles onder punt 1 aangevuld met de ISO27701.
3. Ben je een softwarebedrijf en lever je SaaS: Alles onder punt 1 aangevuld met ISO27017 (Cloud security) en ISO27018 (privacy in de Cloud).
Veelgestelde vragen over de ISO 27000-serie
Wat betekent het jaartal achter de norm (bijv. :2022 of :2026)?
Het jaartal toont de publicatie-editie. Terwijl overkoepelende overzichten zoals ISO 27000 periodiek worden herzien, blijft ISO/IEC 27001:2022 de actuele certificatiestandaard voor managementsystemen. Controleer daarom voordat je begint of je in bezit bent van de juiste uitgave van de norm.
Moeten we álle beheersmaatregelen uit ISO 27002 implementeren?
Nee. Op basis van een risicoanalyse bepaal je in een zogeheten Verklaring van Toepasselijkheid (VvT / Statement of Applicability) welke maatregelen relevant zijn voor jouw bedrijf en welke risico's je op een andere manier afdekt.
Kan ik binnen een maand certificeren?
Nee, vrijwel nooit. Een auditor eist bewijs van werking (minimaal 1 tot 3 maanden draaitijd van het ISMS), een afgeronde interne audit én een directiebeoordeling. Daarnaast hebben certificerende instellingen (CI's) wachttijden waar je rekening mee moet houden. Begin daarom optijd.
Wat kost een ISO27001 certificaat?
De kosten voor een certificaat bestaan altijd uit twee delen:
Auditkosten
Dit zijn de kosten voor de onafhankelijke auditor die de toetsing uitvoert (Fase 1 en Fase 2). Voor een gemiddeld MKB-bedrijf (10 tot 50 medewerkers) liggen deze kosten meestal tussen de € 4.000 en € 10.000, afhankelijk van de bedrijfsgrootte en de complexiteit van de IT-omgeving.
De implementatiekosten (intern en/of begeleiding).
Dit omvat de uren die je eigen team erin steekt en eventuele software/tooling of externe adviesuren om het ISMS in te richten. Een pragmatische begeleiding voorkomt dat je team tientallen uren verspilt aan onnodige documentatie.
Neem vrijblijvend contact met ons op voor een scherpere inschatting.
Is het behalen van het certificaat een eenmalige investering?
Nee. Een ISO 27001-certificaat kent een geldigheidsduur en looptijd van drie jaar en gebaseerd op continue verbetering. Je sluit met de certificerende instelling (CI) direct een overeenkomst af voor een vaste cyclus van drie jaar:
Jaar 1
De initiële certificeringsaudit (toetsing van zowel opzet als werking).
Jaar 2 en 3
Jaarlijkse controle-audits (surveillance) om te toetsen of het systeem actief wordt nageleefd.
Na 3 jaar
Een volledige hercertificering voor een nieuwe cyclus.
Naast de auditkosten van de CI vraagt een ISMS ook intern om doorlopend onderhoud. Je moet periodiek risico's herbeoordelen, incidenten registreren en jaarlijks verplicht een interne audit en directiebeoordeling uitvoeren. Wie na jaar 1 achteroverleunt, raakt het certificaat bij de eerste controle-audit direct weer kwijt.
Tip: Veel organisaties kiezen ervoor om na certificering periodiek een externe specialist in te schakelen (zoals onze Security Officer as a Service dienstverlening) om de verplichte controles te borgen zonder dat het eigen personeel erdoor wordt overbelast.
Moet ik voor de ISO 27000-serie of ISO 27001 extra software en tools aanschaffen?
Nee. NEN-EN-ISO/IEC 27001 verplicht geen specifieke software, GRC-platforms of dure compliance-tools.
Het managementsysteem (ISMS) mag je gewoon inrichten met middelen die je al in huis hebt, zoals Microsoft 365, SharePoint of Google Workspace. De auditor toetst of processen, afspraken en risico's aantoonbaar worden beheerst, niet in welke applicatie je dat vastlegt.
Ook de beheersmaatregelen uit ISO 27002 (zoals tweefactorauthenticatie, encryptie, logging en back-ups) dek je in de meeste organisaties prima af met de functionaliteiten die al in je huidige IT-omgeving en licenties aanwezig zijn. Pas wanneer uit je eigen risicoanalyse blijkt dat een specifiek risico niet met bestaande middelen kan worden afgedekt, is een aanvullende tool echt noodzakelijk.
Heeft een bestaande ISO 9001-certificering invloed op een ISO 27001-traject?
Ja. Omdat beide normen dezelfde ISO-basisstructuur delen, staat het basisraamwerk er al. Toch is de slotsom realistisch: onderaan de streep ga je altijd meer betalen dan waar je met ISO 9001 mee begon. Zowel de initiële investering als de structurele werklast nemen namelijk toe.
De certificerings- en implementatiekosten
Aan de auditkant levert het direct voordeel op: de certificerende instelling kan een gecombineerde audit uitvoeren, wat flink scheelt in externe auditdagen ten opzichte van twee losse trajecten.
Daar staat tegenover dat de implementatie vaak complexer is dan gedacht. Normeisen en best practices sluiten inhoudelijk niet altijd naadloos op elkaar aan, wat in de praktijk kan leiden tot lastige implementatiedilemma's. Bestaande formats voor risicoanalyses en leveranciersbeoordelingen worden verzwaard met technische risico's en privacy-eisen, wat extra voorbereidingstijd en adviesuren vraagt.
De uitvoeringskosten (doorlopend beheer)
Na het behalen van het certificaat stijgt ook de structurele beheerlast. Je toetst niet langer alleen op proceskwaliteit en klanttevredenheid, maar moet continu toezien op datalekken, toegangsrechten, verscherpte controles op leveranciers en de verplichte opvolging van beveiligingsincidenten. Zowel de jaarlijkse surveillancedagen van de auditor als de interne uren die je team kwijt is aan onderhoud liggen daardoor blijvend hoger.
Crucialis kan je helpen om informatiebeveiliging logisch in je bestaande kwaliteitssysteem te schuiven.
Kies ik voor ISO 27001, de BIO of NEN 7510?
Je kiest deze normen zelden zelf; je markt, wetgeving of opdrachtgever bepaalt welke standaard van toepassing is. Het belangrijkste om te begrijpen is dat ISO 27001 de internationale moederstandaard is. De BIO en NEN 7510 zijn daarop gebaseerd, maar specifiek doorvertaald naar een Nederlandse sector.
Alles even op een rij.
ISO 27001: De wereldwijde standaard voor het bedrijfsleven
Dit is de norm voor commerciële organisaties, IT-dienstverleners, SaaS-bedrijven en partijen die internationaal zakendoen. Als een zakelijke klant of tender vraagt om aantoonbare informatiebeveiliging zonder verdere sectorcontext, bedoelt men vrijwel altijd een ISO 27001-certificaat.
NEN 7510: De zorgsector en toeleveranciers
NEN 7510 is de verplichte Nederlandse norm voor zorgaanbieders (zoals ziekenhuizen, GGZ-instellingen en huisartsen) én voor leveranciers die systemen leveren waarin persoonlijke gezondheidsinformatie wordt verwerkt. Deze norm gebruikt ISO 27001 als fundament, maar verzwaart de eisen rondom medisch beroepsgeheim, logging van patiëntendossiers en toestemming voor inzage.
Je kunt dit certificaat alleen aanvragen als je daadwerkelijk kunt bewijzen aan de CI dat je zorg of patientgegevens verwerkt. Doe je dit niet, dan zul je niet door de aanvraagprocedure komen van de CI (certificerende instantie).
De BIO (Baseline Informatiebeveiliging Overheid): De publieke sector
De BIO is het normenkader voor alle Nederlandse overheidslagen: gemeenten, provincies, waterschappen en ministeries. De BIO is geen certificatienorm op zich, maar een dwingend stelsel van maatregelen (afgeleid van ISO 27002) met drie beveiligingsniveaus. Doe je als IT- of adviespartij mee aan een overheidstender, dan eist de overheid vaak een ISO 27001-certificaat gecombineerd met een verklaring dat je aan de BIO-eisen voldoet.
Hoe verhouden ze zich tot elkaar?
Wie ISO 27001 goed heeft ingericht, heeft zo'n 75% tot 80% van de BIO of NEN 7510 al in handen. Het managementsysteem werkt namelijk volgens exact dezelfde principes.
Het verschil zit in de details en de flexibiliteit. Bij een reguliere ISO 27001 mag je op basis van je eigen risicoanalyse beargumenteren waarom je bepaalde maatregelen wel of niet treft. Bij NEN 7510 en de BIO zijn veel specifieke beheersmaatregelen wettelijk of beleidsmatig verplicht; daar heb je dus aanzienlijk minder vrijheid om risico's 'weg te redeneren'.