ISO 27001-certificering: kosten en stappen

Wat is ISO 27001 certificering?

ISO 27001 certificering betekent dat uw organisatie aantoonbaar voldoet aan de internationale norm voor informatiebeveiliging. De norm beschrijft hoe u informatiebeveiliging structureel organiseert, niet alleen technisch, maar ook organisatorisch en procesmatig.

Centraal staat het Information Security Management System (ISMS): een managementsysteem waarin risico’s worden geïdentificeerd, beheerst en continu verbeterd. ISO 27001:2022 bevat 93 beheersmaatregelen (Annex A), verdeeld over thema’s zoals toegangsbeveiliging, incidentmanagement, leveranciersbeheer en governance.

Belangrijk om te weten: ISO 27001 is certificeerbaar. Dat betekent dat een onafhankelijke certificerende instantie toetst of uw organisatie voldoet aan de norm. Dat is een belangrijk verschil met richtlijnen of best practices.

Waarom ISO 27001 steeds vaker wordt gevraagd

ISO 27001 is allang geen "nice to have" meer. Het aantal certificaten wereldwijd is in 2024 bijna verdubbeld: van 48.671 naar 96.709 actieve certificaten (bron: ISO Survey 2024). In Nederland zijn nu 1.568 organisaties gecertificeerd, verdeeld over 3.345 locaties — daarmee staat Nederland op de 13e plaats wereldwijd.

Organisaties krijgen het certificaat steeds vaker expliciet gevraagd door klanten, verzekeraars en ketenpartners. Dit gebeurt met name bij:

• IT‑bedrijven en SaaS‑leveranciers
• Zorginstellingen en zorgleveranciers
• Zakelijke dienstverleners die werken met gevoelige data
• Organisaties die deelnemen aan aanbestedingen
• Bedrijven die onder de NIS2-richtlijn (Cyberbeveiligingswet) vallen

"De meeste MKB-bedrijven onderschatten hoeveel ze al op orde hebben. Een goede nulmeting laat vaak zien dat 40-60% van de ISO 27001 eisen al informeel is ingeregeld. Het werk gaat dan over structureren en aantoonbaar maken — niet over alles opnieuw uitvinden." — Niels Maas, oprichter MaasISO

ISO 27001 laat zien dat informatiebeveiliging geen losse maatregelen zijn, maar structureel en aantoonbaar zijn ingebed in beleid, processen en verantwoordelijkheden.

Annex A — De 93 beheersmaatregelen

In ISO 27001:2022 is de structuur van Annex A fundamenteel gewijzigd ten opzichte van de vorige versie (2013). De oude 14 categorieën zijn vervangen door 4 overzichtelijke thema's. Het totaal aantal controls is teruggebracht van 114 naar 93, waarbij 11 volledig nieuwe controls zijn toegevoegd — waaronder threat intelligence, cloudbeveiliging en data masking.

De Statement of Applicability (SoA) bepaalt welke van deze 93 controls van toepassing zijn op uw organisatie. Niet elke organisatie hoeft alle controls te implementeren — de selectie is gebaseerd op uw risicoanalyse.

Wat kost ISO 27001 certificering?

De kosten voor ISO 27001 certificering bestaan uit de externe certificering door een onafhankelijke certificerende instantie, eventuele tooling en de tijd die u zelf steekt in het opzetten van het ISMS.

Kosten certificering en beheer

Certificerende instellingen publiceren zelden vaste tarieven; vraag offertes op bij meerdere geaccrediteerde instellingen, met het aantal auditdagen erin.

• Certificeringsaudit, fase 1 en 2: doorgaans € 5.000 – € 20.000 (bron: Digitrust, zelf geaccrediteerd)
• Controleaudits in jaar 2 en 3: kleiner dan de certificeringsaudit
• Interne audit: verplicht (clausule 9.2), door iemand die niet zijn eigen werk beoordeelt

Alle kostenposten, bronnen en een rekenvoorbeeld staan in het artikel Wat kost ISO 27001-certificering?

Het grootste deel van de inspanning zit in de risicoanalyse, de Verklaring van Toepasselijkheid en het vastleggen van beleid en procedures. Met een complete, kant-en-klare documentenset beperkt u die inspanning aanzienlijk.

Hoelang duurt ISO 27001 implementatie?

Voor MKB‑organisaties ligt de doorlooptijd van ISO 27001 meestal tussen 3 en 9 maanden. De exacte duur hangt af van de omvang en complexiteit van de organisatie, de mate waarin processen al zijn ingericht en de beschikbare interne capaciteit.

Wie te snel naar de audit toewerkt, loopt daar vaak vertraging op. Een gestructureerde aanpak levert vrijwel altijd een sneller en stabieler resultaat op.

Stap 1 – Scope en nulmeting

Bepaal welke onderdelen van de organisatie onder het ISMS vallen en voer een nulmeting uit om te zien waar de grootste gaps zitten ten opzichte van ISO 27001.

Stap 2 – Risicoanalyse en SoA

Breng de informatiebeveiligingsrisico’s in kaart en stel de Statement of Applicability (SoA) op, waarin u vastlegt welke beheersmaatregelen van toepassing zijn.

Stap 3 – Implementatie van het ISMS

Richt beleid, procedures, rollen en beheersmaatregelen in en integreer ze in de dagelijkse bedrijfsvoering.

Stap 4 – Interne audit en management review

Toets of het ISMS werkt zoals bedoeld en of het management actief betrokken is bij de werking en verbetering ervan.

Stap 5 – Externe audit en certificering

Een onafhankelijke certificerende instantie voert de fase 1- en fase 2‑audit uit en beoordeelt of de organisatie ISO 27001 gecertificeerd kan worden.

ISO 27001 vs ISO 27002 vs NIS2

De termen ISO 27001, ISO 27002 en NIS2 worden vaak door elkaar gebruikt, maar ze hebben een fundamenteel andere rol.

ISO 27001 gebruikt u om aantoonbaar grip te krijgen op informatiebeveiliging. NIS2 — in Nederland de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt — bepaalt voor welke organisaties bepaalde beveiligingseisen wettelijk verplicht zijn.

NIS2 Artikel 21: Mapping op ISO 27001

De Cyberbeveiligingswet (NIS2) stelt in Artikel 21 tien risicobeheersmaatregelen verplicht voor essentiële en belangrijke entiteiten. Organisaties die al ISO 27001 gecertificeerd zijn, hebben circa 70-80% van deze maatregelen al aantoonbaar geïmplementeerd. De onderstaande tabel toont hoe de NIS2-eisen mappen op specifieke ISO 27001 Annex A controls:

ISO 27001 is daarmee het meest directe pad naar NIS2-compliance. Organisaties die nog geen managementsysteem hebben, kunnen met ISO 27001 in één keer zowel certificering als een groot deel van de Cbw-zorgplicht afdekken.