Trupeer Blog
Samenvatten
ISO 27001 is de wereldwijde standaard voor informatiebeveiligingsmanagementsystemen en werd volgens de enquête van 2024 gebruikt door 96.709 geldige certificaten op 179.877 gecertificeerde locaties wereldwijd. De ISO Survey 2025 zet dit aantal op ongeveer 125.600 certificaten. Die schaal vertelt het stille, echte verhaal: dit is geen nichebadge meer; het is de operationele taal die veel kopers nu verwachten voor het omgaan met gevoelige bedrijfsinformatie.
In mijn ervaring is de echte vraag niet of de iso 27001-standaarden ertoe doen, maar of je team de bewijsketen intact kan houden wanneer de auditor ongemakkelijke vragen begint te stellen. De clausuletekst is het makkelijke deel. Het lastige deel is om, week na week, te bewijzen dat je beheersmaatregelen, registraties en goedkeuringen allemaal met elkaar kloppen.
Korte reactie: ISO 27001 is de internationale standaard voor een informatiebeveiligingsmanagementsysteem (ISMS). Om gecertificeerd te worden, bepaal je de scope, voer je een risicoanalyse uit, kies je beheersmaatregelen uit de 93 in Annex A en motiveer je ze in een Statement of Applicability, implementeer en documenteer je ze, voer je een interne audit en managementreview uit en vervolgens slaag je voor een Stage 1- en Stage 2-audit door een geaccrediteerde certificeringsinstantie. Het certificaat is drie jaar geldig, met surveillance-audits in jaar één en twee.
Inhoudsopgave
Waarom ISO 27001-standaarden een zakelijke noodzaak zijn geworden
ISO 27001 is verschoven van onderscheidend naar basis, vooral bij enterprise sales. Het aantal certificaten is bijna verdubbeld tussen 2023 en 2024, van 48.671 naar 96.709, waardoor die verschuiving moeilijk te missen is (ISMS.online certification overview). Een deel van die sprong weerspiegelt een verandering in hoe ISO de data verzamelt: de enquête van 2024 schakelde over op geaggregeerde IAF CertSearch-records, maar de groeitrend is echt.
Ik heb gezien dat teams certificering eerst als een beveiligingsproject behandelen. Die framing mist hoe kopers het gebruiken. ISO 27001 is een vertrouwenssignaal dat zichtbaar wordt in procurement, leveranciersbeoordelingen en onboarding van partners. Wanneer een securityvragenlijst op het bureau van een sales engineer belandt, helpt het certificaat, maar de moeilijkere overwinning is aantonen dat de beheersmaatregelen echt werken—niet dat ze bevroren zijn in een PDF. We presenteren dat soort bewijs in het Trupeer trust center, als een ISO 27001- en SOC 2 Type II-gecertificeerd bedrijf, omdat kopers bewijs willen dat ze het kunnen inspecteren, niet beloftes die ze op goed vertrouwen moeten aannemen.
Wat er is veranderd in het gedrag van kopers
Een paar jaar geleden behandelden sommige SaaS-bedrijven certificering als een marketingplusje. Die houding is nu zwakker. Recente benchmarkdata laat zien dat 81% van de organisaties in 2025 huidige of geplande ISO 27001-certificering rapporteerde, omhoog van 67% in 2024, dus kopers behandelen de standaard steeds vaker als onderdeel van het minimale pakket (CNIC Solutions compliance statistics).
Praktische regel: als een prospect om een certificaat vraagt, geven ze meestal nog meer om je operationele discipline, je bewijsmateriaal, je reviewfrequentie en wie het ISMS dag in dag uit beheert.
Ik heb SaaS-teams hier tijd zien verliezen. Ze hadden een gepolijste securitypagina, maar de interne registraties waren versnipperd. De salescyclus vertraagde omdat ze vervolgvragen niet snel genoeg konden beantwoorden. Het certificaat opende de deur, en toen kwam het probleem met bewijsmateriaalbeheer in de gang naar voren.
De beste manier om ISO 27001-standaarden te lezen is als een commercieel controlesysteem. Het geeft enterprise procurement, juridische teams en securityreviewers een gemeenschappelijk kader en dwingt je eigen team om het proces eerlijk te houden.
Waar de zakelijke waarde zichtbaar wordt
Vertrouwen van leveranciers: een certificaat vermindert frictie wanneer een koper formele securityzekerheid nodig heeft.
Operationele discipline: het ISMS dwingt tot benoemde eigenaren, regelmatige reviews en traceerbare beslissingen.
Continuïteit in sales: securityreview-stalls gebeuren minder vaak wanneer het bewijs al georganiseerd is.
Contractgereedheid: securityverplichtingen stoppen met leven in e-mailthreads en gaan leven in gecontroleerde documenten.
Een cloudplatform kan de eerste securityreview snel doorstaan omdat de antwoorden klaarstaan. Zes maanden later vraagt dezelfde koper om bijgewerkt bewijs voor toegangscontrole, en het team moet schakelen omdat screenshots in Slack leven, policies in Drive leven en trainingsregistraties in iemands inbox. Dat gat is precies wat certificering blootlegt.
Het punt is direct. ISO 27001 gaat niet langer alleen over aantonen dat je om security geeft; het gaat erom te bewijzen dat je security kunt uitvoeren als een herhaalbaar bedrijfsproces.
De structuur van ISO 27001-standaarden begrijpen
De moderne standaard is opgebouwd rond een ISMS plus een set beheersmaatregelen die gestuurd wordt door risico. In de revisie van 2022 bevat Annex A 93 beheersmaatregelen die zijn gegroepeerd in vier thema’s: organisatorisch, mensen, fysiek en technologisch (ISMS.online Annex A overview).
Ik vind deze structuur prettig omdat het teams ervan weerhoudt security als een willekeurige checklist te behandelen. Je hoort niet elke mogelijke beheersmaatregel in de scope te proppen. Je hoort—op basis van risico—te bepalen wat logisch is voor je omgeving en die keuzes vervolgens te onderbouwen in de Statement of Applicability.
Hoe de vier beheersthema’s in de praktijk werken
Die vier thema’s zijn belangrijk omdat ze de set beheersmaatregelen operationeel specifieker maken. Organisatorische beheersmaatregelen gaan over governance en proces. Mensenbeheersmaatregelen dekken gedrag, bewustwording en verantwoordelijkheden. Fysieke beheersmaatregelen beschermen faciliteiten en assets, terwijl technologische beheersmaatregelen gaan over systemen, software en technische waarborgen (ISTO overview of ISO 27001 changes).
Deze structuur is ook waarom cloudkeuzes en keuzes in de softwarelevenscyclus niet vaag kunnen blijven. Als je engineeringteam unmanaged services gebruikt, of als je supportteam screenshots in persoonlijke mappen opslaat, dan komen die gewoonten er vroeg of laat in de SoA aan. De standaard duwt je om de beslissing expliciet te maken.
Wat meestal breekt: teams mappen beheersmaatregelen op papier, maar vertalen ze nooit naar eigenaarschap, reviewdatums en daadwerkelijk bewijs. Auditors zien die disconnect snel.
Dit is het deel dat ik denk dat veel implementaties onderschatten. Annex A is niet de hele standaard. Het ondersteunt het systeem, maar de daadwerkelijke certificeringspositie hangt ervan af of je governance, documentatie en reviewproces kunnen laten zien dat de beheersmaatregelen zijn geselecteerd, uitgelegd en onderhouden.
De interne logica die auditors verwachten
Een nuttig mentaal model is dit: risico stuurt beheersmaatregelen aan, beheersmaatregelen sturen procedures aan, procedures genereren bewijs. Als één van die lagen ontbreekt, begint het systeem te wiebelen. Daarom is de SoA zo belangrijk: die koppelt de abstracte lijst met beheersmaatregelen aan hoe je bedrijf in de praktijk werkt. Dezelfde discipline voor bewijs geldt ook voor SOC 2, zoals beschreven in wat SOC 2 compliance is.
Laag | Wat het doet | Veelvoorkomende fout |
|---|---|---|
Risicocontext | Bepaalt wat ertoe doet | Scope is te vaag |
Statement of Applicability | Onderbouwt gekozen beheersmaatregelen | Uitsluitingen worden niet uitgelegd |
Procedures en registraties | Bewijst dat de beheersmaatregelen werken | Bewijs is versnipperd |
Reviewcyclus | Houdt het ISMS in leven | Jaarlijkse checklist vervangt continue oversight |
Ik heb gezien dat teams de structuur behandelen als papierwerk. Dat is een fout. De architectuur is de audit trail.
Als je een praktische begeleider nodig hebt voor de structuur van documentatie, dan is deze gids over ISO-compliant work instruction format een nuttig referentiepunt om proces om te zetten in iets dat mensen kunnen volgen.
De kern is eenvoudig. ISO 27001-standaarden werken omdat de set beheersmaatregelen is georganiseerd, maar certificering blijft alleen geldig wanneer de organisatie kan aantonen waarom elke beslissing is genomen en hoe die actueel blijft.
De ISO 27001-certificeringsprocedure doorlopen
Certificering is een cyclus van drie jaar, geen eenmalige gebeurtenis. Het certificaat is drie jaar geldig, met surveillance-audits in jaar één en twee en een volledige recertificeringsaudit in jaar drie (SIDD Swiss recertification overview).
Ik heb veel teams gezien die budgetteren voor de lancering en daarna de onderhoudsfase vergeten. Daar gaan ze de mist in. Het jaarlijkse auditritme betekent dat je bewijs niet veroudert tussen mijlpalen, omdat de auditor controleert of het ISMS nog steeds werkt, niet of het ooit goed leek in een presentatie.
De praktische auditvolgorde
Het proces begint meestal met readiness work: het team sluit duidelijke hiaten en verzamelt de kern van de documentatie. Daarna komt Stage 1, dat vooral een review van documentatie is, en Stage 2, waarin de auditor controleert of het ISMS werkt zoals beschreven. Vervolgens houden de surveillance-audits druk op het systeem zodat het niet achteruitgaat.
De timing is net zo belangrijk als de volgorde. Onafhankelijke samenvattingen beschrijven surveillance-audits als doorgaans rond de 12-maanden- en 24-maanden-markeringen, waarbij recertificering moet zijn afgerond voordat het certificaat verloopt (surveillance audit guidance).
Een eenvoudig planningsoverzicht
Voor Stage 1: vergrendel scope, policies, risicomethode en je kerndocumenten.
Tussen Stage 1 en Stage 2: repareer de hiaten die de certificeringsinstantie aanwijst en verzamel bewijs van implementatie.
Tijdens de surveillancejaren: houd interne audits, managementreviews en corrigerende acties actueel.
Voor jaar drie: behandel recertificering als een project, niet als een kalenderherinnering.
Als je wacht tot de auditor om bewijs vraagt, ben je al te laat.
Een goed voorbeeld is een SaaS-bedrijf met sterke engineeringdiscipline maar een zwakke compliance-cadans. Ze kunnen Stage 2 halen, maar lopen zes maanden later vast omdat registraties van training van medewerkers, toegangsreviews en notulen van managementreviews niet op een consistente plek werden bijgehouden. Het resultaat is geen technisch falen. Het is een falen in het operationele ritme.
Ook de kant van interne documentatie is hier belangrijk. Een procesnotitie over hoe audit firms processen documenteren voor regulatory submissions kan teams helpen begrijpen waarom auditors zo veel waarde hechten aan consistentie en traceerbaarheid.
De kern is dat ISO 27001-certificering teams beloont die plannen voor de volledige levenscyclus van drie jaar. Als je het behandelt als één gebeurtenis, dan ben je de komende twee jaar bezig om achterstanden in te halen.
De cruciale rol van risicoanalyse en documentatie
Clause 6.1 zet ISO 27001 om in een risicogestuurd managementsysteem. Organisaties moeten risicocriteria definiëren, informatiebeveiligingsrisico beoordelen op basis van waarschijnlijkheid en impact en vervolgens behandelingsopties kiezen zoals mitigeren, overdragen, accepteren of vermijden (Clause 6.1 risk planning).
Ik ben hier heel direct over, omdat dit is waar de meeste zwakke implementaties uit elkaar vallen. Teams hebben vaak prima policies, maar ze kunnen niet uitleggen hoe een asset een risicoscore werd, hoe die score leidde tot een beheersmaatregel, of waarom een beheersmaatregel is uitgesloten. Auditors houden niet van losse eindjes, en kopers met volwassen securityteams ook niet.
Waarom de Statement of Applicability zo belangrijk is
De Statement of Applicability is de brug tussen je risicowerk en je beheersomgeving. Het vertelt de auditor welke Annex A-beheersmaatregelen je hebt gekozen, welke je hebt uitgesloten en waarom die beslissingen logisch zijn voor je scope. Zonder die traceerbaarheid voelt de documentatie decoratief in plaats van operationeel.
Die traceerbaarheid is de ultieme test. Ik heb organisaties gezien met sterke tooling, solide policies en managers met goede bedoelingen, maar die toch niet slaagden om de auditor te overtuigen omdat de bewijsketen stopte bij een spreadsheet zonder eigenaar en zonder datum. Een nette SoA garandeert geen volwassenheid, maar een rommelige SoA signaleert bijna altijd problemen.
De bewijsketen die auditors verwachten
Asset of context wordt geïdentificeerd.
Risico wordt gescoord met je gedefinieerde criteria.
Behandeling wordt gekozen, zoals een beheersmaatregel of een gedocumenteerde acceptatie.
Bewijs toont aan dat de beheersmaatregel daadwerkelijk draait.
Review bewijst dat de beslissing nog steeds geldig is.
Documentatie raakt hier vaak overgecompliceerd. Het doel is niet om meer papierwerk te produceren. Het doel is om registraties bij te houden die voldoende specifiek zijn voor audit, maar ook eenvoudig genoeg zodat het bedrijf ze kan onderhouden zonder wrevel.
Praktische regel: als niemand het bewijs kan bijwerken zonder een speurtocht van twee uur, dan faalt het proces tijdens surveillance.
Een realistisch scenario is een productteam dat tijdens een druk kwartaal een nieuwe cloudtool toevoegt. De security lead werkt het risicoregister bij, maar niemand ververst de SoA, de onboarding checklist of de toegangsreview-registratie. Op papier is de tool goedgekeurd. In de praktijk is de audit trail gebroken.
De kern is direct. Risicoanalyse, SoA-discipline en actuele registraties vormen de ruggengraat van de standaard. Als die drie onderdelen uit elkaar gaan drijven, wordt alles erna steeds lastiger.
Compliance-bewijs beheren met moderne tools
Evidence management is de verborgen workload in ISO 27001. De standaard zelf is beheersbaar. Het echte werk komt van het verzamelen van screenshots, goedkeuringen, audit logs, versies van policies en trainingsregistraties, en vervolgens bewijzen dat ze actueel zijn wanneer de auditor het vraagt.
Ik heb gezien dat teams dit beter aanpakken wanneer bewijs niet langer een taak is voor een kwartaalopruiming. Ze houden een levende repository bij waarin proces direct wordt vastgelegd in documentatie die doorzoekbaar en auditbaar is. Dat is belangrijk omdat surveillance-audits continuïteit belonen, niet last-minute herstel.
Wat moderne tooling verandert
Trupeer zet een schermopname om in een gestructureerde SOP, met screenshots, revisiegeschiedenis en gecontroleerde toegang die de bewijsketen intact houden. Voor compliance-teams zit de praktische waarde in de beheersmaatregelen achter de content, inclusief SSO, SCIM, granular permissions en ondersteuning voor enterprise review workflows.
Dat is belangrijk omdat bewijs georganiseerd, actueel en toegankelijk moet zijn voor de juiste mensen. Een tool zoals Trupeer helpt versnipperde kennis om te zetten in gecontroleerde documentatie—en daar verliezen veel ISO-programma’s tijd en nauwkeurigheid.
Een praktische bewijswerkwijze
Leg één keer vast: leg het proces vast terwijl iemand het uitvoert.
Maak het meteen gestructureerd: zet de opname om in een handleiding, SOP of kennisartikel.
Beperk toegang: zorg dat alleen de juiste mensen gevoelige content kunnen bewerken.
Maak het doorzoekbaar: zodat auditvoorbereiding geen speurtocht wordt.
Ververs regelmatig: verouderd bewijs is bijna net zo risicovol als ontbrekend bewijs.
Goede teams behandelen documentatie zoals ze broncode behandelen. Niemand wil dat de enige kopie van een kritisch proces vastzit in een persoonlijke map. De registratie moet leven in een systeem waar eigenaarschap, permissies en revisiegeschiedenis zichtbaar zijn. Deze gids over documentation version control legt uit hoe je die geschiedenis schoon houdt.
Voor teams die een breder operationeel model nodig hebben, kan een enterprise documentation management platform in dezelfde workflow draaien als policies en evidence libraries.
Waar dit het meest helpt
Customer success-teams gebruiken het voor onboarding guides. Sales engineers gebruiken het voor herhaalbare demo’s en security walkthroughs. Operations-teams gebruiken het voor SOP’s en trainingsmateriaal dat aligned moet blijven met de huidige beheersmaatregelen.
De kern is praktisch. ISO 27001-bewijs wordt veel eenvoudiger te beheren wanneer documentatie wordt gemaakt als onderdeel van het werk, niet achteraf. Moderne knowledge tools verminderen frictie zonder de auditdiscipline te verzwakken.
Veelvoorkomende valkuilen en hoe je ze vermijdt
De grootste fout is ISO 27001 behandelen als een certificeringsproject. Als het enige doel is om een audit te halen, bouwt het team meestal fragiele documentatie en vergeet het de operationele gewoonten die het ISMS in leven houden.
Ik heb gezien dat dit meer dan eens gebeurt. Een bedrijf rondt certificering af, viert het en laat vervolgens het eigenaarschap wegdrijven. Zes maanden later is de interne audit te laat, is het risicoregister verouderd en weet niemand precies wie het bewijs van toegangsreviews bijwerkt.
De fouten die ik het vaakst zie
Scope is te breed of te vaag: het ISMS wordt onmogelijk te onderhouden, of het laat belangrijke systemen buiten de grens.
Policies lopen achter op de praktijk: de documenten zeggen iets anders terwijl het team op een andere manier werkt.
Bewijs leeft op te veel plekken: screenshots in chat, goedkeuringen in e-mail en procedures in losgekoppelde mappen.
Surveillancewerk wordt uitgesteld: teams gaan ervan uit dat de volgende audit nog ver weg is en haasten zich dan op het laatste moment.
Training wordt behandeld als een vinkje: medewerkers kennen de headline policy, maar niet hun daadwerkelijke verantwoordelijkheden.
De oplossing is saai, en daarom werkt het. Houd de scope verdedigbaar. Wijs eigenaren toe aan elk belangrijk beheersmaatregelgebied. Reviewregistraties op een planning, niet alleen wanneer iemand erom vraagt. Behandel interne auditbevindingen bovenal als operationele feedback, niet alleen als compliance-defecten.
Regel uit de praktijk: als het proces alleen werkt wanneer één persoon alles onthoudt, is het nog geen proces.
Ik denk ook dat teams onderschatten hoeveel documentatiediscipline invloed heeft op security zelf. Goede registraties maken hiaten eerder zichtbaar. Zwakke registraties verbergen problemen totdat de auditor of een incident ze blootlegt. Daarom push ik teams altijd om bewijsmateriaalbeheer te koppelen aan echte security governance in plaats van het in aparte silo’s te houden.
Een nuttige aanvulling om te lezen is deze gids over knowledge base security, SSO, and access controls, omdat documentbeveiliging ook onderdeel is van compliance.
De kern is eenvoudig. ISO 27001-standaarden belonen niet het team dat één week compliant oogt. Ze belonen het team dat georganiseerd blijft, verantwoordelijk is en—op een saaie, consistente manier—blijft doorwerken.
Hoe Trupeer je ISO 27001-programma ondersteunt
Naast evidence management helpt Trupeer met de people-kant van ISO 27001: procedures, awareness training en gecontroleerde toegang tot gevoelige documentatie:
Document controls als procedures: leg toegangreviews, onboarding en offboarding één keer vast en krijg guides met screenshots.
Voer awareness training uit: zet dezelfde opnames om in korte video’s met AI-voiceover.
Beperk toegang: SAML SSO, SCIM provisioning, role-based access, meerdere workspaces en audit logs.
Bewijs van wijziging bijhouden: documentversiegeschiedenis laat eerdere versies van elke procedure zien.
Kies een gecertificeerde leverancier: Trupeer zelf heeft ISO 27001- en SOC 2 Type II-certificeringen.
Bekijk Trupeer voor enterprise.
Veelgestelde vragen
Wat is ISO 27001?
ISO/IEC 27001 is de internationale standaard voor het opzetten, uitvoeren en verbeteren van een informatiebeveiligingsmanagementsysteem (ISMS). De huidige editie is ISO/IEC 27001:2022.
Hoeveel beheersmaatregelen staan er in ISO 27001?
Annex A van ISO 27001:2022 vermeldt 93 beheersmaatregelen in vier thema’s: organisatorisch, mensen, fysiek en technologisch. Je selecteert de beheersmaatregelen die van toepassing zijn op basis van je risicoanalyse en legt je keuzes uit in de Statement of Applicability.
Hoe lang duurt ISO 27001-certificering?
Dat hangt af van je scope en readiness. De meeste organisaties besteden enkele maanden aan voorbereiding voordat de Stage 1- en Stage 2-audits plaatsvinden. Na certificering volgen surveillance-audits in jaar één en twee en een volledige recertificering in jaar drie.
Is ISO 27001 verplicht?
Nee, het is vrijwillig. Veel bedrijven zoeken certificering omdat klanten, partners of toezichthouders om onafhankelijke bewijzen vragen voor informatiebeveiligingsmanagement.
Wat is het verschil tussen ISO 27001 en SOC 2?
ISO 27001 certificeert een managementsysteem tegen een internationale standaard, terwijl SOC 2 een attesteringsrapport van een auditor is over beheersmaatregelen tegen de AICPA Trust Services Criteria. Zie wat SOC 2 compliance is en het bredere plaatje in wat enterprise security is.
Houd ISO 27001-bewijs audit-ready met Trupeer. Leg één keer een control procedure vast en Trupeer zet het om in een gecontroleerde SOP met screenshots, een korte trainingsvideo en een doorzoekbare kennisbankvermelding, met SAML SSO, SCIM, role-based access en versiegeschiedenis. Trupeer is zelf ISO 27001- en SOC 2-gecertificeerd. Bekijk Trupeer voor enterprise.
Veelgestelde vragen
What is ISO 27001?
How many controls are in ISO 27001?
How long does ISO 27001 certification take?
Is ISO 27001 mandatory?
What is the difference between ISO 27001 and SOC 2?
