Wat is een ISMS? De complete gids voor Information Security Management Systems (2026)
Complete gids over ISMS: definitie, PDCA-cyclus, 8 kerncomponenten, ISO 27001-vereisten, implementatie in 8 stappen, kosten en veelgemaakte auditfouten.
Wat is een ISMS? De complete gids voor Information Security Management Systems (2026)
Zesenzeventigduizend mensen zoeken elke maand naar "ISMS". De meesten zijn beveiligingsmanagers, compliance-officers en CISO's die een ISMS moeten bouwen, verbeteren of aan hun bestuur moeten uitleggen.
Deze gids geeft u alles wat u nodig heeft: wat een ISMS is en niet is, hoe het mechanisch werkt, de 8 componenten die auditors controleren, een stapsgewijs implementatieplan, actuele kostendata en de harde waarheden die de meeste ISMS-gidsen weglaten.
De mondiale ISMS-markt werd in 2026 gewaardeerd op 76,6 miljard USD, met een prognose van 117,9 miljard USD in 2035 bij een CAGR van 4,9% [¹]. Die groei wordt aangedreven door een reële crisis: 65% van de bedrijven meldde het afgelopen jaar minstens één cyberaanval, en datalekken zijn wereldwijd met 58% gestegen [¹].
Kernpunten
- Een ISMS (Information Security Management System) is het complete raamwerk voor het beheer van informatiebeveiliging — beleid, processen, risicobeoordelingen, maatregelen en documentatie.
- ISO 27001 is de internationale norm die uw ISMS certificeert. De huidige versie is ISO/IEC 27001:2022 met 93 maatregelen in 4 categorieën (gereduceerd van 114 maatregelen in 14 categorieën in de 2013-versie).
- 8 kerncomponenten vormen elk ISMS: beleid, risicobeoordeling, Verklaring van Toepasselijkheid, maatregelen, documentatie, interne audit, directiebeoordeling en continue verbetering.
- Implementatiekosten: 15.000–40.000 £ in het eerste jaar voor een bedrijf met 50 medewerkers; 50.000–150.000 £+ voor grotere organisaties. In 2026 wordt een kostenstijging van 20% verwacht.
- NIS2, DORA en SOC 2 zijn allemaal te koppelen aan ISMS-componenten — één ISMS voldoet tegelijkertijd aan meerdere kaderverplichtingen.
- 67% van de beveiligingsleiders investeert momenteel in AI-gestuurde dreigingsdetectietools om hun ISMS-capaciteiten te versterken [¹].
Wat is een ISMS?
Een Information Security Management System (ISMS) is een systematisch raamwerk van beleid, processen en maatregelen dat een organisatie gebruikt om risico's voor informatiebeveiliging te beheren.
Het ISMS definieert:
- Wat beschermd moet worden — via asset-identificatie en -classificatie
- Wat het bedreigt — via gestructureerde risicobeoordeling
- Hoe het beschermd wordt — via geselecteerde maatregelen uit ISO 27001 Bijlage A of gelijkwaardige kaders
- Hoe u het aantoont — via documentatie, bewijsverzameling en audit
- Hoe u continu verbetert — via de Plan-Do-Check-Act (PDCA)-cyclus
Een ISMS is geen product dat u installeert. Het is geen document dat u één keer schrijft. Het is een doorlopend managementsysteem — een manier van werken die ervoor zorgt dat beveiliging systematisch, meetbaar en continu verbeterend is in plaats van ad hoc en reactief.
De belangrijkste onderscheid: ISO 27001 is de norm die uw ISMS certificeert. Het ISMS is het managementsysteem zelf. U kunt een ISMS hebben zonder ISO 27001-certificering, maar elk ISO 27001-certificaat is een certificering van een ISMS.
Hoe een ISMS werkt: de PDCA-cyclus
Elk ISMS werkt op basis van de Plan-Do-Check-Act (PDCA)-cyclus, dezelfde kwaliteitsmanagementlus die wordt gebruikt in ISO 9001 en ISO 14001.
Plan
- ISMS-scope definiëren — welke systemen, processen, locaties en gegevenstypes zijn inbegrepen
- Informatiebeveiligingsbeleid opstellen
- Risicobeoordeling uitvoeren — informatie-assets, dreigingen, kwetsbaarheden en impacts identificeren
- Risico's evalueren — welke zijn acceptabel en welke vereisen behandeling
- Maatregelen selecteren om geïdentificeerde risico's te behandelen
- Verklaring van Toepasselijkheid (VvT) opstellen
Do
- Geselecteerde maatregelen implementeren — technische en organisatorische maatregelen
- Beleid en procedures uitrollen
- Beveiligingsbewustzijnstraining uitvoeren
- Incidentrespons- en bedrijfscontinuïteitsprocessen instellen
- Systematische bewijsverzameling starten
Check
- Effectiviteit van maatregelen bewaken aan de hand van gedefinieerde meetwaarden en KPI's
- Interne audits uitvoeren
- Directiebeoordelingen houden
- Incidenten, bijna-incidenten en beveiligingsmetrieken bijhouden
- Afwijkingen en verbeterkansen identificeren
Act
- Auditbevindingen en afwijkingen aanpakken via corrigerende maatregelen
- Risicobeoordelingen bijwerken wanneer het dreigingslandschap verandert
- Ondermaats presterende maatregelen optimaliseren
- Geleerde lessen terugvoeren in de Plan-fase
De 8 kerncomponenten van een ISMS
1. Informatiebeveiligingsbeleid
Het overkoepelende bestuursdocument dat de betrokkenheid van de organisatie bij informatiebeveiliging vastlegt. Het moet worden goedgekeurd door het topmanagement en in de hele organisatie worden gecommuniceerd.
2. Risicobeoordeling en -behandeling
Het systematische proces van identificatie, analyse en behandeling van informatiebeveiligingsrisico's. ISO 27001 schrijft geen specifieke risicobeheersmethode voor, maar deze moet consistent, herhaalbaar en gedocumenteerd zijn.
De vier risicobehandelingsopties:
| Behandeling | Definitie | Wanneer toe te passen |
|---|---|---|
| Beperken | Maatregelen implementeren om kans of impact te reduceren | Items met hoog risico waarbij het restrisico acceptabel wordt |
| Accepteren | Het restrisico formeel accepteren | Items met laag risico waarbij behandelingskosten de baten overtreffen |
| Overdragen | Verzekering, uitbesteding, contractuele aansprakelijkheid | Restrisico's die anderen beter kunnen beheren |
| Vermijden | De risicobron volledig elimineren | Risico's waarbij de activiteit zelf de blootstelling niet rechtvaardigt |
3. Verklaring van Toepasselijkheid (VvT)
Een van de belangrijkste ISMS-documenten. De VvT vermeldt alle 93 ISO 27001:2022 Bijlage A-maatregelen en geeft aan:
- Welke maatregelen zijn geïmplementeerd
- Welke maatregelen zijn uitgesloten (en waarom)
- De rechtvaardiging die elke opgenomen maatregel verbindt met geïdentificeerde risico's
4. Beveiligingsmaatregelen
ISO 27001:2022 organiseert 93 maatregelen in vier categorieën:
| Categorie | Maatregelen | Voorbeelden |
|---|---|---|
| Organisatorisch | 37 maatregelen | Beleid, rollen, assetbeheer, leveranciersbeveiliging, incidentbeheer, dreigingsinformatie |
| Personen | 8 maatregelen | Screening, beveiligingsbewustzijnstraining, disciplinair proces, thuiswerken |
| Fysiek | 14 maatregelen | Fysieke beveiligingsperimeters, apparatuurbeveiliging, clean-deskbeleid, opslagmedia |
| Technologisch | 34 maatregelen | Toegangscontrole, versleuteling, logging, netwerkbeveiliging, veilig ontwikkelen, DLP, cloudbeveiliging |
De 2022-revisie voegde 11 nieuwe maatregelen toe: dreigingsinformatie, beveiliging van clouddiensten, ICT-gereedheid voor bedrijfscontinuïteit, fysieke beveiligingsmonitoring, configuratiebeheer, informatieverschaffing, gegevensmaskering, webfiltering, veilige codering, monitoringactiviteiten en detectie van gegevenslekken.
5. Documentatie en registraties
Verplichte documenten:
- ISMS-scopedocument
- Informatiebeveiligingsbeleid
- Risicobeoordelingsmethodologie
- Risicoregister
- Verklaring van Toepasselijkheid
- Risicobehandelingsplan
Verplichte registraties:
- Opleidingsregistraties
- Bewakingsresultaten en metingen
- Interne auditprogramma's en -resultaten
- Notulen directiebeoordelingen
- Registraties van corrigerende maatregelen
- Bewijs van uitvoering van maatregelen
Ontbrekende documentatie is de meest voorkomende oorzaak van mislukking bij de Fase 1-audit — die in wezen een documentreview is. Compliance-automatiseringsplatformen kunnen de bewijsverzameling aanzienlijk vereenvoudigen door automatisch bewijs uit gekoppelde systemen (cloudproviders, HR-tools, identiteitsbeheer) vast te leggen en aan maatregelen te koppelen.
6. Interne audit
Regelmatige beoordeling of het ISMS voldoet aan de vereisten en effectief is geïmplementeerd. Interne audits moeten:
- Alle ISMS-processen en -maatregelen over een gedefinieerde cyclus dekken (doorgaans jaarlijks)
- Worden uitgevoerd door auditors die onafhankelijk zijn van de beoordeelde gebieden
- Gedocumenteerde bevindingen opleveren die worden gevolgd tot oplossing
7. Directiebeoordeling
Periodieke beoordeling door het topmanagement — minimaal jaarlijks, vaak driemaandelijks — om te waarborgen dat het ISMS geschikt blijft voor het doel. Beoordelingen moeten rekening houden met: auditresultaten, prestatiemetrieken, status van corrigerende maatregelen, feedback van relevante belanghebbenden en veranderingen in de organisatiecontext.
8. Continue verbetering
Het ISMS moet aantoonbare voortdurende verbetering laten zien via corrigerende maatregelen voor afwijkingen, preventieve maatregelen voor potentiële problemen, procesoptimalisatie op basis van monitoringgegevens en updates om te reageren op veranderende dreigingen en regelgevingsvereisten.
ISMS vs. andere kaders: wat heeft u nodig?
| Kader | Wat het is | Certificering | Het beste voor | Relatie tot ISMS |
|---|---|---|---|---|
| ISO 27001 | Internationale norm voor ISMS | Ja — door RvA-geaccrediteerde instelling | EU/wereldwijde enterprise-verkoop | IS de ISMS-norm |
| SOC 2 | Amerikaans auditrapport over Trust Services Criteria | Ja — rapport van een CPA-kantoor | Amerikaanse SaaS-bedrijven | Sluit aan op ISMS-componenten |
| NIST CSF | Vrijwillig Amerikaans cybersecuritykader | Nee | Amerikaanse federale/publieke sector | Risicobeheerraamwerk |
| AVG | EU-verordening gegevensbescherming | Nee — gehandhaafd door AP | Elke EU-gegevensverwerker | ISMS-maatregelen voldoen aan veel AVG-vereisten |
| NIS2 | EU-richtlijn netwerk- en informatiebeveiliging | Nee — gehandhaafd door toezichthouders | EU essentiële/belangrijke entiteiten | ISMS Artikel 21-maatregelen voldoen aan de meeste NIS2-vereisten |
| DORA | EU digitale operationele weerbaarheid voor financiën | Nee — gehandhaafd door toezichthouders | EU financiële sector | ISMS ICT-risicobeheer sluit aan op DORA |
De kernobservatie: Een goed ontworpen ISO 27001-ISMS voldoet tegelijkertijd aan de meeste vereisten van NIS2 Artikel 21, DORA ICT-risicobeheer en SOC 2 Trust Services Criteria.
Wie heeft echt een ISMS nodig?
Hoge urgentie:
- B2B-SaaS en cloudproviders — Enterprise-kopers verlangen nu standaard ISO 27001-certificering vóór contractondertekening.
- Fintech en financiële instellingen — DORA maakt ICT-risicobeheer (functioneel een ISMS) verplicht voor EU-financiële entiteiten.
- Healthtech en verwerkers van medische gegevens — AVG Artikel 32 vereist "passende technische en organisatorische maatregelen" — een ISMS is de meest verdedigbare implementatie.
- NIS2 essentiële en belangrijke entiteiten — Artikel 21 vereist risicobeheermaatregelen die een functioneel ISMS vormen.
Groeiende urgentie:
- Overheidsaannemers en publieke leveranciers — EU-aanbestedingen vragen steeds vaker om ISO 27001 als basislijn. In Nederland is dit met name relevant voor leveranciers aan de Rijksoverheid.
- Mkb-bedrijven met OT/IT-convergentie — Het samenvoegen van systemen creëert nieuwe risico's voor informatiebeveiliging die systematisch beheer vereisen.
- Professional services (advocatenkantoren, consultancy) — Het omgaan met gevoelige klantgegevens zonder formeel beveiligingskader wordt steeds minder acceptabel voor enterprise-klanten.
Een ISMS implementeren: 8-stappengids
Stap 1: Scope en doelstellingen definiëren (Weken 1-2)
De ISMS-scope bepaalt wat binnen en buiten de certificeringsgrens valt. Een veelgemaakte fout is om bij de eerste poging de hele organisatie te bestrijken — dit creëert overweldigende complexiteit.
Begin met een afgebakende scope:
- Een specifiek product of dienst
- Een specifieke afdeling of bedrijfseenheid
- Een specifiek gegevenstype (bijv. klant-persoonsgegevens, financiële gegevens)
Definieer de scope formeel: welke systemen, processen, fysieke locaties en organisatie-eenheden zijn inbegrepen. Documenteer de redenering — auditors zullen vragen waarom u de grenzen hebt getrokken waar u ze hebt getrokken.
De scope moet de kleinste zijn die voldoet aan uw klant- en regelgevingsvereisten — en u breidt deze bewust uit naarmate het ISMS rijper wordt.
Stap 2: Betrokkenheid directie veiligstellen (Weken 2-3)
Zonder executive sponsorship stranden ISMS-projecten. U heeft nodig:
- Benoemde executive sponsor — bij voorkeur CISO of CTO met zichtbaarheid in het bestuur
- Toegewezen budget — voor consultantondersteuning, tools en auditkosten
- Goedgekeurd informatiebeveiligingsbeleid — ondertekend door de directie
- Gedefinieerde risicobereidheid — hoeveel restrisico de organisatie accepteert
- Beveiligingsgovernancestructuur — rollen, verantwoordelijkheden en beslissingsbevoegdheid
Het informatiebeveiligingsbeleid moet door de directie zijn goedgekeurd voordat u verder gaat. Al het andere rust op dit fundament.
Stap 3: Asset-inventarisatie en risicobeoordeling (Weken 3-8)
De risicobeoordeling is de intellectuele kern van het ISMS. Het stuurt elke beslissing over de selectie van maatregelen.
Asset-inventarisatie:
- Informatie-assets (databases, bestanden, kennis)
- IT-assets (servers, endpoints, clouddiensten, SaaS-tools)
- Personen (medewerkers, aannemers, derden met toegang)
- Fysieke assets (kantoren, apparatuur, papieren dossiers)
Risicobeoordeling:
- Dreigingen identificeren (ransomware, insider-dreiging, onbedoelde openbaarmaking, aanval op de toeleveringsketen)
- Kwetsbaarheden identificeren (ontbrekende patches, zwakke toegangscontrole, ontbrekende versleuteling)
- Waarschijnlijkheid en impact beoordelen (risicomatrix)
- Risico's prioriteren voor behandeling
Risicobeoordelingsmethodologie: De keuze van methodologie is cruciaal. ISO 27005 biedt een referentiemethodologie, maar u kunt elke consistente, traceerbare methode gebruiken. Veelgebruikte benaderingen zijn kwalitatieve risicomatrices (waarschijnlijkheid × impact), semi-kwantitatieve scoringssystemen of volledig kwantitatieve analyses zoals FAIR. Auditors letten niet op welke methodologie u kiest — ze controleren of u deze consistent en aantoonbaar toepast.
Risicobehandeling: Voor elk risico beslissen: beperken, accepteren, overdragen of vermijden. Beslissing en redenering documenteren. Beperkende maatregelen koppelen aan ISO 27001 Bijlage A. Elke risicoaanvaarding moet formeel worden goedgekeurd door een geautoriseerde risico-eigenaar en gedocumenteerd — informele aanvaarding is een veelvoorkomende afwijking.
Stap 4: Verklaring van Toepasselijkheid opstellen (Weken 8-10)
Alle 93 ISO 27001:2022 Bijlage A-maatregelen doorlopen: opnemen waar risico's dit rechtvaardigen, uitsluiten waar ze echt niet van toepassing zijn (bijv. maatregelen voor fysieke opslagmedia voor een volledig cloudgebaseerd bedrijf) met rechtvaardiging.
Stap 5: Maatregelen implementeren (Weken 8-24)
Dit is waar het echte werk plaatsvindt. Prioriteer op risiconiveau — behandel de hoogste risico's als eerste.
Snelle winsten (doorgaans binnen 4 weken):
- Multi-factor authenticatie (MFA) op alle systemen
- Wachtwoordbeleid en wachtwoordmanager
- Toegangsreview en offboardingproces
- Beveiligingsbewustzijnstraining voor alle medewerkers
- Asset-inventarisatie en -classificatie
Middellange termijn (4-12 weken):
- Kwetsbaarheidsbeheer-programma
- Incidentresponsplan en tests
- Bedrijfscontinuïteitsplan
- Beveiligingsbeoordelingen van leveranciers
- Versleuteling van data in rust en in doorvoer
Langere termijn (12-24 weken):
- Veilige ontwikkelingslevenscyclus (SDLC)
- Penetratietestprogramma
- Geavanceerde dreigingsdetectie en monitoring
- Programma voor risicobeheer van derden
Stap 6: Documentatieraamwerk opbouwen (Weken 12-18)
Bouw de verplichte document- en registratie-infrastructuur:
- Beleid en procedures voor elk maatregelgebied
- Sjablonen voor risicobeoordelingen, directiebeoordelingen en auditprogramma's
- Processen voor bewijsverzameling — hoe u bewijs van uitvoering van maatregelen vastlegt en bewaart
- Een documentbeheersysteem (versiebeheer, beoordelingscycli, goedkeuringsworkflow)
Vermijd de valkuil van documentatie om de documentatie — elk document moet uw werkelijke werkwijze weerspiegelen, niet een geïdealiseerde versie.
Stap 7: Interne audit en directiebeoordeling (Weken 20-24)
Vóór de certificeringsaudit een volledige interne auditcyclus uitvoeren:
- Auditscope plannen — alle ISMS-processen en -maatregelen moeten worden gedekt
- Audit uitvoeren — gesprekken voeren, dossiers bekijken, werking van maatregelen testen
- Bevindingen documenteren — conformiteiten en afwijkingen
- Corrigerende maatregelen overeenkomen voor alle afwijkingen
- Directiebeoordeling houden — resultaten presenteren aan het management, beslissingen over verbeteringen nemen
Dit is uw generale repetitie voor de certificeringsaudit. Neem bevindingen serieus — elke bevinding die interne auditors ontdekken is één verrassing minder van de certificeringsinstelling.
Stap 8: Certificeringsaudit (Maanden 6-12)
ISO 27001-certificering vereist een audit door een geaccrediteerde certificeringsinstelling. In Nederland zijn certificeringsinstellingen geaccrediteerd door RvA (Raad voor Accreditatie) en omvatten Lloyd's Register, DNV en Bureau Veritas.
Fase 1 (documentreview, doorgaans 1-2 dagen):
- Auditor beoordeelt ISMS-documentatie
- Bevestigt scopedefinitie
- Verifieert volledigheid en onderbouwing van de VvT
Fase 2 (implementatieverificatie, doorgaans 2-5 dagen afhankelijk van scope en complexiteit):
- Auditor test of gedocumenteerde maatregelen daadwerkelijk zijn geïmplementeerd en werken
- Gesprekken met medewerkers — kennen zij hun beveiligingsverantwoordelijkheden?
- Onderzoek van bewijs van uitvoering van maatregelen
- Identificatie van eventuele afwijkingen die correctie vereisen
Na Fase 2 geeft de certificeringsinstelling het ISO 27001-certificaat uit. Het certificaat is drie jaar geldig met jaarlijkse bewakingsaudits en een volledig hercertificeringsaudit in het derde jaar.
ISMS-kosten: prijsoverzicht 2026
Per organisatieomvang
| Organisatieomvang | Implementatiekosten | Auditkosten | Platform | Totaal Jaar 1 |
|---|---|---|---|---|
| Micro (1-10 medewerkers) | 2.000–8.000 £ | 6.250 £+ | 1.200–3.600 £/jaar | 10.000–18.000 £ |
| Klein (10-50 medewerkers) | 5.000–20.000 £ | 6.250–9.375 £ | 3.600–12.000 £/jaar | 15.000–40.000 £ |
| Middelgroot (50-500 mw.) | 15.000–40.000 £ | 9.375–15.000 £ | 12.000–36.000 £/jaar | 40.000–90.000 £ |
| Groot (500+ medewerkers) | 40.000–100.000 £+ | 15.000–40.000 £ | 36.000 £+/jaar | 90.000–180.000 £+ |
Belangrijkste kostenfactoren in 2026:
- Consultantdagtarieven zijn aanzienlijk gestegen — begroting: 1.250–1.500 £/dag voor ervaren ISO 27001-consultants
- Een kostenstijging van 20% wordt in 2026 verwacht voor implementatie- en auditkosten [²]
- Compliance-automatiseringsplatformen reduceren de implementatie-inspanning met 40-60%
- Beveiligingsbewustzijnstraining: 25 £ per gebruiker voor online modules, tot 15.000 £ per sessie voor klassikale training [²]
Wat de meeste ISMS-gidsen u niet vertellen
De documentatiekloof is nog altijd de voornaamste auditkiller
Ontbrekende documentatie veroorzaakt meer Fase 1-auditfouten dan welk technisch gat in maatregelen ook. De Fase 1-audit is een documentreview — als uw verplichte documenten niet compleet en correct zijn, eindigt de audit daar. De meest ontbrekende elementen: risicobehandelingsplan niet gekoppeld aan de VvT, notulen directiebeoordelingen die niet alle vereiste onderwerpen behandelen, registraties van corrigerende maatregelen zonder analyse van grondoorzaken.
Scopedefinitie is een strategische, geen technische beslissing
Een te brede scope creëert een onbeheersbare implementatiecomplexiteit. Een te smalle scope en klanten vragen waarom bepaalde producten of systemen niet zijn gedekt. De juiste scope is de kleinste die voldoet aan uw klant- en regelgevingsvereisten — en u breidt die bewust uit. Houd bij het bepalen van de scope ook rekening met afhankelijkheden: als uw SaaS-product op gedeelde infrastructuur draait, moet die gedeelde infrastructuur in scope zijn, ook al is het product de primaire driver.
Betrokkenheid directie is een voorlopende indicator van ISMS-succes
Organisaties waarbij de CISO budgetbevoegdheid en bestuursvisibiliteit heeft, presteren consequent beter dan organisaties waarbij beveiliging een IT-afdelingsfunctie is. Auditors spreken met de directie — en zij zien onmiddellijk of de directie echt betrokken is bij het ISMS of alleen het beleid heeft ondertekend.
Post-certificeringsdrift is reëel — en heel gewoon
De gevaarlijkste periode voor een ISMS is de 18 maanden na de initiële certificering. Organisaties ontspannen zich, de interne auditcyclus neemt af, trainingen worden minder frequent, documentatie raakt verouderd. Dan komt de bewakingsaudit en de paniek begint. Integreer ISMS-onderhoud in reguliere operationele routines — maandelijkse maatregelcontroles, driemaandelijkse risicobeoordelingsupdates en vaste data voor directiebeoordelingen in de managementagenda.
Veelgemaakte ISMS-auditfouten
Op basis van echte bevindingen van certificeringsinstellingen:
- Risicobeoordeling behandeld als afvinklijst — eenmalig uitgevoerd, niet herzien bij bedrijfswijzigingen
- Beleid zegt één ding, praktijk toont iets anders — gedocumenteerd toegangscontrolebeleid maar werkelijke toegangsrechten niet beoordeeld
- Interne audit dekt niet alle maatregelen af — jaarlijks auditplan bereikt geen volledige dekking
- Grondoorzakenanalyse is oppervlakkig — corrigerende maatregelen lossen symptomen op, niet oorzaken
- Leveranciersbeveiliging is nominaal — beleid aanwezig maar geen daadwerkelijke leveranciersbeoordelingen uitgevoerd
- Notulen directiebeoordelingen onvolledig — behandelen niet alle vereiste invoeronderwerpen
- Bewijs van bewustzijnstraining ontbreekt — training gegeven maar geen registraties bijgehouden
- Bedrijfscontinuïteit niet getest — gedocumenteerd BCP maar geen testregistraties
ISMS en complianceframeworks: hoe ze samenhangen
ISMS en NIS2
| NIS2 Artikel 21 vereiste | ISMS-component |
|---|---|
| Risicoanalyse en informatiebeveiligingsbeleid | ISMS-beleid en risicobeoordeling |
| Incidentafhandeling | Incidentbeheermaatregelen (A.5.24–A.5.28) |
| Bedrijfscontinuïteit en crisisbeheer | BCP-maatregelen (A.5.29–A.5.30) |
| Beveiliging van de toeleveringsketen | Leveranciersbeveiligingsmaatregelen (A.5.19–A.5.23) |
| Beveiliging bij verwerving en ontwikkeling | Veilige ontwikkelingsmaatregelen (A.8.25–A.8.34) |
| Beleid voor effectiviteitsbeoordeling | Interne audit en monitoring |
| Cyberhygiëne en training | Bewustzijnsmaatregelen (A.6.3) |
| Cryptografie | Cryptografische maatregelen (A.8.24) |
| HR-beveiliging, toegangscontrole, assetbeheer | Personen-, organisatorische en technische maatregelen |
| Multi-factor authenticatie | Authenticatiemaatregelen (A.8.5) |
ISMS en SOC 2
SOC 2 Trust Services Criteria sluiten nauw aan bij ISMS-componenten:
| SOC 2 criterium | ISMS-component |
|---|---|
| CC1–CC2 (Controleomgeving, Communicatie) | ISMS-governance, beleid, rollen |
| CC3 (Risicobeoordeling) | ISMS-risicobeheerproces |
| CC4–CC5 (Monitoring, Controleactiviteiten) | Interne audit, monitoringmaatregelen |
| CC6–CC8 (Toegang, Operatie, Wijzigingsbeheer) | Technische en organisatorische maatregelen |
| CC9 (Risicomitigatie) | Risicobehandelingsbeslissingen |
Organisaties die zowel ISO 27001 als SOC 2 nastreven, kunnen 70-80% van hun ISMS-bewijsmateriaal hergebruiken voor de SOC 2-audit.
Lopende jaarlijkse kosten
Na het eerste jaar dalen de ISMS-onderhoudskosten aanzienlijk:
- Jaarlijkse bewakingsaudit: 3.000–8.000 £
- Compliance-platformabonnement: 3.000–36.000 £/jaar afhankelijk van niveau
- Interne auditinspanning: 5-15 persoonsdagen
- Directiebeoordeling en updates: 3-5 persoonsdagen
- Hercertificeringsaudit (Jaar 3): vergelijkbaar met de initiële certificering
De VvT wordt strenger gecontroleerd dan de meesten verwachten
Auditors controleren niet alleen of u een VvT hebt. Ze testen of de uitsluitingen van maatregelen werkelijk gerechtvaardigd zijn. Als u "monitoringactiviteiten" (A.8.16) uitsluit met de bewering dat het niet van toepassing is, zullen auditors controleren of u überhaupt logging of anomaliedetectie hebt — en als dat zo is, is de uitsluiting niet te rechtvaardigen. Wees streng bij uitsluitingen; de standaardpositie zou moeten zijn om op te nemen en te implementeren, niet om uit te sluiten.
Hoe Orbiq uw ISMS ondersteunt
Orbiq is specifiek gebouwd voor Europese bedrijven die hun ISMS efficiënt willen beheren:
- Continue monitoring — Geautomatiseerde maatregelcontroles draaien continu voor uw ISMS en signaleren hiaten voordat auditors ze vinden.
- Bewijsbeheer — Geautomatiseerde bewijsverzameling tegelijk gekoppeld aan ISO 27001-maatregelen, NIS2-vereisten en SOC 2-criteria.
- AI-gestuurde vragenlijsten — Wanneer klanten beveiligingsvragenlijsten sturen, beantwoordt Orbiq ze automatisch vanuit uw ISMS-bewijsmateriaal.
- Trust Center — Publiceer uw ISMS-certificeringen en maatregelen als selfservicehub voor enterprise-kopers.
Ontdek het ISMS-platform van Orbiq →
Verdere lectuur
- ISO 27001-certificering — Volledige gids — Stapsgewijs certificeringsproces
- Wat is ISO 27001? — De norm in detail
- Kosten ISO 27001-certificering — Volledige kostenopbouw
- ISO 27001 is geen NIS2-naleving — Begrijp de kloof en overbrugde ze
Bronnen & Referenties
- Market Growth Reports — "Information Security Management System Market Size, Share | Industry Report [2035]", marketgrowthreports.com, 2026. Cijfers: marktomvang 76,6 miljard USD (2026), CAGR 4,9%, 65% van bedrijven met cyberaanvallen, 58% stijging van datalekken, 67% van beveiligingsleiders investeert in AI.
- HightTable — "ISO 27001 Certification Cost: Full Breakdown (2026)", hightable.io/iso-27001-certification-cost/. Cijfers: auditkosten 6.250–15.000 £, 20% kostenstijgingsprognose, consultantdagtarief 1.250 £.
- ElevateConsult — "ISO 27001 Audit Blueprint 2026: Exact Costs, Timelines & Audit Types", elevateconsult.com
- GRC Solutions — "5 Reasons ISO 27001 Implementations Fail", grcsolutions.io
- Qualio — "8 Ways to Fail an ISO Audit in 2026", qualio.com/blog/iso-audit
- ISMS.online — "Avoiding common ISO 27001 internal audit mistakes", isms.online
- ISO.org — "ISO/IEC 27001:2022 — Information security management systems", iso.org/standard/27001
- DataGuard — "Building ISMS framework: Steps and best practices for implementation", dataguard.com
Deze gids wordt onderhouden door het Orbiq-team. Laatste update: maart 2026.