Hoe plan je een realistisch tijdpad naar een ISO 27001 certificering?

Een realistisch tijdpad voor een ISO 27001-certificering duurt gemiddeld tussen de zes maanden en anderhalf jaar, afhankelijk van de omvang van de organisatie, de volwassenheid van de bestaande informatiebeveiliging en de beschikbare capaciteit. Kleinere organisaties met een duidelijke scope kunnen het traject soms in zes tot negen maanden doorlopen, terwijl complexere organisaties met meerdere locaties of systemen eerder richting twaalf tot achttien maanden gaan. In dit artikel beantwoorden we de meest gestelde vragen over de ISO 27001-planning, zodat je goed voorbereid aan het traject begint. Wil je alvast sparren over jouw specifieke situatie? Neem gerust contact op en we helpen je graag verder.

Hoelang duurt een ISO 27001-certificeringstraject gemiddeld?

Een ISO 27001-certificeringstraject duurt gemiddeld zes tot achttien maanden. De exacte doorlooptijd hangt af van de organisatieomvang, de complexiteit van de IT-omgeving en hoeveel er al geregeld is op het gebied van informatiebeveiliging. Organisaties die al een basisniveau van beveiliging hebben ingericht, kunnen aanzienlijk sneller schakelen.

Voor een kleine ICT-organisatie met een beperkte scope is zes tot negen maanden haalbaar, mits er voldoende interne capaciteit is. Middelgrote organisaties in sectoren als de zorg of overheid rekenen beter op twaalf maanden. Grotere organisaties met meerdere afdelingen, locaties of complexe systemen hebben soms anderhalf jaar of meer nodig. De ISO 27001-implementatiedoorlooptijd is dus sterk contextafhankelijk en vraagt om een eerlijke nulmeting als startpunt.

Welke fases bepalen de structuur van het ISO 27001-traject?

Het ISO 27001-traject bestaat uit vier hoofdfases: de voorbereiding en nulmeting, de implementatie van het Information Security Management System (ISMS), de interne audit en directiebeoordeling, en tot slot de externe certificeringsaudit. Elke fase bouwt voort op de vorige en vraagt om specifieke deliverables voordat je verder kunt.

• Fase 1 – Voorbereiding en nulmeting: Je brengt de huidige situatie in kaart, bepaalt de scope van het ISMS en identificeert de grootste risico’s en gaps ten opzichte van de norm.
• Fase 2 – Implementatie: Je werkt beleid, procedures en technische maatregelen uit op basis van de risicoanalyse. Dit is doorgaans de meest tijdsintensieve fase.
• Fase 3 – Interne audit en directiebeoordeling: Voordat de externe auditor langskomt, toets je intern of het ISMS werkt zoals bedoeld. De directiebeoordeling is een formele vereiste van de norm.
• Fase 4 – Externe certificeringsaudit: Een geaccrediteerde auditinstelling voert de Stage 1- en Stage 2-audit uit. Bij een positieve beoordeling ontvang je het ISO 27001-certificaat.

Tussen fase 2 en fase 3 zit vaak een operationele periode van minimaal enkele maanden. De norm vereist dat het ISMS aantoonbaar in werking is geweest, niet alleen op papier bestaat. Dat vraagt om bewijs zoals logboeken, incidentregistraties en meetresultaten.

Wat zijn de meest voorkomende oorzaken van vertraging?

De meest voorkomende oorzaken van vertraging in een ISO 27001-traject zijn onvoldoende interne capaciteit, een te brede of onduidelijke scope en het onderschatten van de documentatievereisten. Veel organisaties starten enthousiast maar lopen vast zodra de dagelijkse werkdruk het ISO-project naar de achtergrond duwt.

Andere veelvoorkomende knelpunten zijn:

• Gebrek aan managementbetrokkenheid: ISO 27001 vereist actieve betrokkenheid van de directie. Zonder draagvlak aan de top stagneert de besluitvorming.
• Onduidelijke verantwoordelijkheden: Als niemand eigenaar is van het project, schuiven taken door en blijven ze liggen.
• Te late start van de risicoanalyse: De risicoanalyse is de basis voor vrijwel alle maatregelen. Een late of oppervlakkige analyse vertraagt alles wat erop volgt.
• Onvoldoende bewijs van werking: Het ISMS moet niet alleen beschreven zijn, maar ook aantoonbaar functioneren. Organisaties die dit te laat inzien, moeten een extra operationele periode inbouwen.

Een goede ISO 27001-voorbereiding begint daarom met een heldere projectstructuur, een realistisch tijdpad en een eigenaar die voldoende tijd heeft om het traject te trekken.

Hoe stel je een realistisch projectplan op voor ISO 27001?

Een realistisch projectplan voor ISO 27001 begint met een nulmeting, gevolgd door een gefaseerde planning met concrete mijlpalen, heldere eigenaarschappen en voldoende buffer voor onvoorziene vertraging. Plan niet op de kortst mogelijke doorlooptijd, maar op een haalbare doorlooptijd gegeven de beschikbare capaciteit.

Praktische stappen voor een solide ISO 27001-planning:

1. Voer een nulmeting uit om de gap ten opzichte van de norm te bepalen.
2. Definieer de scope van het ISMS zo concreet mogelijk, liever smaller en beheersbaar dan breed en onhaalbaar.
3. Wijs een projecteigenaar aan met voldoende mandaat en tijd.
4. Plan de fases achteruit vanuit de gewenste certificeringsdatum, inclusief de operationele periode van het ISMS.
5. Bouw minimaal vier tot zes weken buffer in voor de documentatiefase en de interne audit.
6. Betrek de certificerende instelling vroeg in het traject, zodat je de auditplanning kunt afstemmen.

Houd er rekening mee dat het ISMS een aantoonbare operationele periode nodig heeft voordat de externe audit plaatsvindt. Dit betekent dat je de implementatiefase niet tot het laatste moment kunt uitstellen. Meer achtergrond over informatiebeveiliging en de bijbehorende normen helpt je ook bij het stellen van realistische doelen.

Wanneer in het traject schakel je een certificerende instelling in?

Je schakelt een certificerende instelling het beste in aan het begin van het traject, ruim voor de daadwerkelijke audit. Vroeg contact geeft je de mogelijkheid om de auditplanning af te stemmen, verwachtingen af te stemmen en eventuele vragen over de norm of scope te bespreken. Wachten tot vlak voor de audit vergroot het risico op onverwachte bevindingen of planningsproblemen.

In de praktijk raden we aan om uiterlijk aan het einde van de implementatiefase contact op te nemen met de certificerende instelling. Op dat moment kun je een realistische auditdatum plannen en de Stage 1-audit afstemmen op de voltooiing van je documentatie. Sommige organisaties kiezen ervoor om al tijdens de nulmeting te overleggen met de auditinstelling, wat extra helderheid geeft over wat de norm precies verwacht in hun specifieke context.

Wat is het verschil tussen een Stage 1- en Stage 2-audit?

De Stage 1-audit is een documentatiebeoordeling waarbij de auditor toetst of het ISMS op papier voldoet aan de ISO 27001-norm. De Stage 2-audit is de implementatiebeoordeling waarbij de auditor vaststelt of het ISMS in de praktijk aantoonbaar werkt. Beide audits zijn verplicht en vinden doorgaans met enkele weken tot maanden ertussen plaats.

Wat beoordeelt de auditor tijdens Stage 1?

Tijdens de Stage 1-audit kijkt de auditor naar de volledigheid en kwaliteit van de ISMS-documentatie. Denk aan het informatiebeveiligingsbeleid, de risicoanalyse, de Verklaring van Toepasselijkheid (Statement of Applicability) en de doelstellingen van het managementsysteem. De auditor beoordeelt ook of de scope helder is gedefinieerd en of de organisatie klaar is voor de Stage 2-audit. Eventuele tekortkomingen in de documentatie worden in dit stadium benoemd, zodat je ze kunt herstellen voordat de volgende fase begint.

Wat beoordeelt de auditor tijdens Stage 2?

De Stage 2-audit richt zich op de werking van het ISMS in de praktijk. De auditor spreekt met medewerkers, beoordeelt bewijsmateriaal zoals logboeken en incidentregistraties, en toetst of de geïmplementeerde maatregelen effectief zijn. Een positieve Stage 2-audit leidt tot de uitgifte van het ISO 27001-certificaat, dat drie jaar geldig is. Daarna vinden jaarlijkse controle-audits plaats om de geldigheid van het certificaat te behouden.

Een goed doordacht ISO 27001-tijdpad is de basis voor een soepel en succesvol certificeringstraject. Door vroeg te starten met plannen, de juiste mensen te betrekken en op tijd een geaccrediteerde auditinstelling in te schakelen, vergroot je de kans op een vlotte certificering aanzienlijk. Wil je weten hoe wij jouw organisatie kunnen begeleiden? Neem contact op en plan een vrijblijvend gesprek met ons team.

Gerelateerde artikelen

• Wat doe je als je het niet eens bent met een bevinding van de ISO 27001 auditor?
• Hoe voorkom je dat je te vroeg aan een ISO 27001 fase 1 audit begint?
• Voldoe je aan de NIS2 als je ISO 27001 gecertificeerd bent?
• Kun je meedoen aan een aanbesteding zonder ISO 27001 certificering?
• Hoe lang is een ISO 27001 certificaat geldig?