ISO 27001 checklist: clausules en Annex A

Een ISO 27001-checklist is een lijst van alle eisen uit de clausules 4 tot en met 10 en de 93 maatregelen uit bijlage A van ISO/IEC 27001:2022, waarmee u per eis nagaat of uw organisatie eraan voldoet.

Uw organisatie staat voor de uitdaging om informatiebeveiliging aantoonbaar te regelen. Cyberdreigingen worden geavanceerder, de NIS2-richtlijn stelt strengere eisen, en klanten vragen steeds vaker om een ISO 27001 certificaat. Dan hebt u een ISO 27001 checklist nodig die u kunt vertrouwen — geen oppervlakkig overzicht, maar een complete lijst die precies laat zien wat de norm van uw organisatie verwacht.

Het probleem? De meeste checklists die u online vindt zijn óf verouderd (nog gebaseerd op de 2013-versie), óf zo oppervlakkig dat u er in de praktijk weinig mee kunt. Dat is precies het moment waarop bedrijven vastlopen.

In dit artikel geven we u een compleet overzicht van alle ISO 27001 normeisen — clausule 4 tot en met 10 én alle 93 Annex A controls uit de 2022-versie. Praktisch, actueel en direct toepasbaar.

---

Wat is ISO 27001 en waarom hebt u een checklist nodig?

ISO 27001 is de internationale norm voor het opzetten, implementeren en onderhouden van een Information Security Management System (ISMS). Het doel: de vertrouwelijkheid, integriteit en beschikbaarheid van informatie borgen via een systematische, risicogebaseerde aanpak.

De norm bestaat uit twee delen:

• Clausules 4 tot en met 10 — de eisen voor het managementsysteem zelf (context, leiderschap, planning, ondersteuning, uitvoering, evaluatie, verbetering)
• Annex A — een catalogus van 93 beveiligingsmaatregelen (controls) die u selecteert op basis van uw risicoanalyse

Een checklist is onmisbaar omdat de norm behoorlijk abstract is. Zonder gestructureerd overzicht mist u gegarandeerd normeisen. Eén gemiste eis kan al leiden tot een major non-conformity en het niet behalen van uw certificaat.

Meer weten over alle ISO 27001 eisen? Lees dan ons uitgebreide artikel over de complete normeisen.

---

ISO 27001:2022 — wat is er veranderd?

De overgang van ISO 27001:2013 naar ISO/IEC 27001:2022 bracht significante wijzigingen in de Annex A controls. Dit moet u weten:

Van 114 naar 93 controls in vier thema's

De oude structuur met 14 categorieën is vervangen door vier overzichtelijke thema's:

Nieuwe controls in de 2022-versie

Er zijn 11 volledig nieuwe controls toegevoegd, waaronder:

• Threat intelligence (A.5.7) — actief dreigingsinformatie verzamelen en analyseren
• Cloud security (A.5.23) — specifieke eisen voor cloudgebruik
• ICT-gereedheid voor bedrijfscontinuïteit (A.5.30) — ICT-specifieke continuïteitsplanning
• Secure coding (A.8.28) — veilig programmeren als expliciete eis
• Data masking (A.8.11) en DLP (A.8.12) — gegevensbescherming op dataniveau

Waar auditoren in 2026 extra op letten

Let bij de audit vooral op:

• Ketenbeveiliging en leveranciersbeheer — hoe bewaakt u de beveiliging in uw supply chain?
• NIS2-integratie — hoe verhoudt uw ISMS zich tot de NIS2-verplichtingen?
• Meetbare KPI's — niet alleen beleid hebben, maar aantonen dat het werkt
• Managementbetrokkenheid — de directie moet het ISMS actief sturen, niet alleen tekenen

---

Complete ISO 27001 checklist: clausules 4 t/m 10

Hieronder vindt u de checklist per normclausule. Elk punt is een controlevraag die u kunt gebruiken bij implementatie, gap-analyse of interne audit.

Clausule 4: Context van de organisatie

Het fundament van uw ISMS. Zonder goede contextanalyse bouwt u op drijfzand.

• Zijn interne en externe issues geïdentificeerd die relevant zijn voor het ISMS?
• Worden deze issues periodiek herzien (minimaal jaarlijks)?
• Zijn alle relevante belanghebbenden (stakeholders) geïdentificeerd?
• Zijn de eisen en verwachtingen van belanghebbenden vastgesteld (inclusief wettelijke eisen zoals NIS2 en AVG)?
• Is de scope van het ISMS duidelijk gedefinieerd en gedocumenteerd?
• Zijn de grenzen en toepasselijkheid van het ISMS bepaald?
• Is het ISMS opgezet, geïmplementeerd, onderhouden en wordt het continu verbeterd?

Clausule 5: Leiderschap

De directie moet aantoonbaar betrokken zijn — niet alleen een handtekening onder het beleid zetten.

• Toont het topmanagement leiderschap en betrokkenheid bij het ISMS?
• Is een informatiebeveiligingsbeleid vastgesteld dat past bij de context en strategie?
• Bevat het beleid een commitment aan continue verbetering?
• Is het beleid gecommuniceerd naar alle medewerkers en relevante partijen?
• Zijn rollen, verantwoordelijkheden en bevoegdheden voor informatiebeveiliging toegewezen?
• Is er een verantwoordelijke aangewezen die rapporteert over ISMS-prestaties aan de directie?

Wat wij vaak zien: De directeur heeft het informatiebeveiligingsbeleid goedgekeurd maar kan niet uitleggen wat de top 3 risico's zijn. Dat is een rode vlag voor elke auditor.

Clausule 6: Planning

Hier wordt u risicogebaseerde aanpak concreet.

• Is een risicobeoordeling uitgevoerd die past bij de context van de organisatie?
• Zijn criteria voor risicoacceptatie vastgesteld?
• Zijn risico's geïdentificeerd, geanalyseerd en geëvalueerd?
• Is een risicobehandelingsplan opgesteld met gekozen maatregelen?
• Zijn de gekozen maatregelen afgestemd op Annex A?
• Is een Statement of Applicability (SoA) opgesteld?
• Zijn informatiebeveiligingsdoelstellingen vastgesteld die meetbaar zijn?
• Is bepaald: wat, wie, wanneer en hoe voor elke doelstelling?

Clausule 7: Ondersteuning

Mensen, middelen, competenties en communicatie — de bouwstenen van uw ISMS.

• Zijn de benodigde middelen voor het ISMS bepaald en beschikbaar gesteld?
• Is de competentie van medewerkers bepaald op basis van opleiding en ervaring?
• Worden security awareness trainingen uitgevoerd en gedocumenteerd?
• Zijn medewerkers bewust van het beveiligingsbeleid en hun verantwoordelijkheden?
• Is bepaald welke interne en externe communicatie nodig is over informatiebeveiliging?
• Is gedocumenteerde informatie beheerd conform de normeisen (versiebeheer, goedkeuring, distributie)?

Clausule 8: Uitvoering

De daadwerkelijke implementatie van u plannen.

• Worden de geplande processen uit clausule 6 uitgevoerd en beheerst?
• Wordt de risicobeoordeling periodiek herhaald (minimaal jaarlijks of bij significante wijzigingen)?
• Wordt het risicobehandelingsplan uitgevoerd?
• Worden de resultaten van risicobeoordeling en -behandeling gedocumenteerd en bewaard?

Clausule 9: Evaluatie van prestaties

Meten is weten — ook bij informatiebeveiliging.

• Is bepaald wat gemonitord en gemeten moet worden, en met welke methoden?
• Worden de resultaten van monitoring geanalyseerd en geëvalueerd?
• Worden interne audits uitgevoerd volgens een gepland programma?
• Zijn auditoren objectief en onpartijdig?
• Worden auditresultaten gerapporteerd aan de directie?
• Voert het topmanagement periodiek een management review uit?
• Worden alle vereiste inputs meegenomen (auditresultaten, incidenten, KPI's, risico's)?

Clausule 10: Verbetering

Continue verbetering is het hart van elk managementsysteem.

• Worden non-conformiteiten geïdentificeerd en gecorrigeerd?
• Wordt een oorzaakanalyse (root cause analysis) uitgevoerd bij afwijkingen?
• Worden corrigerende maatregelen genomen om herhaling te voorkomen?
• Wordt de effectiviteit van corrigerende maatregelen geëvalueerd?
• Wordt het ISMS continu verbeterd?

Tip: Wilt u alle 93 controls in één werkdocument? Download de gratis verklaring van toepasselijkheid in Excel, met per control het besluit, de reden en de status.

---

Annex A controls: de 93 maatregelen in vier categorieën

Naast de clausules 4 t/m 10 bevat de norm Annex A met 93 beveiligingsmaatregelen. U hoeft niet alle controls te implementeren — alleen die relevant zijn op basis van uw risicoanalyse. Maar u moet in de Statement of Applicability (SoA) wél motiveren waarom uw controls uitsluit.

Organisatorische maatregelen (A.5: 37 controls)

Dit zijn de beleidsmatige en procedurele maatregelen:

• Informatiebeveiligingsbeleid en -rollen
• Identificatie en classificatie van informatie
• Leveranciersbeheer en ketenbeveiliging
• Threat intelligence (nieuw) — actief dreigingsinformatie verzamelen
• Cloud security (nieuw) — eisen aan cloudservices
• Incidentbeheer en business continuity
• Compliance met wet- en regelgeving (AVG, NIS2)

Mensgerichte maatregelen (A.6: 8 controls)

De menselijke factor is vaak de zwakste schakel:

• Screening vóór indiensttreding
• Arbeidsvoorwaarden met beveiligingsclausules
• Security awareness en training
• Disciplinaire maatregelen
• Verantwoordelijkheden bij beëindiging dienstverband
• Thuiswerk- en remote access beleid

Fysieke maatregelen (A.7: 14 controls)

Fysieke beveiliging wordt regelmatig onderschat:

• Beveiligde zones en toegangscontrole
• Bescherming van apparatuur
• Clear desk en clear screen beleid
• Veilige verwijdering van opslagmedia
• Onderhoud van nutsvoorzieningen

Technologische maatregelen (A.8: 34 controls)

De technische ruggengraat van uw informatiebeveiliging:

• Toegangsbeheer en authenticatie
• Encryptie en sleutelbeheer
• Logging en monitoring
• Netwerkbeveiliging en -segmentatie
• Penetratietesten en vulnerability management
• Secure coding (nieuw) — veilig programmeren
• Data masking en DLP (nieuw) — gegevensbescherming op dataniveau
• Back-up en recovery
• Redundantie van IT-voorzieningen

---

Statement of Applicability (SoA): het hart van uw ISMS

De Statement of Applicability is het document dat uw ISMS uniek maakt. Het beschrijft welke Annex A controls u hebt geselecteerd, waarom, en hoe ze zijn geïmplementeerd. Controls die u niet toepast, moet u expliciet uitsluiten met een motivatie.

Een goede SoA:

• Bevat alle 93 Annex A controls met per control de status (geïmplementeerd/niet van toepassing)
• Verwijst naar het risicobehandelingsplan voor de onderbouwing
• Is consistent met de scope van uw ISMS
• Wordt periodiek herzien (minimaal jaarlijks)

Veelgemaakte fout: De SoA opstellen als een losstaand document zonder directe link naar de risicoanalyse. Auditoren willen de rode draad zien: risico → maatregel → bewijs.

---

Gap-analyse met de ISO 27001 checklist

Een gap-analyse is het eerste wat u doet vóórdat u begint met implementeren. Zo voorkomt u dat u werk dubbel doet.

Bij een gap-analyse loopt u de volledige ISO 27001 checklist door en beoordeelt u per punt:

Zo pakt u het aan:

• Scoor elk checklistpunt op een schaal van 0-3 (niet aanwezig, deels, grotendeels, volledig)
• Prioriteer op basis van risico en impact
• Maak een implementatieplan met realistische deadlines
• Een MKB-bedrijf dat nog niet eerder met ISO 27001 heeft gewerkt, voldoet bij de eerste gap-analyse meestal aan een klein deel van de eisen

Wilt u de checklist gebruiken voor uw eigen gap-analyse? Werk met de ISO 27001 Toolkit: daarin staan de auditchecklist (T-AUD-003), de verklaring van toepasselijkheid (ISB-001) en een normdekking (DEK-001) die per eis laat zien in welk document die is uitgewerkt.

---

Interne audit met de ISO 27001 checklist

Een interne audit is niet hetzelfde als het afvinken van de checklist. Bij een interne audit gebruikt u de checklist als basis, maar gaat u dieper: u verzamelt objectief bewijs.

Zo pakt u het aan:

1. Plan het auditprogramma — bepaal welke ISMS-onderdelen u wanneer auditet. Niet alles hoeft in één keer.
2. Selecteer onpartijdige auditoren — een medewerker mag niet zijn eigen proces auditen.
3. Gebruik de checklist per clausule — maar stel ook doorvraagvragen: "Kunt u me het bewijs laten zien?"
4. Zoek objectief bewijs — beleidsdocumenten, logs, registraties, configuratie-screenshots.
5. Rapporteer bevindingen — onderscheid tussen "conform", "observatie" en "afwijking".
6. Volg op — elke afwijking krijgt een corrigerende maatregel met deadline en verantwoordelijke.

Auditfrequentie: De norm vereist interne audits "met geplande tussenpozen". Plan minimaal één complete auditcyclus per jaar. Bij significante wijzigingen in uw IT-landschap of na beveiligingsincidenten: direct een gerichte audit.

---

Veelgemaakte fouten bij ISO 27001 implementatie

Deze fouten komen steeds terug:

1. Alleen focussen op Annex A en clausules 4-10 vergeten De Annex A controls zijn belangrijk, maar het managementsysteem (clausules 4-10) is de ruggengraat. Zonder goed werkend ISMS zijn uw controls losstaande maatregelen zonder samenhang.

2. De SoA als eenmalig document behandelen De Statement of Applicability is een levend document. Na elke risicoherziening, organisatiewijziging of incident moet u beoordelen of de SoA nog klopt.

3. Risicobeoordeling als papieren exercitie Te vaak wordt een risicobeoordeling door één persoon achter een bureau ingevuld. Betrek proceseigenaren, IT en management. Een risicobeoordeling moet de werkelijkheid weerspiegelen, niet een wenssituatie.

4. Geen eigenaarschap per control Elke Annex A control moet een eigenaar hebben. Als niemand verantwoordelijk is voor leveranciersbeheer (A.5.19-A.5.22), dan gebeurt het niet structureel.

5. Security awareness onderschatten Een jaarlijkse e-learning afvinken is geen awareness-programma. Effectieve awareness is continu: phishing-simulaties, kwartaalworkshops, incidentcommunicatie. De mens is en blijft de zwakste schakel.

---

Praktische tips voor snelle implementatie

1. Start met de gap-analyse — bepaal exact waar u staat ten opzichte van de norm, met de checklist uit dit artikel.
2. Koppel controls aan bestaande processen — bouw voort op wat u al hebt. Veel organisaties hebben al maatregelen zonder dat ze het weten.
3. Wijs eigenaarschap toe per control — één verantwoordelijke per maatregel, niet het hele management.
4. Begin met uw top 10 risico's — pak eerst de grootste bedreigingen aan. Perfectie komt later.
5. Integreer met bestaande systemen — hebt u al een ISO 9001 kwaliteitssysteem? Beide normen delen de High Level Structure, dus u kunt processen hergebruiken.
6. Plan kwartaal-micro-audits — korte, gerichte controles zijn effectiever dan één grote jaarlijkse audit.
7. Maak de directie eigenaar — niet de IT-manager. ISO 27001 certificering is een bedrijfsbrede aangelegenheid.

---

De checklist als werkdocument

Wilt u niet in een eigen spreadsheet beginnen? De ISO 27001 Toolkit bevat de documenten om deze checklist direct toe te passen bij uw gap-analyse, interne audit of certificeringsvoorbereiding:

• Auditchecklist ISO 27001 (T-AUD-003)
• Verklaring van toepasselijkheid (ISB-001) met alle 93 controls uit ISO/IEC 27001:2022
• Een implementatiegids die u in zestien weken stap voor stap door de invoering leidt
• Een volledig ingevuld voorbeeld van een fictief IT-bedrijf

Op de productpagina ziet u echte voorbeeldpagina's en de volledige documentenlijst.

---

Conclusie

Een ISO 27001 checklist is meer dan een afvinklijst — het is uw routekaart naar een ISMS dat daadwerkelijk waarde toevoegt aan uw organisatie. De checklist in dit artikel dekt alle normeisen uit clausule 4 tot en met 10 én de 93 Annex A controls uit de 2022-versie.

Het belangrijkste advies? Begin. Start met de gap-analyse, identificeer uw grootste risico's, en werk daar stap voor stap naartoe.

Wilt u direct aan de slag? Gebruik de checklist uit dit artikel voor uw eerste gap-analyse. Meer over de norm leest u op onze pagina over ISO 27001.