Frameworks · ISO/IEC 27001 en 27002

ISO 27001: het certificaat vraagt om werkend bewijs.

ISO/IEC 27001 beschrijft de eisen aan een managementsysteem voor informatiebeveiliging (ISMS) en is de norm waarop je je laat certificeren; ISO/IEC 27002 is de bijbehorende catalogus met beheersmaatregelen. Toepasbaar op elke organisatie, ongeacht sector of omvang. Kern: de maatregelen uit de verklaring van toepasselijkheid niet alleen kiezen, maar ook aantonen dat ze op je systemen echt aanstaan.

Plan een demo → Doe de ISO 27001-bewijscheck

StatusISO/IEC 27002:2022 gepubliceerd in februari 2022, ISO/IEC 27001:2022 op 25 oktober 2022 (Europese en Nederlandse uitgave: NEN-EN-ISO/IEC 27001:2023); de overgangstermijn voor certificaten op de 2013-versie liep af op 31 oktober 2025

Voor wieorganisaties van elk type en elke omvang, publiek en privaat; in Nederland sinds de Cyberbeveiligingswet verplicht voor essentiële entiteiten in de sector overheid (waterschappen uitgezonderd) via de Cyberbeveiligingsregeling sector overheid, naast BIO2

Toezichtgeen toezichthouder op de norm zelf: certificering gebeurt door certificatie-instellingen die door een nationale accreditatie-instantie zijn geaccrediteerd, in Nederland de Raad voor Accreditatie; op ISO 27002 zelf kun je niet certificeren

Verhoudingde gemeenschappelijke basis: BIO2 en NEN 7510 volgen de structuur van ISO 27001 en 27002 en vullen die aan, NIS2/Cbw en DORA vragen om maatregelen die grotendeels met dezelfde controles zijn af te dekken, en CIS Benchmarks vullen de technologische controles in tot op instellingsniveau

Wat het vraagt

Drie pijlers, één rode draad: aantoonbaarheid.

RISICO Risico's beoordelen en behandelen

Je bepaalt zelf welke beheersmaatregelen nodig zijn op basis van een risicobeoordeling en legt die keuze vast in de verklaring van toepasselijkheid. Bijlage A van ISO 27001 verwijst daarvoor naar de maatregelen van ISO 27002.

MAATREGELEN Maatregelen in vier thema's

ISO 27002:2022 ordent de maatregelen in vier hoofdstukken: organisatorisch (5), mensen (6), fysiek (7) en technologisch (8). Het technologische hoofdstuk is wat je op servers, werkplekken en accounts kunt meten.

VERBETERING Auditen en bijsturen

Interne audits en de directiebeoordeling vragen om gedocumenteerde informatie als bewijs dat het ISMS werkt. Een gehardend systeem dat je vorig jaar hebt gemeten, moet je dit jaar opnieuw kunnen laten zien.

Zo maak je het aantoonbaar

Gemeten, niet beweerd.

Easy2audit meet je systemen en accounts tegen de technische controles van ISO/IEC 27002:2022, met de nadruk op de technologische beheersmaatregelen van hoofdstuk 8 en de technisch meetbare organisatorische maatregelen zoals 5.15 Access Control, en scoort dezelfde meting ook tegen de andere kaders.

Alle beveiligingsinstellingen van een systeem zijn in Easy2audit gekoppeld aan de paragrafen van de norm, zodat je per paragraaf ziet welke instellingen erbij horen. Voor een Windows 11-systeem controleert Easy2audit 46 beveiligingsinstellingen voor paragraaf 5.15 Access Control van ISO 27002. Je hoeft niet zelf uit te zoeken welke instellingen per besturingssysteem onder welke paragraaf vallen, en een externe auditor treft de mapping al gecontroleerd aan.

Controls

05Organizational controls79.4%

05.15Access control82.6%

05.16Identity management90.1%

05.18Access rights77.4%

05.24Information security incident management planning68.9%

06People controls74.8%

06.03Information security awareness, education and training86.2%

06.07Remote working63.5%

07Physical controls87.3%

07.10Storage media87.3%

08Technological controls76.1%

08.05Secure authentication79.2%

08.08Management of technical vulnerabilities67.4%

08.15Logging73.8%

08.31Separation of development, test and production environments100%

demo-omgeving · voorbeeldscores · een selectie, de applicatie toont het volledige kader

Herleidbaarelke bevinding terug te voeren op systeem en instelling

Reproduceerbaarzelfde scan, zelfde uitkomst: bewijs dat een auditor kan verifiëren

Zonder dubbel werk6 kaders uit één meting, geen aparte trajecten per norm

Werkblad

Wat kun je vandaag laten zien?

Twaalf vragen over bewijs dat een auditor uit je systemen wil zien. Vink af wat je nu kunt laten zien, zonder eerst exports of schermafdrukken te verzamelen; wat openstaat, is een gat dat pas bij de volgende surveillance opvalt.

Doe de ISO 27001-bewijscheck →

ISO 27001: het certificaat vraagt om werkend bewijs.

Drie pijlers, één rode draad: aantoonbaarheid.

Gemeten, niet beweerd.

Wat kun je vandaag laten zien?

Zie hoe je ISO 27001 aantoonbaar maakt.