ISO 27001
De norm waar uw klanten steeds naar vragen.
Voorbeeldgegevens
Geen wet verplicht een softwarebedrijf tot certificering volgens ISO 27001; de contractverlenging van een klant, een aanbesteding of een bank onder DORA doen dat wel, en het eerste cijfer om te kennen is wat de audit vraagt voor een bedrijf van uw omvang.
Voor 25 personen omvat de certificeringsaudit 7 auditordagen volgens ISO/IEC 27006-1:2024 bijlage C: € 8.400 tot € 14.000 voor de initiële audit en € 14.000 tot € 23.300 voor de driejaarscyclus, tegen de dagtarieven van geaccrediteerde instellingen in Europa, alleen auditkosten.
Open de kostencalculator met dit aantal personenIn één oogopslag
De driejarige certificaatcyclus
- Audit fase 1
- Audit fase 27 auditordagen, fase 1 en 2
- Certificaat
- Toezicht, jaar 1ongeveer 2,3 auditordagen
- Toezicht, jaar 2ongeveer 2,3 auditordagen
- Hercertificering, jaar 3
Auditordagen voor 25 personen binnen de scope, ISO/IEC 27006-1:2024 Annex C; een toezichtsaudit is ongeveer een derde van de eerste audit.
- RekenhulpWat certificering werkelijk kostCertificatie-instellingen publiceren geen prijzen, maar de auditdagen liggen vast in ISO/IEC 27006. U kunt dus uw eigen getal uitrekenen.
- GidsISO 27001 voor een bedrijf van 10 personenHet kan in deze omvang. De norm vraagt van 10 personen hetzelfde als van een groter bedrijf; de audit is korter.
- GidsWat ISO 27001-software omvat, en wat u de auditor apart betaaltDe softwareprijs koopt het managementsysteem. Het certificaat komt van een geaccrediteerde certificatie-instelling, die u zelf inschakelt en betaalt.
- GidsISO 27001-software zonder jaarcontractStandardOS wordt per maand gefactureerd. Er is geen minimale looptijd en geen opzegtermijn, en u zegt op in de app.
- GidsCompliance-software zonder verkoopgesprekDe prijs staat op de pagina, de proefperiode vraagt geen kaart, en u koopt en zegt op in de app. Niemand hoeft u te bellen.
- DocumentgeneratorHet toepassingsgebied schrijvenParagraaf 4.3 uit twaalf antwoorden: de zin die het certificaat zal dragen, de grenzen, de raakvlakken en afhankelijkheden, de uitsluitingen met hun motivering, en de overwogen kwesties.
- DocumentgeneratorHet informatiebeveiligingsbeleid schrijvenParagraaf 5.2 uit tien antwoorden: het doel, waarom beveiliging ertoe doet voor dit bedrijf, de toezeggingen, de doelstellingen, wie verantwoordelijk is, het onderwerpbeleid eronder, en hoe het wordt gecommuniceerd en beoordeeld.
- DocumentgeneratorHet risicoregister en risicobehandelplan schrijvenVijf antwoorden kiezen de startrisico's, elk gescoord en behandeld met de maatregelen van bijlage A; het register en het plan geschreven zoals de auditor ze leest, en de verklaring van toepasselijkheid volgt.
- DocumentgeneratorHet interne auditprogramma schrijvenParagraaf 9.2 uit vijf antwoorden: de criteria, hoeveel audits per jaar en wat elke audit dekt, wie auditeert en hoe de onafhankelijkheid wordt bewaakt, de methoden, het jaarschema over de secties van de norm en de thema's van bijlage A, en hoe de resultaten worden gerapporteerd.
- DocumentgeneratorDe notulen van de directiebeoordeling schrijvenParagraaf 9.3 als agenda: de zeven inputs in de volgorde van de paragraaf met wat over elk is gezegd, de vier prestatietrends met hun cijfers, de besluiten, de acties met eigenaar en datum, en de notulen die een auditor leest.
- DocumentgeneratorEen corrigerende-maatregelrecord schrijvenParagraaf 10.2 voor één bevinding: de afwijking, de correctie en haar gevolgen, de oorzaak, of zij elders bestaat, de maatregel met eigenaar en datum, de doeltreffendheidscontrole en de wijziging van het systeem, als het record dat een auditor leest.
- DocumentgeneratorHet incidentresponsplan schrijvenDe beheersmaatregelen van bijlage A over incidenten uit een paar antwoorden: wie leidt, hoe een gebeurtenis wordt gemeld, de drie ernstniveaus, de responsstappen, de AVG-, NIS2- en CRA-klokken die gelden, het te bewaren bewijs, de evaluatie achteraf, de oefeningen.
- DocumentgeneratorHet gebruiksbeleid schrijvenDe regels die iedereen ondertekent, uit een paar antwoorden: accounts en wachtwoorden, apparaten en eigen apparaten, thuiswerken, omgang met informatie, goedgekeurde diensten en AI-tools, communicatie, privégebruik, monitoring, melden, vertrek, overtredingen, bevestiging.
- DocumentgeneratorHet toegangsbeleid schrijvenWie toegang krijgt tot wat en hoe die wordt verleend, beschermd, beoordeeld en ingetrokken, uit een paar antwoorden: één identiteit per persoon, meerfactorauthenticatie, rollen, beheerdersaccounts, derden, de toegangsbeoordeling, vertrekkers, logging, uitzonderingen.
- DocumentgeneratorSchrijf het leveranciersbeleidHoe het bedrijf zijn leveranciers en clouddiensten kiest, contracteert, volgt en verlaat, uit een paar antwoorden: de kritieke leveranciers, wat vóór de handtekening wordt nagegaan, de zes contractbepalingen, waar gegevens mogen staan, de beoordeling, het afscheid.
- DocumentgeneratorSchrijf het bedrijfscontinuïteitsplanWat het bedrijf doet als het product, de gegevens, het kantoor of een leverancier wegvalt, uit een paar antwoorden: de gedekte diensten, de uren tot herstel, het aanvaarde gegevensverlies, wie een verstoring afkondigt, hoe de beveiliging intussen standhoudt, het herstel, de oefening.
- DocumentgeneratorDe verklaring van toepasselijkheid schrijvenDe 93 maatregelen van bijlage A met elk een status, een motivering voor elke uitsluiting, en de verklaring geschreven zoals de auditor haar leest, om te kopiëren of te downloaden.
- GidsAlle 93 beheersmaatregelen uit Bijlage AEén begrijpelijke regel per beheersmaatregel, gegroepeerd naar de vier thema's van de editie 2022.
- GidsWat wij afdekken, hoofdstuk voor hoofdstukElk hoofdstuk van 4 tot en met 10, waar de bijbehorende registraties in het product staan, en waar de grenzen van elke software liggen.
- ArtikelHoeveel auditdagen, per aantal medewerkersDe rekensom uit ISO/IEC 27006-1:2024 bijlage C die de auditprijs vastlegt voordat iemand u een offerte stuurt.
- ArtikelISO 27001 of SOC 2 in Europa3.405 Europese aanbestedingen noemen ISO 27001, 104 noemen SOC 2. De zoekopdracht is openbaar; voer hem zelf uit.
- ArtikelWaar publieke inkopers ISO 27001 noemen, per landPublieke inkopers in Nederland noemden ISO 27001 het afgelopen jaar in 46 aanbestedingen, 0,20% van alles wat zij publiceerden. Duitsland en Polen zijn goed voor zeven van de tien vermeldingen in Europa.
- ArtikelDe reikwijdteverklaring, de regel die een koper als eerste leestWaarom een certificaat dat het hoofdkantoor noemt een SaaS-product niet dekt, wat clausule 4.3 vereist, de acht voorwaarden die een financiële klant onder DORA toepast, en drie reikwijdteverklaringen voor een softwarebedrijf die slagen.
- ArtikelDe verklaring van toepasselijkheid, gelezen voor een softwarebedrijfDe vier kolommen van paragraaf 6.1.3 d), de uitsluitingen die een auditor aanvaardt en die hij nooit aanvaardt, en hoe de verklaring het risicobehandelplan volgt.
- ArtikelDe risicobeoordeling, gelezen voor een softwarebedrijfWat paragraaf 6.1.2 vraagt, een vijfpuntsmethode met aanvaardingsdrempel, de startrisico's van een softwarebedrijf, en waarom het behandelplan vóór de verklaring komt.
- ArtikelHet informatiebeveiligingsbeleid, gelezen voor een softwarebedrijfWat paragraaf 5.2 vraagt en niet vraagt, de negen secties van een beleid van twee pagina's, doelstellingen die een auditor kan meten, en de fouten die de eerste audit aanmerkt.
- ArtikelDe directiebeoordeling, gelezen als agendaDe zeven inputs van paragraaf 9.3 op volgorde, de vier trends met cijfers, de twee outputs, wat de notulen moeten tonen, en de fouten die van een vergadering een bevinding maken.
- ArtikelHet record van corrigerende maatregelen, gelezen als reeksWat paragraaf 10.2 na een afwijking vraagt, de zeven secties van een record dat een auditor aanvaardt, waarom correctie geen corrigerende maatregel is, en de fouten die een gesloten bevinding heropenen.
- ArtikelISO/IEC 27701:2025, de privacynorm bovenop 27001De zelfstandige editie regel voor regel gelezen: de 70 eisen die een draaiend ISO 27001-systeem half dekt, de 33 zuivere privacy-eisen, en de AVG-artikelen die elke maatregel bewijst.
- Gratis controleDORA voor een softwareleverancier: de contractclausules die uw bankklant stuurtNegen clausules in elk ICT-dienstencontract en zes extra voor een kritieke of belangrijke functie, gelezen uit artikel 30; het informatieregister waarin u staat; en voor welke clausules een ISO 27001-systeem het bewijs al oplevert.
Elk gratis sjabloon op één pagina
Wat het kost, en hoe u er komt
- ArtikelKosten van ISO 27001-certificering voor een bedrijf, per personeelsaantalDe auditordagen komen uit de tabel van ISO/IEC 27006-1:2024 bijlage C, dus de certificeringskosten volgen het personeelsaantal meer dan de branche.
- ArtikelImplementatiekosten van ISO 27001: het getal over drie jaar, niet de eerste factuurCertificering loopt in een cyclus van drie jaar met elk jaar een controleaudit.
- ArtikelGoedkoopste ISO 27001-certificering: offertes vergelijken zonder een waardeloos certificaat te kopenOffertes van certificerende instellingen verschillen, maar de auditordagen erachter liggen vast in ISO/IEC 27006-1:2024 bijlage C.
- ArtikelDe goedkoopste manier om ISO 27001 te halen, en het deel dat u niet goedkoper kunt makenHet grootste deel van een ISO 27001-budget zijn auditordagen, en die worden bepaald door een gepubliceerde tabel en niet door onderhandeling.
- ArtikelISO 27001-compliancechecklist, per clausuleEen checklist die de structuur van de norm zelf volgt: clausules 4 tot 10 en wat elke clausule van u vraagt te kunnen tonen, plus wat bijlage A toevoegt.
- ArtikelBeste ISO 27001-compliancesoftware: wat u moet vragen voordat u functies vergelijktAantallen integraties zijn makkelijk te vergelijken en beslissen zelden een audit.
- ArtikelISO 27001 zonder consultant: wat u op u neemt, in de volgorde waarin u het op u neemtBedrijven certificeren elk jaar zonder consultant.
- ArtikelHoe een bedrijf ISO 27001-certificering krijgt, in de volgorde waarin het echt gebeurtDe weg van niets naar een certificaat, wat er gebeurt bij fase 1 en fase 2, en de registraties waar een auditor op elk punt om vraagt.
- ArtikelHoe u een beveiligingsvragenlijst beantwoordt vanuit uw ISO 27001-ISMS: 30 vraagonderwerpen gemapt op de beheersmaatregelen van bijlage A die ze beantwoordenBijna elke beveiligingsvragenlijst die een Europees bedrijf ontvangt, vraagt naar dezelfde 30 onderwerpen.
Het ISO 27001-systeem en zijn bewijs, op één plek
Bijlage A als verklaring van toepasselijkheid, met het beleid, de risico's en de audits die haar aantonen, in één werkruimte.
Of samen met u gedaan: ISO 27001-gap-analyse, € 1.200, 10 werkdagen
Wat het van u vraagt
93 beheersmaatregelen in 4 thema's
Organisatorisch
37- A.5.1 Geschreven beveiligingsbeleid, goedgekeurd en actueel
- A.5.2 Wie waarvoor verantwoordelijk is in de beveiliging
- A.5.3 Gevoelige taken over meerdere mensen verdelen
en nog 34
Mensen
8- A.6.1 Antecedentenonderzoek vóór indiensttreding
- A.6.2 Beveiligingsplichten in de arbeidsvoorwaarden
- A.6.3 Mensen leren veilig te werken
en nog 5
Fysiek
14- A.7.1 De fysieke grens bepalen die u beschermt
- A.7.2 Beheersen wie door de deur komt
- A.7.3 De ruimten zelf beveiligen
en nog 11
Technologisch
34- A.8.1 Laptops, telefoons en desktops beveiligen
- A.8.2 Beheerderstoegang beperken
- A.8.3 Beperken wat ieder mens kan openen
en nog 31
Zie ook:Zo vindt u een geaccrediteerde certificatie-instellingWat compliancesoftware kostVoor adviseurs: elke klant in één accountArtikelenGratis tools