De huidige versie, ISO/IEC 27001:2022, werd gepubliceerd op 25 oktober 2022. In Nederland is zij geadopteerd als NEN-EN-ISO/IEC 27001:2023, de versie waarnaar BIO2 en andere Nederlandse regelgeving verwijzen. De transitieperiode voor organisaties die gecertificeerd waren op de vorige versie (2013) eindigde op 31 oktober 2025. Na 31 oktober 2025 konden uitsluitend nog certificaten op basis van ISO/IEC 27001:2022 geldig worden afgegeven of behouden.

ISO/IEC 27001:2022 verlangt dat organisaties een Information Security Management System (ISMS) opzetten: een systematisch en cyclisch proces voor het identificeren, beoordelen en beheersen van informatiebeveiligingsrisico's. De norm schrijft geen concrete beveiligingsmaatregelen voor die elke organisatie verplicht moet treffen. Zij schrijft een risicogebaseerd managementsysteem voor: de organisatie stelt zelf, op basis van haar risicobeoordeling, vast welke maatregelen passend en proportioneel zijn voor haar eigen context.

De normatieve eisen zijn neergelegd in clausules 4 tot en met 10. Die doorlopen een plan-do-check-act-cyclus: de organisatie bepaalt haar context en de verwachtingen van betrokkenen, stelt beleid en doelstellingen vast, voert risicobeoordelingen en risicobehandelingsplannen uit, implementeert maatregelen, bewaakt de prestaties, voert interne audits en managementreviews uit, en verbetert continu. Het bestuur en de directie hebben een expliciete verantwoordelijkheid in de norm: informatiebeveiligingsdoelstellingen worden vastgesteld op het hoogste niveau en de aansturing is een leiderschapstaak, geen IT-taak.

Bijlage A van de norm bevat een referentieset van 93 beveiligingscontroles, verdeeld over vier thema's: organisatorische controls, personeelscontroles, fysieke controls en technologische controls. Welke controls van toepassing zijn, legt de organisatie vast in de Verklaring van Toepasselijkheid (Statement of Applicability). Daarin staat per control of zij is toegepast, en zo niet, waarom niet.

De herziening bracht drie wezenlijke veranderingen. De controlestructuur is gemoderniseerd: de 114 controls verdeeld over 14 domeinen zijn herschikt naar 93 controls in vier thema's. Elf controls zijn inhoudelijk nieuw; sommige dekken actuele onderwerpen zoals bedreigingsinformatie (threat intelligence), het gebruik van clouddiensten, ICT-gereedheid voor bedrijfscontinuïteit, datalekpreventie en veilig coderen. Andere zijn voortgekomen uit samenvoegingen of modernisering van bestaande controls. De overige 82 zijn hernoemd of inhoudelijk bijgesteld.

Daarnaast zijn de contextvereisten verscherpt. Organisaties moeten nauwkeuriger beschrijven hoe het ISMS rekening houdt met de verwachtingen van betrokken partijen, van klanten en toezichthouders tot toeleveranciers en aandeelhouders. En de eisen aan meetbare doelstellingen zijn aangescherpt: informatiebeveiligingsdoelstellingen moeten aantoonbaar gemonitord worden, niet slechts geformuleerd.

ISO/IEC 27001-certificering is geen wettelijke verplichting voor de meeste organisaties. Zij wordt echter in de praktijk op meerdere manieren afgedwongen. Grote opdrachtgevers in de financiële sector, de overheid en de zorg nemen 27001-certificering op als gunningscriterium of als harde eis in hun inkoopbeleid. Een gecertificeerd ISMS kan voor toezichthouders een belangrijke aanwijzing zijn dat informatiebeveiliging systematisch is ingericht; het gewicht dat verschillende toezichthouders aan certificering toekennen, verschilt per sector en per wettelijk kader. Het ontbreken van een aantoonbaar ingericht ISMS kan bij beveiligingsincidenten meewegen in de beoordeling of een organisatie passende maatregelen heeft getroffen, wat in de context van wettelijke beveiligingsverplichtingen relevant is.

Voor veel leveranciers aan overheid, zorg en financiële instellingen is ISO/IEC 27001-certificering inmiddels een belangrijke marktvoorwaarde. Voor overheidsorganisaties biedt de norm de inhoudelijke basis van BIO2, ook zonder dat certificering formeel is vereist. Voor financiële instellingen onder DORA vormt een 27001-conform ISMS een herkend uitgangspunt voor het ICT-risicobeheerframework dat de verordening verplicht stelt.

ISO-certificering wordt niet afgegeven door ISO zelf, maar door onafhankelijke certificerende instellingen die zijn geaccrediteerd door de Raad voor Accreditatie (RvA) in Nederland, of door een vergelijkbaar lid van het International Accreditation Forum (IAF) in andere landen. Een certificaat dat is afgegeven door een niet-geaccrediteerde instelling, wordt doorgaans niet geaccepteerd waar expliciet geaccrediteerde certificering wordt verlangd.

De certificeringsaudit verloopt in twee fasen. In fase 1 beoordeelt de auditor de documentatie: zijn het beleid, de risicobeoordeling, de Verklaring van Toepasselijkheid en de interne auditresultaten aanwezig en inhoudelijk toereikend? In fase 2 toetst de auditor ter plaatse of het ISMS ook werkelijk wordt uitgevoerd zoals gedocumenteerd. Bevindingen leiden tot afwijkingen die de organisatie moet aantonen te hebben opgelost voordat het certificaat wordt afgegeven.

Na certificering volgen jaarlijkse surveillanceaudits in jaar 1 en jaar 2, gevolgd door een hercertificering in jaar 3. Het certificaat heeft een geldigheidsduur van drie jaar, mits de surveillanceaudits zonder intrekking worden doorlopen.

Een ISO/IEC 27001-certificaat bewijst dat de certificerende instelling heeft vastgesteld dat het ISMS op het moment van de audit voldeed aan de normeisen. Het garandeert niet dat er nooit een beveiligingsincident zal optreden. De norm zelf stelt ook dat informatiebeveiligingsrisico's niet kunnen worden geëlimineerd, maar moeten worden beheerst tot een aanvaardbaar niveau op basis van risicoafweging.

Dat maakt de norm niet minder waardevol; het plaatst haar in de juiste context. Een gecertificeerd ISMS is een robuust bestuurs- en beheerskader. Het is geen vrijwaring.

BIO2, de verplichte basisnorm voor informatiebeveiliging bij de overheid, is expliciet gebaseerd op NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022. Overheidsorganisaties die BIO2 implementeren, bouwen feitelijk een ISO 27001-conform ISMS op; certificering is een optionele maar logische vervolgstap, met name voor organisaties die ook als leverancier van niet-overheidsklanten opereren.

DORA verplicht financiële entiteiten tot een solide ICT-risicobeheerframework. De verordening schrijft geen specifieke norm voor, maar een ISO 27001-conform ISMS biedt een sterke basis voor het ICT-risicobeheerframework dat DORA verplicht stelt. Financiële entiteiten die hun ISMS op basis van 27001 hebben ingericht, kunnen dit als vertrekpunt gebruiken; DORA stelt aanvullend eisen aan ICT-incidentrapportage, dreigingsgestuurde penetratietests en een informatieregister van derdepartij-ICT-contracten die buiten het bereik van ISO 27001 vallen.

De Cyberbeveiligingswet verplicht essentiële en belangrijke entiteiten tot een risicogebaseerde zorgplicht. Een gecertificeerd ISMS is geen wettelijke vereiste, maar het toont op aantoonbare en extern gevalideerde wijze aan dat de organisatie haar cyberrisico's systematisch beheert. Dat is relevant zowel voor de toezichthouder als bij een handhavingsprocedure.

De AI Act verplicht organisaties die AI-systemen ontwikkelen of inzetten, tot risicobeheer en documentatie. ISO 27001 dekt de informatiebeveiligingsdimensie van AI-risico's en vormt een bruikbare basis voor het bredere AI-governancekader. Voor de specifieke AI-governance-eisen uit de AI Act biedt ISO/IEC 42001, de managementsysteemnorm voor kunstmatige intelligentie, een bruikbaar aanvullend kader; het toepassen van die norm voldoet echter niet automatisch aan alle AI Act-verplichtingen.

De AVG vereist passende technische en organisatorische maatregelen voor de beveiliging van persoonsgegevens. Een gecertificeerd ISMS kan dienen als onderdeel van het bewijs dat aan deze beveiligingsverplichting (artikel 32 AVG) is voldaan, en ondersteunt indirect ook de verantwoordingsplicht van artikel 5 lid 2 AVG: de aantoonbaarheid dat aan de beginselen van de verordening wordt voldaan. Het vervangt niet de specifieke AVG-verplichtingen rondom verwerkingsgrondslagen, verwerkersovereenkomsten en datalekprocedures.

Certificering toont aan dat een managementsysteem voldoet aan een norm. Het zegt niets over de keuzes die de organisatie maakt binnen dat systeem: welk risico u accepteert, waar u op focust, wat u bewust laat liggen. Die keuzes zijn strategisch en vormen het echte resultaat van een goed ingericht governanceprogramma.

Lees hoe wij deze verplichting en een strategie laten samenkomen →

Lexent begeleidt organisaties in het voorbereidingstraject richting ISO/IEC 27001:2022-certificering. Dat traject omvat scopebepaling, gap-analyse ten opzichte van de normeisen, ondersteuning bij de risicobeoordeling en het risicobehandelingsplan, begeleiding bij het opstellen van de Verklaring van Toepasselijkheid, voorbereiding van beleidsdocumentatie en interne audits, en begeleiding tot de drempel van de externe audit. De feitelijke certificering wordt afgegeven door een geaccrediteerde certificerende instelling.

Wij voeren de gap-analyse en de readiness-beoordeling uit als checklist-gebaseerde scan, door onze eigen specialisten. Voor organisaties die naast certificering ook willen weten hoe hun ISMS zich verhoudt tot de Cyberbeveiligingswet, BIO2 of DORA, combineren wij het readiness-traject met een regulatoire scan.

Wilt u weten wat voor uw organisatie de meest efficiënte route naar ISO/IEC 27001:2022-certificering is? Neem contact met ons op voor een vrijblijvend gesprek.