De onderdelen van de directiebeoordeling die het zwaarst wegen tijdens een ISO 27001-audit zijn de aantoonbare betrokkenheid van het topmanagement, de opvolging van eerdere actiepunten, de beoordeling van risico’s en kansen, en de besluitvorming over verbeteringen. Een auditor beoordeelt niet alleen of de directiebeoordeling heeft plaatsgevonden, maar ook of het management werkelijk stuurt op informatiebeveiliging. De vragen hieronder gaan dieper in op wat auditors precies toetsen, welke fouten je wilt vermijden en hoe je documentatie op orde brengt. Wil je alvast sparren over jouw situatie? Neem gerust contact op en we helpen je graag verder.
Welke onderdelen van de directiebeoordeling toetst een auditor het meest kritisch?
Een auditor toetst bij de directiebeoordeling het meest kritisch of het topmanagement aantoonbaar heeft nagedacht over de prestaties van het ISMS, de opvolging van eerdere besluiten, de ontwikkeling van risico’s en de toewijzing van middelen. Dit zijn de punten waarop ISO 27001-clausule 9.3 het meest concreet is, en dus ook de punten waarop bevindingen het snelst ontstaan.
Binnen die toetsing kijkt een auditor specifiek naar de volgende elementen:
- Actiepunten uit vorige beoordelingen: Zijn eerder genomen besluiten daadwerkelijk uitgevoerd? Onopgevolgde acties zijn een veelvoorkomende bron van bevindingen.
- Risicobeoordeling en behandeling: Heeft het management de actuele risicolijst besproken en zijn er concrete beslissingen genomen over acceptatie of behandeling?
- Prestatie-indicatoren en doelstellingen: Zijn de beveiligingsdoelstellingen behaald? Zo niet, is er een verklaring en een verbeterplan?
- Beschikbaarstelling van middelen: Heeft het management budget, mensen of tooling toegewezen om verbeteringen door te voeren?
- Interne en externe ontwikkelingen: Zijn relevante wijzigingen in de context van de organisatie, zoals nieuwe wetgeving of dreigingen, meegenomen in de beoordeling?
Een auditor wil zien dat de directiebeoordeling een levend sturingsinstrument is, geen formaliteit die eens per jaar wordt afgevinkt. De diepgang van de bespreking telt daarbij net zo zwaar als de aanwezigheid van een verslag.
Hoe toont de directiebeoordeling aan dat het topmanagement écht betrokken is?
Topmanagement toont echte betrokkenheid bij informatiebeveiliging door actief deel te nemen aan de directiebeoordeling, inhoudelijk vragen te stellen over risico’s en prestaties, en zelf beslissingen te nemen over verbeteringen en middelen. Een verslag dat uitsluitend door de CISO of security officer is opgesteld zonder aantoonbare inbreng van de directie overtuigt een auditor niet.
Concrete signalen van echte betrokkenheid zijn onder meer:
- Aanwezigheidslijsten of notulen die laten zien welke directieleden aanwezig waren.
- Vragen en opmerkingen van directieleden die in het verslag zijn opgenomen.
- Besluiten over prioriteiten, budgetten of verantwoordelijkheden die direct uit de vergadering voortvloeien.
- Een directeur of bestuurder die tijdens de audit zelf kan toelichten wat er in de beoordeling is besproken.
ISO 27001 vereist in clausule 5 dat het topmanagement leiderschap toont op het gebied van informatiebeveiliging. De directiebeoordeling is het moment waarop dat leiderschap het meest zichtbaar en toetsbaar is. Organisaties die dit goed invullen, laten zien dat beveiliging een strategisch thema is, niet alleen een IT-aangelegenheid.
Wat zijn veelgemaakte fouten in de directiebeoordeling die leiden tot bevindingen?
De meest voorkomende fouten in de directiebeoordeling zijn het ontbreken van aantoonbare opvolging van eerdere actiepunten, een te generiek of onvolledig verslag, het niet bespreken van alle vereiste inputonderwerpen uit clausule 9.3, en het ontbreken van concrete uitkomsten of besluiten. Elk van deze tekortkomingen kan leiden tot een bevinding tijdens de ISO 27001-audit.
Andere veelgemaakte misstappen zijn:
- Te weinig frequentie: De beoordeling heeft slechts één keer per jaar plaatsgevonden, terwijl de situatie van de organisatie tussentijds sterk is veranderd.
- Geen koppeling met doelstellingen: De gestelde beveiligingsdoelen zijn niet geëvalueerd en er is geen conclusie getrokken over de mate van realisatie.
- Ontbreken van de risicostatus: Risico’s zijn niet besproken of de risicolijst is niet bijgewerkt voor de beoordeling.
- Geen besluitenlijst: Het verslag bevat wel een samenvatting van de bespreking, maar geen concrete acties met eigenaren en deadlines.
- Directie niet aanwezig: De vergadering is bijgewoond door medewerkers zonder beslissingsbevoegdheid, terwijl de norm topmanagement vereist.
Bij DigiTrust zien we in de praktijk dat organisaties die deze valkuilen kennen, de directiebeoordeling veel effectiever inrichten. Een goede voorbereiding is meer dan de helft van het werk.
Welke documentatie moet aanwezig zijn voor en na de directiebeoordeling?
Voor de directiebeoordeling moeten inputdocumenten beschikbaar zijn, zoals de actuele risicolijst, prestatierapportages, auditresultaten, bevindingen uit eerdere beoordelingen en relevante externe ontwikkelingen. Na de beoordeling is een gedocumenteerd verslag vereist met daarin de besluiten, actiepunten, verantwoordelijken en deadlines. ISO 27001-clausule 9.3 schrijft voor dat de uitkomsten van de directiebeoordeling gedocumenteerde informatie zijn.
Een overzicht van de benodigde documentatie:
Inputdocumentatie (voor de vergadering)
- Risicobehandelingsplan en actuele risicolijst
- Resultaten van interne audits en eerdere externe audits
- Voortgangsrapportage op beveiligingsdoelstellingen en KPI’s
- Overzicht van incidenten, non-conformiteiten en correctieve maatregelen
- Feedback van belanghebbenden en relevante wijzigingen in wet- en regelgeving
- Actiepuntenlijst uit de vorige directiebeoordeling
Outputdocumentatie (na de vergadering)
- Vergaderverslag of notulen met aanwezigheidslijst
- Besluitenlijst met concrete acties, eigenaren en deadlines
- Bijgestelde beveiligingsdoelstellingen indien van toepassing
- Besluiten over middelentoewijzing of organisatorische wijzigingen
Zorg dat deze documentatie bewaard wordt en eenvoudig beschikbaar is voor de auditor. Een goed georganiseerd dossier geeft direct vertrouwen en bespaart tijd tijdens de audit.
Hoe vaak moet een directiebeoordeling plaatsvinden om aan ISO 27001 te voldoen?
ISO 27001 vereist dat de directiebeoordeling op geplande intervallen plaatsvindt, maar schrijft geen vaste frequentie voor. In de praktijk geldt minimaal één keer per jaar als de ondergrens. Organisaties met een dynamisch risicoprofiel, snelle groei of recente beveiligingsincidenten voeren de beoordeling beter meerdere keren per jaar uit.
De norm hanteert bewust de formulering “geplande intervallen” om organisaties de ruimte te geven een frequentie te kiezen die past bij hun context. Een auditor beoordeelt of de gekozen frequentie redelijk en aantoonbaar onderbouwd is. Daarbij spelen de volgende factoren een rol:
- Complexiteit van de organisatie: Grotere of complexere organisaties met meer risico’s profiteren van een hogere frequentie.
- Wijzigingen in de omgeving: Fusies, nieuwe diensten, wetgeving zoals NIS2 of een significante toename van dreigingen rechtvaardigen een tussentijdse beoordeling.
- Incidenten: Na een ernstig beveiligingsincident is een extra directiebeoordeling een logische en verwachte stap.
Een jaarlijkse beoordeling is het minimum, maar organisaties die vaker evalueren laten zien dat het managementsysteem daadwerkelijk wordt gebruikt als sturingsinstrument. Dat is precies wat een auditor wil zien tijdens de ISO 27001-certificering.
Een goed voorbereide directiebeoordeling is een van de sterkste signalen dat jouw organisatie informatiebeveiliging serieus neemt. Wil je weten hoe jouw directiebeoordeling ervoor staat of hoe je je kunt voorbereiden op de volgende audit? Neem contact op met ons team en plan een vrijblijvend gesprek.
Veelgestelde vragen
Wat controleert een auditor het meest kritisch tijdens de directiebeoordeling?
Een auditor kijkt het meest kritisch naar de opvolging van eerdere actiepunten, de beoordeling van actuele risico’s en de aantoonbare betrokkenheid van het topmanagement. Ontbreken concrete besluiten of zijn acties niet uitgevoerd, dan leidt dit al snel tot een bevinding tijdens de ISO 27001-audit.
Hoe laat je als organisatie zien dat het topmanagement écht betrokken is bij informatiebeveiliging?
Je toont echte betrokkenheid door aanwezigheidslijsten bij te houden, vragen en besluiten van directieleden op te nemen in het verslag, en ervoor te zorgen dat een directielid tijdens de audit zelf kan uitleggen wat er is besproken. Zo maak je duidelijk dat informatiebeveiliging een strategisch thema is.
Welke documenten moet je klaar hebben voor en na de directiebeoordeling?
Voor de vergadering heb je de actuele risicolijst, auditresultaten, prestatierapportages en de actiepuntenlijst uit de vorige beoordeling nodig. Na afloop documenteer je de besluiten, actiepunten, verantwoordelijken en deadlines in een verslag, zodat alles eenvoudig beschikbaar is voor de auditor.
Hoe vaak moet je een directiebeoordeling uitvoeren om te voldoen aan ISO 27001?
ISO 27001 schrijft geen vaste frequentie voor, maar minimaal één keer per jaar geldt als ondergrens. Organisaties met een dynamisch risicoprofiel, recente beveiligingsincidenten of grote veranderingen in hun omgeving doen er verstandig aan de beoordeling meerdere keren per jaar uit te voeren.
Gerelateerde artikelen
- Welke veelgemaakte fouten in een verklaring van toepasselijkheid merkt de auditor direct op?
- Wat kost een ISO 27001 certificeringsaudit en wat krijg je daarvoor?
- Wat zijn signalen dat een organisatie nog niet klaar is voor een ISO 27001 audit?
- Wat is het verschil tussen een certificaat en een auditrapport?
- Welke methodieken gebruik je voor risicoanalyse?
