ISMS en ISO 27001-audit: wat de auditor controleert, stap voor stap

Een ISMS ISO 27001-audit certificeert niet uw firewall, uw beleid of een losse lijst beveiligingsmaatregelen. Hij certificeert uw ISMS (managementsysteem voor informatiebeveiliging): het systeem dat bepaalt welke informatierisico’s u behandelt, hoe u dat doet en hoe u aantoont dat die bescherming blijft werken. De meeste vertraagde certificeringen ontstaan doordat het ISMS als documentenpakket wordt behandeld in plaats van als een draaiend systeem. Deze gids legt uit wat een ISMS is, wat de auditor precies controleert in fase 1 en fase 2, welke documenten verplicht zijn, welke non-conformiteiten het vaakst voorkomen en waarom de ISO 27001-audit in België evenzeer een NIS2-mijlpaal als een certificering is geworden.

Wat is een ISMS volgens ISO 27001?

Een ISMS (managementsysteem voor informatiebeveiliging, SMSI in het Frans) is het geheel van beleid, processen, rollen, risicobeslissingen en registraties waarmee een organisatie de vertrouwelijkheid, integriteit en beschikbaarheid van haar informatie beschermt en die bescherming voortdurend verbetert. ISO/IEC 27001 legt de eisen vast om een ISMS op te zetten, te implementeren, te onderhouden en continu te verbeteren. Het is de enige norm uit de ISO 27000-familie waarvoor u gecertificeerd kunt worden; ISO/IEC 27002 is een implementatiegids voor de maatregelen, geen certificeerbare norm.

Dat onderscheid is cruciaal voor de audit. De Annex A-maatregelen (toegangsbeheer, back-ups, logging, leveranciersbeveiliging…) zijn het wat. Het ISMS is het hoe u beslist, uitvoert, meet en verbetert. Een organisatie kan uitstekende technische maatregelen hebben en toch niet slagen, omdat niemand kan aantonen waarom die maatregelen gekozen werden, wie het restrisico aanvaardde of wie controleert of ze werken. ISO 27001 deelt de geharmoniseerde structuur van ISO 9001, ISO 22301 en ISO/IEC 42001 (AI-managementsystemen), waardoor een ISMS ook een stevige basis is voor AI-governance.

De structuur van een ISMS: clausules 4 tot 10

Wat controleert een ISO 27001-audit precies?

Een ISO 27001-audit controleert twee lagen: het managementsysteem (clausules 4 tot 10, allemaal verplicht, geen uitsluiting mogelijk) en de Annex A-maatregelen die u in uw verklaring van toepasselijkheid als van toepassing hebt verklaard. Annex A van de versie 2022 telt 93 maatregelen in vier thema’s: organisatorisch (37, A.5), mensgericht (8, A.6), fysiek (14, A.7) en technologisch (34, A.8).

De verklaring van toepasselijkheid (VvT, of SoA), vereist door clausule 6.1.3 d), is het scharnierpunt tussen beide. Ze somt elke Annex A-maatregel op, vermeldt of die is opgenomen, waarom, of hij is geïmplementeerd en waarom een uitgesloten maatregel is uitgesloten. Uitsluitingen zijn toegestaan, maar alleen als uw risicoanalyse, wettelijke verplichtingen of bedrijfscontext ze rechtvaardigen.

In de praktijk volgt een goede auditor een auditspoor: risico → behandelbeslissing → maatregel in de VvT → bewijs in de werking. Hij kiest een risico uit uw register (bijvoorbeeld ransomware op het ERP), controleert of de risico-eigenaar de behandeling goedkeurde, zoekt de bijbehorende maatregelen in de VvT (back-ups A.8.13, bescherming tegen malware A.8.7, beheer van technische kwetsbaarheden A.8.8) en vraagt dan bewijs dat die werken: een rapport van een hersteltest, de EDR-console, de laatste patchcyclus. Ontbreekt er een schakel, dan volgt een bevinding.

Verplichte documenten voor een ISO 27001-audit

ISO 27001 vereist uitdrukkelijk de onderstaande gedocumenteerde informatie. Gebruik de derde kolom als zelftest: het is de vraag die de auditor zich bij elk document impliciet stelt.

De Annex A-maatregelen die u kiest, brengen hun eigen registraties mee: inventaris van bedrijfsmiddelen (A.5.9), regels voor toegangsbeveiliging (A.5.15), leveranciersovereenkomsten (A.5.20), incidentbeheer (A.5.24 tot A.5.28), het register van wettelijke en regelgevende eisen (A.5.31), gedocumenteerde bedieningsprocedures (A.5.37), logs (A.8.15) enzovoort. Houd documenten kort en beheerst (clausule 7.5: met versie, goedgekeurd, beschikbaar): een auditor hecht veel meer waarde aan bewijs dat een proces draait dan aan een dik beleidsdocument.

De ISO 27001-certificatiecyclus, stap voor stap

ISO 27001-certificering volgt een cyclus van drie jaar onder leiding van een onafhankelijke certificatie-instelling: een initiële audit in twee fases, toezichtsaudits in het eerste en tweede jaar en een hercertificatieaudit in het derde jaar. Het ISMS moet zijn eerste interne audit en managementreview al hebben opgeleverd voordat de externe audit start.

Wie auditeert u? Een certificatie-instelling die geaccrediteerd is volgens ISO/IEC 17021-1 en ISO/IEC 27006-1, die ook het aantal auditdagen bepaalt op basis van het aantal medewerkers in de scope en de complexiteit van het ISMS. Voor ISO 27001-certificering in België is BELAC de nationale accreditatie-instelling; certificaten onder andere door het IAF erkende accreditatie-instellingen (RvA, DAkkS, COFRAC…) worden eveneens erkend, en het CCB publiceert een lijst van conformiteitsbeoordelingsinstanties voor NIS2. De onafhankelijkheid is strikt: de consultant die uw ISMS mee opbouwde, kan niet uw certificatieauditor zijn, en de certificatie-instelling mag geen advies geven. Daarom bereidt ICTLAB organisaties voor en begeleidt ze, maar certificeert ze nooit.

Fase 1 vs fase 2: wat de auditor controleert

Fase 1 beantwoordt de vraag „is dit ISMS klaar om geaudit te worden?” en fase 2 de vraag „werkt dit ISMS?”. Punten uit fase 1 zijn aandachtspunten om vóór fase 2 op te lossen; staan ze in fase 2 nog open, dan worden het meestal non-conformiteiten.

Non-conformiteiten: major, minor en verbeterpunten

Auditors delen hun bevindingen in drie niveaus in. Hoe u reageert, via clausule 10.2, telt even zwaar als de bevinding zelf.

• Major non-conformiteit: aan een eis wordt helemaal niet voldaan, of een tekortkoming trekt de resultaten van het ISMS in twijfel (geen interne audit, geen managementreview, nooit een risicoanalyse uitgevoerd). Ze blokkeert de certificering tot de certificatie-instelling uw correctie en corrigerende maatregel aanvaardt.
• Minor non-conformiteit: een geïsoleerde tekortkoming (één vertrokken medewerker wiens account te laat werd uitgeschakeld, één leverancier zonder beveiligingsbeoordeling). Een aanvaard plan van corrigerende maatregelen volstaat; het wordt bij de volgende audit gecontroleerd. Meerdere minors op dezelfde eis kunnen tot een major worden opgeschaald.
• Observatie / verbeterpunt: geen eis geschonden, maar een zwakte die beter wordt aangepakt. Wie ze negeert, kweekt de minor van volgend jaar.

Een degelijk antwoord heeft vier onderdelen: correctie (het geval oplossen), grondoorzaakanalyse (waarom liet het proces dit toe?), corrigerende maatregel (het proces aanpassen zodat het niet opnieuw gebeurt) en een doeltreffendheidscontrole. „We hebben de medewerker opnieuw gesensibiliseerd” wordt zelden aanvaard als grondoorzaak.

De 10 meest voorkomende ISMS-auditbevindingen

Dit zijn de bevindingen die het vaakst terugkomen bij ISO 27001-audits, met de betrokken clausule of maatregel. Elke bevinding is goedkoper op te lossen vóór fase 1 dan na fase 2.

1. Een scope die niet overeenkomt met de realiteit (4.3): cloudplatformen, uitbestede IT of een tweede vestiging stilzwijgend weggelaten.
2. Een niet-herhaalbare risicoanalyse (6.1.2): geen acceptatiecriteria, geen gedefinieerde schalen, resultaten die afhangen van wie de spreadsheet invult.
3. Restrisico nooit aanvaard (6.1.3 f): risico-eigenaars niet benoemd of zonder goedkeuring.
4. Een gekopieerde VvT (6.1.3 d): elke maatregel „geïmplementeerd”, zonder motivering of link met risico’s.
5. Doelstellingen die niet meetbaar zijn (6.2, 9.1): „de beveiliging verbeteren” in plaats van een gedateerde, toegewezen indicator.
6. Een interne audit die niet onpartijdig of volledig is (9.2): de ISMS-verantwoordelijke die zijn eigen werk auditeert, of de helft van de scope nooit geaudit.
7. Een managementreview zonder de vereiste input (9.3): geen bespreking van auditresultaten, risicostatus of doelstellingen; directie afwezig.
8. Leveranciers- en cloudbeveiliging niet aangetoond (A.5.19 tot A.5.23): geen beoordeling van belangrijke SaaS-leveranciers, geen beveiligingsclausules in contracten.
9. Tekortkomingen in toegangsreviews en uitstroomproces (A.5.15 tot A.5.18): reviews gepland maar niet uitgevoerd, actieve accounts van ex-medewerkers.
10. Kwetsbaarheids- en incidentprocessen enkel op papier (A.8.8, A.5.24 tot A.5.28): scans zonder opvolging van herstel, een incidentplan dat nooit getest werd. Zie onze gids kwetsbaarheidsscan vs pentest en ons sjabloon voor een incidentresponsplan.

ISMS-audits in België: NIS2, CCB, DORA en AVG

In België is een ISO 27001-audit niet langer alleen een commercieel certificaat: het is een van de erkende manieren om NIS2-conformiteit aan te tonen en een sterke bewijsbasis voor DORA en de AVG. De gekozen scope moet dus het regelgevende doel dienen, niet alleen het verkoopargument.

NIS2: ISO 27001 als conformiteitsroute bij het CCB

Volgens de Belgische NIS2-wet van 26 april 2024, van toepassing sinds 18 oktober 2024, moeten essentiële entiteiten een regelmatige conformiteitsbeoordeling ondergaan. Het Centrum voor Cybersecurity België (CCB) erkent twee routes: certificering volgens CyberFundamentals (CyFun®) of ISO/IEC 27001-certificering. Voor de ISO-route verwacht het CCB dat de scope de organisatie en haar NIS2-relevante diensten dekt; omgevingen kunnen enkel worden uitgesloten als de IT/OT-scheiding aantoonbaar en gedocumenteerd is, met bewijs dat het uitgesloten deel geen impact heeft op de risico’s binnen de scope. De eerste mijlpaal (18 april 2026, toen entiteiten op de ISO-route hun scope, VvT en laatste interne audit aan het CCB moesten bezorgen) ligt achter ons; de volgende is 18 april 2027. Bevestig uw exacte verplichtingen bij het CCB. Belangrijke entiteiten zijn niet verplicht zich te laten certificeren, maar kunnen dat vrijwillig doen om een vermoeden van conformiteit te genieten. Voor de volledige mapping leest u NIS2 en ISO 27001 in België.

DORA: het ISMS is de ruggengraat, niet de eindstreep

Voor banken, verzekeraars en andere financiële entiteiten is ISO 27001 geen DORA-conformiteitscertificaat. Een werkend ISMS levert wel het grootste deel van de mechanismen die het ICT-risicobeheerkader (DORA, art. 5 tot 16) nodig heeft: governance, risicoanalyse, inventaris van bedrijfsmiddelen, incidentbeheer. Daarna voegt u de DORA-specifieke lagen toe, zoals het register van informatie, de classificatie van incidenten en weerbaarheidstests. Zie onze gids DORA voor Belgische financiële instellingen.

AVG: bewijs van „passende maatregelen”

Artikel 32 van de AVG eist „passende technische en organisatorische maatregelen” zonder te zeggen welke. Een ISMS dat persoonsgegevens opneemt in zijn risicoanalyse, maakt van die vage plicht gedocumenteerde en geaudite beslissingen, precies wat de Gegevensbeschermingsautoriteit vraagt na een datalek. Meer in AVG vs NIS2.

Audit-ready worden: een plan van 90 dagen vóór fase 1

Dit plan veronderstelt dat uw basisbeleid en technische maatregelen al bestaan. Vanaf nul moet een kmo rekenen op meerdere maanden (vaak zes tot twaalf) vóór fase 1, te beginnen met een ISO 27001 gap-analyse.

1. Week 1 tot 3, kaderen: de scope bevestigen in functie van het regelgevende doel (NIS2-diensten, DORA-functies), belanghebbenden en wettelijke eisen oplijsten, de risicomethode en acceptatiecriteria vastleggen.
2. Week 3 tot 6, beslissen: de risicoanalyse uitvoeren, het risicobehandelplan opstellen, de VvT met echte motiveringen schrijven, het restrisico laten aanvaarden door de risico-eigenaars.
3. Week 6 tot 10, uitvoeren en registreren: toegangsreviews, bewustmakingssessies, leveranciersbeoordelingen, kwetsbaarheidsherstel en een incidentoefening uitvoeren, en het bewijs bewaren.
4. Week 10 tot 12, evalueren: een onpartijdige interne audit over de volledige scope uitvoeren, de managementreview houden, corrigerende maatregelen openen en dan fase 1 inplannen.

Hoe ICTLAB u helpt slagen voor uw ISMS-audit

De ISO 27001-praktijk van ICTLAB wordt geleid door Caner Korkut, ISO 27001 Lead Implementer. We vertrekken vanuit de regelgeving: een scope die standhoudt voor NIS2 en DORA, een risicomethode die uw team kan herhalen en bewijs waarop een auditor steekproeven kan nemen. Concreet leveren we de gap-analyse, het ISMS-ontwerp, de risicoanalyse en de VvT, de technische maatregelen (van penetratietesten tot cloudhardening), een proefaudit van fase 1, en begeleiding tijdens de certificatieaudit en de plannen van corrigerende maatregelen. Bekijk onze begeleiding bij ISO 27001-certificering en security-audits, of plan een gereedheidsgesprek.

ISMS en ISO 27001-audit: veelgestelde vragen

Algemene informatie op basis van ISO/IEC 27001:2022 (incl. Amendement 1:2024), ISO/IEC 17021-1, ISO/IEC 27006-1 en het Belgische NIS2-kader zoals gepubliceerd door het CCB; geen juridisch advies. Certificatie-instellingen en het CCB kunnen specifieke regels en termijnen hanteren: controleer ze voor uw situatie.