ISO 27001 komt bij een Vlaamse kmo zelden binnen als strategisch project. Meestal begint het met een klant die het contract wil verlengen op voorwaarde dat u gecertificeerd bent, en met een systeembeheerder die het er plots bij krijgt. Vervolgens leest die persoon over 93 beheersmaatregelen en concludeert dat dit werk is voor een organisatie met een eigen securityteam.
Dat beeld klopt niet. De norm schrijft geen enkele tool voor, en een aanzienlijk deel van wat ze verlangt, ligt in een gemiddelde kmo al ergens op een schijf. Wat de meeste gidsen niet vertellen: welke maatregelen realistisch zijn zonder securityteam, en hoe het geheel zich verhoudt tot de Belgische wetgeving.
In het kort
- De actuele versie is ISO/IEC 27001:2022, inclusief het amendement uit 2024 over klimaatverandering. Certificaten onder de norm van 2013 zijn sinds oktober 2025 ongeldig.
- De norm bestaat uit twee lagen: de verplichte managementsysteemclausules 4 tot en met 10, en Annex A als referentiecatalogus van 93 maatregelen.
- Die 93 maatregelen zijn geen verplichte afvinklijst. U selecteert op basis van uw risicoanalyse en motiveert uitsluitingen in de Verklaring van Toepasselijkheid.
- Voor het CCB levert een ISO 27001-certificaat een vermoeden van conformiteit met de Belgische NIS2-wet, mits de scope de gereguleerde diensten dekt en de Verklaring van Toepasselijkheid gemapt is op het juiste CyFun-niveau.
- De meest voorkomende reden waarom audits stuklopen, is niet techniek. Het is het ontbreken van bewijs: iets is wel gedaan, maar niet gedateerd en ondertekend vastgelegd.
Wat is het verschil tussen een ISMS en Annex A?
Het Information Security Management System is de besturingsstructuur uit clausules 4 tot en met 10 van de norm. Het regelt risicobeoordeling, directiebetrokkenheid en continue verbetering, en is verplicht voor elke organisatie die certificering nastreeft. Annex A is iets anders: een referentiecatalogus van 93 beheersmaatregelen waaruit u selecteert om de vastgestelde risico’s te verkleinen.
Het managementsysteem is de motor
De centrale clausules volgen de Plan-Do-Check-Act-cyclus. Clausule 4 dwingt u om uw context en belanghebbenden te analyseren en de reikwijdte van het systeem vast te leggen. Sinds het amendement van 2024 hoort daar ook de vraag bij of klimaatverandering uw beveiligingsrisico’s beïnvloedt, bijvoorbeeld door wateroverlast of stroomonderbrekingen die uw serverruimte of uw leveranciers raken.
Clausule 5 regelt leiderschap en het overkoepelende beleid. Clausule 6 legt de methodiek voor risicobeoordeling vast en formuleert doelstellingen. Clausule 7 gaat over middelen, competenties en documentbeheer. Clausule 8 stuurt de uitvoering aan. Clausule 9 schrijft de prestatie-evaluatie voor, met de interne audit en de managementbeoordeling. Clausule 10 borgt de verbetercyclus.
Annex A staat in dienst van dat systeem. Waar clausule 6 voorschrijft dat risico’s behandeld moeten worden, functioneert de bijlage als een genormaliseerde menukaart waarmee u controleert of u geen categorie risico over het hoofd hebt gezien. De praktische invulling per maatregel staat niet in de norm zelf maar in de begeleidende praktijkrichtlijn ISO/IEC 27002. Hoe u die risicoanalyse methodisch opzet, staat in ons artikel over risicoanalyse.
Welke van de 93 maatregelen zijn haalbaar zonder securityteam?
Dit is de vraag die geen enkele hooggeplaatste pagina beantwoordt. De 93 maatregelen zijn sinds de herziening van 2022 verdeeld over vier thema’s in plaats van de vroegere veertien hoofdstukken. Die vier verschillen sterk in wat ze van een kmo vragen.
| Thema | Aantal | Wat het omvat | Voorbeeld bij 30 tot 150 werknemers | Inspanning |
|---|---|---|---|---|
| Organisatorisch (A.5) | 37 | Beleidskaders, rollen, beheer van bedrijfsmiddelen, leveranciersrelaties, incidentbehandeling, continuïteit | Een beleid voor informatieclassificatie vastleggen, beveiligingseisen opnemen in contracten met ICT-dienstverleners, een leveranciersregister bijhouden | Gemiddeld tot hoog: vraagt structureel overleg en procesafstemming |
| Personeel (A.6) | 8 | Beveiliging vóór indiensttreding, tijdens het dienstverband en bij vertrek of functiewijziging | Geheimhouding in het arbeidscontract, terugkerende phishingsimulaties, een strikte checklist voor het intrekken van accounts bij uitdiensttreding | Laag tot gemiddeld: past grotendeels in de bestaande HR-cyclus |
| Fysiek (A.7) | 14 | Beveiligingszones, kantoorbeveiliging, apparatuur, clean desk, veilige vernietiging van dragers | Badgetoegang tot kantoorruimten, patchkasten op slot, een beveiligde container voor vertrouwelijk papier en oude schijven | Laag: moderne bedrijfspanden hebben dit vaak al |
| Technologisch (A.8) | 34 | Toegangsbeveiliging, authenticatie, configuratiebeheer, cryptografie, back-ups, logging, kwetsbaarhedenbeheer | MFA consequent afdwingen, laptops versleutelen, beheerdersrechten scheiden, periodiek gegevensherstel testen | Hoog: vraagt operationele discipline en onafhankelijke verificatie |
Het patroon is duidelijk. De personeelsmaatregelen en de fysieke maatregelen, samen 22 van de 93, kost u nauwelijks moeite als u ze slim aan bestaande processen koppelt. De organisatorische laag vraagt tijd en overleg, maar geen specialistische kennis. Het zwaartepunt ligt bij de technologische maatregelen, en precies daar zit ook de reden waarom externe hulp zinvol is.
Een ervaren implementeerder verwoordde het treffend in een vakforum: auditoren waarderen transparantie meer dan doen alsof u een team van tien hebt, en de meeste bedrijven dekken al veertig tot zestig procent af via gewone goede praktijken. Dat klopt met wat wij in nulmetingen zien.
De Belgische context die de meeste gidsen overslaan
Zoekt u online naar dit onderwerp, dan komen de meeste resultaten uit Nederland. Die pagina’s beschrijven de norm correct, maar laten twee dingen weg die voor een Vlaams bedrijf financieel en juridisch uitmaken.
Het verband met de Belgische NIS2-wet
De wet van 26 april 2024 is in werking sinds oktober 2024. Het Centrum voor Cybersecurity België treedt op als toezichthouder en ontwikkelde het CyberFundamentals-kader als nationaal toetsingsinstrument. Het CCB kent een vermoeden van conformiteit toe aan organisaties met een ISO 27001-certificaat, maar onder twee voorwaarden.
Ten eerste moet de scope van uw gecertificeerde beheersysteem alle netwerk- en informatiesystemen dekken die uw gereguleerde dienstverlening ondersteunen. Een certificaat voor één afdeling of één applicatie volstaat niet. Ten tweede legt u uw Verklaring van Toepasselijkheid voor, waarbij u via de officiële concordantietabellen aantoont dat uw maatregelen aansluiten op het vereiste CyFun-niveau.
De praktische dekking ligt rond de zeventig tot tachtig procent. Wat overblijft, zijn juist de Belgisch-specifieke verplichtingen: de meldtermijnen van 24 en 72 uur aan het nationale CSIRT, en de opleidingsplicht voor het bestuursorgaan. ISO 27001 kent die niet. De afweging tussen beide kaders staat uitgewerkt in het artikel over de kaderkeuze, en de vraag of u beide nodig hebt in deze vergelijking.
Wat de Vlaamse overheid terugbetaalt
Sinds 1 februari 2026 is de adviespijler van de kmo-portefeuille voor vrijwel alle domeinen afgeschaft, met cybersecurity als enige uitzondering. Kleine ondernemingen krijgen 45 procent tussenkomst op extern security- en complianceadvies, middelgrote 35 procent, met een plafond van 7.500 euro per kalenderjaar. Opleidingen rond informatiebeveiliging blijven gesubsidieerd aan respectievelijk 30 en 20 procent.
Voor grotere trajecten bestaan de VLAIO Cybersecurity-verbetertrajecten, die de helft van de advies- en begeleidingskosten dekken bij een erkende dienstverlener, voor projecten tussen 7.100 en 39.900 euro excl. btw.
De Verklaring van Toepasselijkheid: het scharnierdocument
Elk certificeringstraject draait om dit document. Het overbrugt de kloof tussen uw risicobeoordeling en uw feitelijke beveiligingspraktijk. Voor elk van de 93 maatregelen legt u vast of ze binnen uw scope van toepassing is, waarom u ze insluit, wat de implementatiestatus is, en waarom u ze eventueel uitsluit.
Uitsluiten mag. Dat is precies waar het misverstand zit dat kmo’s onnodig geld kost. Maar een uitsluiting moet logisch voortvloeien uit uw context, en de auditor legt de verklaring naast uw risicoregister.
Een voorbeeld van een uitsluiting die standhoudt: een adviesbureau dat uitsluitend commerciële SaaS-toepassingen gebruikt, zelf geen software ontwikkelt en dat ook niet uitbesteedt, sluit de maatregelen rond veilige softwareontwikkeling uit. De onderbouwing luidt dan dat er binnen de scope geen software ontworpen of geprogrammeerd wordt, en dat de risico’s rond applicatiekwetsbaarheden worden opgevangen via het leveranciersbeoordelingsproces.
Een uitsluiting die meteen sneuvelt: toegangscontrole of incidentbeheer schrappen omdat het bedrijf “te klein is voor een formeel proces”. Elke organisatie die gegevens verwerkt, loopt risico op ongeautoriseerde toegang en incidenten. Financiële of personele beperkingen zijn geen geldige motivering.
Welke documenten heeft u al liggen?
De vrees dat de norm u opzadelt met een stapel nieuwe documenten berust op een misverstand. De norm vraagt aantoonbaar werkende processen, geen handboeken. Het merendeel bestaat in een gemiddelde kmo al, onder een andere naam.
| Vereist element | Clausule of maatregel | Waar het meestal al ligt |
|---|---|---|
| Toepassingsgebied van het systeem | Clausule 4.3 | Kwaliteitshandboek, organogram of het GDPR-verwerkingsregister |
| Informatiebeveiligingsbeleid en doelstellingen | Clausule 5.2 en 6.2 | Huishoudelijk reglement, IT-gebruikersovereenkomst of bedrijfscode |
| Methode voor risicobeoordeling | Clausule 6.1.2 | Risico-evaluaties van de preventieadviseur of bestaande GDPR-effectbeoordelingen |
| Risicobehandelplan | Clausule 6.1.3 en 8.3 | Jaarlijkse IT-begroting, projectroadmap of actiepuntenlijst van de directie |
| Bewijs van competenties | Clausule 7.2 | HR-dossiers, functieprofielen, opleidingsattesten, evaluatieverslagen |
| Overzicht van bedrijfsmiddelen | Annex A 5.9 | Afschrijvingstabellen van de boekhouding, licentiebeheer of het beheersysteem voor mobiele toestellen |
| Beleid voor acceptabel gebruik | Annex A 5.10 | Arbeidsreglement of de IT-clausules in de arbeidsovereenkomst |
| Procedures voor incidentbehandeling | Annex A 5.24 tot 5.28 | Het GDPR-datalekkenregister en de escalatieprocedures van de helpdesk |
| Leveranciersbeveiligingsbeleid | Annex A 5.19 tot 5.22 | Bestaande verwerkersovereenkomsten en servicecontracten met IT-partners |
| Directiebeoordeling | Clausule 9.3 | Notulen van de raad van bestuur of het periodieke directieoverleg |
| Registratie van incidenten en verbeteringen | Clausule 10.1 | Het ticketingsysteem of het interne klachtenregister |
Wat u meestal wel opnieuw moet opmaken, is de Verklaring van Toepasselijkheid zelf en het interne auditprogramma. Wilt u eerst weten hoe groot de kloof is, dan is een gestructureerde nulmeting het snelste startpunt. Ons artikel over de gap-analyse beschrijft hoe die verloopt.
Zelf doen of extern laten valideren?
Drie dingen kan alleen u. Uw bedrijfscontext, uw strategische doelen en uw belanghebbenden in kaart brengen, want een externe partij mist de voeling met wat er in uw bedrijf werkelijk toe doet. Het operationele personeels- en middelenbeleid opstellen, van clean desk tot regels voor mobiel werken. En de dagelijkse registratie van wijzigingen en eerstelijnsincidenten in uw eigen helpdeskflow.
Drie dingen kan u niet zelf, en dat is geen commerciële redenering. De opzet van de risicoanalysemethodiek vraagt ervaring, anders wordt ze te omslachtig of faalt ze bij de audit. De interne audit onder clausule 9.2 moet objectief en onpartijdig zijn: wie de systemen beheert, kan zijn eigen configuraties niet beoordelen zonder een integriteitsconflict. En het structurele beheer van technische kwetsbaarheden vraagt periodieke onafhankelijke scans en penetratietesten om aan te tonen dat systemen bestand zijn tegen reële aanvalspaden.
Voor personeelsbewustzijn geldt iets vergelijkbaars: de norm verwacht meetbare gedragsverandering, en die toont u aan met terugkerende phishingsimulaties en trainingsmodules waarvan de resultaten gerapporteerd worden.
Waar audits in de praktijk op stuklopen
De meest voorkomende reden voor een negatieve bevinding is niet technisch. Het is het ontbreken van bewijs. Een periodieke toegangsrevisie die wel gebeurde maar niet gedateerd en ondertekend werd vastgelegd, telt voor de auditor niet mee. Zoals een implementeerder het samenvatte: als u de controle deed maar niet documenteerde met een naam en een datum, is ze niet gebeurd.
Vier andere valkuilen komen structureel terug. Het systeem wordt gereduceerd tot een IT-zaak, waardoor de directie ontbreekt bij de verplichte managementbeoordeling, wat onvermijdelijk tot een zware afwijking leidt. Templates van het internet worden overgenomen zonder dat de beschreven procedures in de praktijk gevolgd worden, en steekproeven leggen dat meteen bloot. Alle 93 maatregelen worden ingevoerd omdat men denkt dat het moet, met kosten voor maatregelen die niet bij het risicoprofiel passen. En een interne audit zonder één enkele geconstateerde afwijking wekt argwaan, want continue verbetering veronderstelt dat u af en toe iets vindt.
Drie bezwaren die u terecht hebt
“Het is een papieren tijger die niets veiliger maakt.” Een bedrijf kan gecertificeerd zijn en toch platliggen door ransomware. De norm toetst of u gedocumenteerde procedures hebt en die volgt, niet of uw instellingen aanvallers technisch tegenhouden. Dat klopt. Het verschil zit in de implementatiekeuze: een systeem dat u opzet om een certificaat aan de muur te hangen, levert dode documenten op. Een pragmatisch ingericht systeem forceert de discipline die er anders bij inschiet, zoals het periodiek testen van back-ups en het voorkomen dat alle kennis bij één beheerder zit.
“Auditors vinken formaliteiten af en snappen de techniek niet.” Ook waar, maar het is een verkeerde verwachting. Een certificatie-audit is een managementsysteemaudit, geen penetratietest of code review. De auditor toetst of u een werkend controlesysteem hebt voor uw eigen risico’s. De technische robuustheid moet u zelf aantonen via onafhankelijke verificaties en kwetsbaarhedentesten. Wie verwacht dat de auditor lekken opspoort, verwart twee soorten onderzoek.
“Te zwaar voor een bedrijf van vijftig man.” Dat berust op de aanname dat u dezelfde procedures moet invoeren als een multinational. De norm schrijft geen tools voor. Een risicoregister in een overzichtelijke spreadsheet voldoet net zo goed als een duur platform. Wilt u enkel aan de Belgische wetgeving voldoen, dan is het CyFun-kader op Basic-niveau vaak een korter pad. Levert u aan grote of buitenlandse klanten, dan is ISO 27001 in aanbestedingen en leveranciersbeoordelingen een harde voorwaarde en verdient het systeem zich terug in behouden omzet.
Waar begint u?
Met weten waar u staat. In de meeste kmo’s dekt de bestaande praktijk al een aanzienlijk deel van de norm af, en zit de kloof vooral in registratie en in de technologische laag. Een nulmeting maakt dat binnen enkele dagen zichtbaar en voorkomt dat u investeert in maatregelen die uw risicoprofiel niet nodig heeft.
Cyberplan voert die nulmeting uit, verzorgt de onafhankelijke interne audit en de technische verificatie, en begeleidt het traject richting certificering. Een eerste inschatting van uw situatie krijgt u via onze ISO 27001-begeleiding.
Veelgestelde vragen
Welke normversie is vandaag van kracht?
ISO/IEC 27001:2022, inclusief het amendement uit 2024 waarin klimaatverandering is opgenomen. Certificaten onder de versie van 2013 zijn sinds oktober 2025 definitief ongeldig.
Moet een kmo alle 93 beheersmaatregelen toepassen?
Nee. U implementeert de maatregelen die nodig zijn om uw specifieke risico’s te beheersen of om te voldoen aan contracten en wetgeving. Niet-relevante maatregelen mag u uitsluiten, mits u dat motiveert in de Verklaring van Toepasselijkheid.
Wat is het verschil tussen ISO 27001 en ISO 27002?
ISO 27001 bevat de certificeerbare eisen voor het managementsysteem en de referentielijst van Annex A. ISO 27002 is een niet-certificeerbare handleiding met gedetailleerde implementatierichtlijnen per maatregel.
Mag onze interne IT-manager de interne audit uitvoeren?
Nee. Clausule 9.2 vereist objectiviteit en onpartijdigheid. Wie de technische omgeving beheert, kan zijn eigen configuraties niet controleren. Daarvoor schakelt u een onafhankelijke collega of een externe auditor in.
Wat houden een stage 1- en stage 2-audit in?
Stage 1 is een documentaire audit waarin de auditor nagaat of het ontwerp van uw systeem, uw beleid, uw risicoanalyse en uw Verklaring van Toepasselijkheid compleet zijn. Stage 2 is de praktijktoetsing ter plaatse, waarbij hij vaststelt of de maatregelen werkelijk functioneren.
Hoe lang blijft een certificaat geldig?
Drie jaar. Jaarlijks vindt een verplichte toezichtsaudit plaats om te beoordelen of het systeem actief blijft en of er continu verbeterd wordt.
Is gespecialiseerde software verplicht?
Nee. De norm legt geen hulpmiddelen op. Een kmo kan haar systeem succesvol opzetten en onderhouden met gestructureerde mappen, tekstverwerkers en spreadsheets.
Dekt ISO 27001 automatisch de Belgische NIS2-verplichtingen?
Het biedt een sterke basis, in de praktijk zeventig tot tachtig procent, maar geen automatische vrijstelling. Uw scope moet de gereguleerde activiteiten dekken en uw Verklaring van Toepasselijkheid moet gemapt zijn op het toepasselijke CyFun-niveau van het CCB.
Wat is de meest voorkomende reden waarom een audit faalt?
Het ontbreken van registraties. Veel maatregelen worden operationeel wel uitgevoerd, maar als een periodieke controle niet aantoonbaar en gedateerd is vastgelegd, telt ze voor de auditor niet mee.
