Je kunt zelf toetsen of je documentatie voldoende is voor een ISO 27001-audit door je documentenset te vergelijken met de verplichte eisen uit de norm, te controleren of alles actueel en aantoonbaar in gebruik is, en een self-assessment uit te voeren vanuit het perspectief van een auditor. Dit geldt voor elke organisatie die een certificering voorbereidt of wil behouden. De vragen hieronder leiden je stap voor stap door het volledige beoordelingsproces. Heb je tussendoor vragen? Neem gerust contact op en wij helpen je graag verder.
Welke documenten zijn verplicht voor een ISO 27001-audit?
ISO 27001 schrijft een aantal documenten expliciet voor als bewijs dat je informatiebeveiligingsmanagementsysteem (ISMS) functioneert. De kern bestaat uit het toepassingsgebied van het ISMS, het informatiebeveiligingsbeleid, de risicobeoordelingsmethodiek, de risicobeoordeling zelf, het risicobehandelingsplan en de Verklaring van Toepasselijkheid (Statement of Applicability).
Naast deze zes basisdocumenten vereist de norm ook gedocumenteerde informatie over doelstellingen, competenties van medewerkers, interne audits, directiebeoordelingen en corrigerende maatregelen. In de praktijk betekent dit dat je ook beleidsdocumenten, procedures en werkinstructies nodig hebt die aantonen hoe je beheersmaatregelen daadwerkelijk uitvoert. Denk aan een toegangsbeleid, een incidentprocedure en een bedrijfscontinuïteitsplan.
Organisaties die voor het eerst een ISO 27001-certificering nastreven, onderschatten soms het belang van de Verklaring van Toepasselijkheid. Dit document legt vast welke beheersmaatregelen uit Annex A je toepast, welke je uitsluit, en waarom. Het is een van de eerste documenten die een auditor opvraagt.
Hoe weet je of je documentatie volledig en actueel is?
Je documentatie is volledig als elk verplicht document aanwezig is én als de inhoud aansluit bij de huidige situatie van je organisatie. Actueel betekent dat documenten een versiedatum dragen, zijn goedgekeurd door een verantwoordelijke en geen verouderde procesomschrijvingen, functienamen of systemen bevatten.
Een praktische manier om dit te toetsen is een documentenregister bij te houden. Daarin staan alle ISMS-documenten met hun versienummer, datum van laatste herziening en eigenaar. Loop dit register minstens één keer per jaar door en zeker vóór een externe audit. Controleer daarbij niet alleen of het document bestaat, maar ook of de beschreven werkwijze nog overeenkomt met hoe de organisatie vandaag de dag werkt.
Let ook op consistentie tussen documenten. Als je risicobeoordelingsrapport verwijst naar een procedure die inmiddels is aangepast, of als je beleid spreekt over een systeem dat je niet meer gebruikt, signaleert een auditor dat als een zwakte. Consistentie is een teken van een levend en beheerd ISMS.
Waar kijkt een auditor als eerste in jouw documentatie naar?
Een auditor begint doorgaans met de Verklaring van Toepasselijkheid en het toepassingsgebied van het ISMS. Deze twee documenten geven direct inzicht in de reikwijdte van je systeem en welke beheersmaatregelen je hebt geselecteerd. Vervolgens kijkt de auditor of de risicobeoordeling logisch aansluit op de geselecteerde maatregelen.
Daarna richt de aandacht zich op de bewijslast: zijn de beschreven processen ook aantoonbaar uitgevoerd? Dat betekent dat de auditor zoekt naar registraties zoals auditverslagen, notulen van de directiebeoordeling, trainingsregistraties en incidentlogboeken. Documenten die prachtig beschrijven wat er zou moeten gebeuren maar geen spoor van uitvoering tonen, leveren bijna altijd een bevinding op.
Tot slot let een auditor op de autorisatiestructuur: wie heeft welk document goedgekeurd, en past dat bij de verantwoordelijkheden in de organisatie? Een beleid dat ondertekend is door iemand zonder mandaat, of helemaal niet is goedgekeurd, is formeel niet geldig.
Welke veelgemaakte fouten in documentatie leiden tot een bevinding?
De meest voorkomende fouten in ISO 27001-auditdocumentatie zijn verouderde documenten, ontbrekende bewijsregistraties, een onvolledige of inconsistente Verklaring van Toepasselijkheid, en beleidsverklaringen die niet aansluiten bij de werkelijke praktijk.
- Verouderde documenten: Een beleid met een herzieningsdatum van drie jaar geleden zonder aantoonbare review is een directe bevinding.
- Ontbrekende registraties: Je beschrijft dat je jaarlijkse bewustwordingstrainingen geeft, maar er zijn geen deelnemerslijsten of certificaten.
- Inconsistente SoA: Beheersmaatregelen zijn aangevinkt als “van toepassing”, maar er is geen bijbehorende procedure of maatregel aantoonbaar.
- Kopieerwerk zonder aanpassing: Generieke sjablonen die niet zijn afgestemd op de eigen organisatie, sector of risico’s vallen direct op.
- Ontbrekend eigenaarschap: Documenten zonder aangewezen eigenaar worden niet beheerd en raken snel verouderd.
Deze fouten zijn goed te voorkomen door documentatie te behandelen als een levend onderdeel van je informatiebeveiliging, niet als een eenmalig project.
Hoe gebruik je een self-assessmentchecklist effectief?
Een self-assessmentchecklist is effectief als je hem gebruikt vanuit de rol van auditor, niet vanuit de rol van documenteigenaar. Dat betekent: stel jezelf kritische vragen, zoek actief naar ontbrekend bewijs en wees eerlijk over hiaten in plaats van documenten als “aanwezig” af te vinken omdat ze ergens op een server staan.
Werk de checklist clausule voor clausule door op basis van de ISO 27001-norm. Voor elke eis stel je drie vragen: Is er een document? Is het actueel en goedgekeurd? Is er bewijs van uitvoering? Alleen als je alle drie met “ja” kunt beantwoorden, is die eis afgedekt.
Betrek ook collega’s buiten het ISMS-team bij de self-assessment. Vraag een medewerker uit de operatie of die de relevante procedure kent en toepast. Als die het document niet kent of anders handelt dan beschreven, is er een implementatiekloof. Die kloof is precies wat een externe auditor ook zal ontdekken, dus beter om die zelf eerst te signaleren.
Documenteer de uitkomsten van je self-assessment en gebruik ze als actielijst. Zo toont de self-assessment zelf ook aan dat je werkt aan continue verbetering, wat een positief signaal is voor elke auditor.
Wanneer is je documentatie goed genoeg voor de externe audit?
Je documentatie is klaar voor de externe audit wanneer alle verplichte documenten aanwezig zijn, actueel zijn, intern zijn goedgekeurd en worden ondersteund door aantoonbare uitvoeringsregistraties. Er hoeven geen open tekortkomingen meer te zijn die je zelf al hebt geïdentificeerd maar nog niet hebt opgelost.
Een nuttige vuistregel: als je elke vraag van een auditor over een document kunt beantwoorden met een concreet document, een naam en een datum, ben je klaar. Kun je dat niet voor een bepaald onderdeel, dan is er nog werk te doen.
Perfectie is overigens geen vereiste. ISO 27001 is een managementsysteem dat gericht is op continue verbetering. Een auditor verwacht geen foutloze organisatie, maar wel een organisatie die risico’s beheerst, afwijkingen herkent en verbeteringen doorvoert. Aantoonbare voortgang telt zwaarder dan een papieren werkelijkheid zonder leven.
Wil je zeker weten dat je documentatie sterk genoeg staat voor de externe audit? Neem contact op met ons team. Wij denken graag met je mee en begeleiden je met een contextgerichte aanpak die verder gaat dan een standaardchecklist.
Veelgestelde vragen
Wat zijn de meest essentiële documenten die ik als eerste moet opstellen voor een ISO 27001-audit?
De hoogste prioriteit gaat naar de Verklaring van Toepasselijkheid, het toepassingsgebied van het ISMS en de risicobeoordeling, omdat een auditor hier als eerste naar kijkt. Zonder deze drie documenten op orde kun je de rest van je documentatieset niet sluitend maken, ongeacht hoe goed je overige beleidsdocumenten zijn uitgewerkt.
Hoe controleer ik of mijn documentatie nog aansluit bij de huidige werkwijze van mijn organisatie?
Vergelijk je documenten systematisch met de dagelijkse praktijk door medewerkers buiten het ISMS-team te vragen of zij de beschreven procedures kennen en toepassen. Als er een kloof bestaat tussen wat er op papier staat en wat er in de praktijk gebeurt, is dat precies de zwakte die een externe auditor ook zal ontdekken.
Waarom is het bijhouden van uitvoeringsregistraties zo belangrijk voor een succesvolle audit?
Een auditor beoordeelt niet alleen of je processen goed zijn beschreven, maar ook of je kunt aantonen dat je ze daadwerkelijk uitvoert via registraties zoals auditverslagen, trainingslijsten en incidentlogboeken. Documenten zonder bijbehorend uitvoeringsbewijs leveren bijna altijd een bevinding op, hoe goed de beschrijving ook is.
Wanneer is mijn documentatie klaar genoeg om de externe audit in te gaan?
Je documentatie is auditklaar wanneer alle verplichte documenten aanwezig, actueel en intern goedgekeurd zijn, én wanneer je voor elk onderdeel een concreet document, een verantwoordelijke naam en een datum kunt noemen. ISO 27001 vereist geen perfectie, maar wel aantoonbare beheersing van risico’s en zichtbare stappen richting continue verbetering.
