Hoeveel tijd kost ISO 27001 intern per week?

Een ISO 27001-traject vergt een serieuze tijdsinvestering, maar hoeveel tijd kost het nu eigenlijk intern per week? Dat is een van de eerste vragen die organisaties stellen voordat ze aan het traject beginnen. Het eerlijke antwoord is: dat hangt af van meerdere factoren. Toch is het goed mogelijk om een realistische inschatting te maken, zodat je de juiste mensen kunt inplannen en het traject beheersbaar houdt.

In dit artikel doorloop je stap voor stap hoe je de tijdsinvestering voor ISO 27001 in kaart brengt, verdeelt over rollen en structureel beheersbaar maakt. Of je nu in de zorg, ICT of het onderwijs werkt: met de juiste aanpak hoeft ISO 27001 intern geen onhanteerbare last te worden.

Breng eerst de tijdsbepalende factoren in kaart

Voordat je uren gaat plannen, is het belangrijk te begrijpen welke factoren de tijdsbesteding van ISO 27001 het meest beïnvloeden. Organisaties die dit overslaan, lopen het risico de benodigde inzet structureel te onderschatten, wat later leidt tot stress, vertraging of een onvolledig managementsysteem.

De voornaamste factoren die bepalen hoeveel uren je intern kwijt bent:

• Omvang van de organisatie: Meer medewerkers, processen en systemen betekent meer documentatie en meer risicoanalyse.
• Volwassenheid van de huidige beveiliging: Organisaties die al een basisniveau van informatiebeveiliging hebben ingericht, starten met een voorsprong.
• Scope van het certificaat: Een smalle scope (één afdeling of één dienst) vraagt aanzienlijk minder tijd dan een organisatiebrede scope.
• Beschikbaarheid van medewerkers: Zijn de betrokken mensen ook nog verantwoordelijk voor hun reguliere werk? Dan moet je rekening houden met realistische beschikbaarheid.
• Kwaliteit van de begeleiding: Met de juiste structuur en hulpmiddelen verlopen de implementatiestappen sneller en gerichter.

Controleer na deze inventarisatie of je een helder beeld hebt van de scope en de huidige situatie. Zonder dat beeld zijn alle urenschattingen in de volgende stappen weinig meer dan giswerk.

Schat de uren per fase van het traject

De ISO 27001-implementatietijd is niet gelijkmatig verdeeld over het traject. Sommige fases vragen een intensieve sprint, andere vragen juist een lage maar consistente inzet. Door het traject op te splitsen in fases, kun je per periode realistisch plannen.

Globaal bestaat een ISO 27001-traject uit de volgende fases met bijbehorende tijdsindicaties voor een gemiddelde middelgrote organisatie:

1. Nulmeting en GAP-analyse (2-4 weken): Breng in kaart wat al aanwezig is en wat nog ontbreekt. Intern kost dit doorgaans 4 tot 8 uur per betrokken medewerker.
2. Implementatie van beleid en maatregelen (3-6 maanden): Dit is de meest tijdsintensieve fase. Reken op gemiddeld 4 tot 8 uur per week voor de trekker van het traject, plus incidentele bijdragen van andere medewerkers.
3. Interne audit (2-4 weken): Een interne audit vraagt voorbereiding, uitvoering en rapportage. Afhankelijk van de scope kost dit 8 tot 20 uur totaal.
4. Voorbereiding externe audit (2-4 weken): Documentatie controleren, openstaande punten sluiten en medewerkers voorbereiden. Reken op 4 tot 8 uur extra in deze periode.

Na het doorlopen van deze fases heb je een concreet uurplaatje per fase. Gebruik dit als basis voor je projectplanning en communiceer de verwachte inzet tijdig naar het management.

Verdeel de taken over de juiste rollen

Een veelgemaakte fout is dat de volledige ISO 27001-tijdsinvestering op de schouders van één persoon terechtkomt. Dat is niet alleen onwenselijk, het leidt ook tot een managementsysteem dat leeft bij één medewerker in plaats van in de organisatie. Verdeel de verantwoordelijkheden bewust.

Typische rollen en hun geschatte inzet per week tijdens de implementatiefase:

• Projectleider of Security Officer: 4 tot 8 uur per week. Coördineert het traject, bewaakt de voortgang en is het centrale aanspreekpunt.
• Directie of management: 1 tot 2 uur per maand. Neemt beslissingen over scope, risicoacceptatie en beleid. Betrokkenheid is essentieel, maar hoeft niet intensief te zijn.
• Proceseigenaren: 1 tot 2 uur per week in actieve periodes. Leveren input voor risicoanalyses en zijn verantwoordelijk voor maatregelen binnen hun domein.
• Medewerkers: Incidenteel, bij trainingen en bewustwordingssessies. Reken op 2 tot 4 uur per jaar per medewerker.

Controleer of elke rol ook daadwerkelijk is ingevuld door een benoemde persoon met voldoende mandaat. Een Security Officer zonder beslissingsbevoegdheid of managementsteun maakt het traject onnodig zwaar. Meer informatie over hoe implementatietrajecten worden ingericht, helpt je bij het maken van deze keuzes.

Houd de tijdsinvestering beheersbaar na certificering

Na het behalen van het certificaat daalt de intensiteit, maar de inzet stopt niet. ISO 27001 vereist een continu verbeterproces: het managementsysteem moet levend blijven. Organisaties die dit onderschatten, zien hun systeem verworden tot papieren tijger, met een moeizame hercertificering als gevolg.

In de beheerfase gelden globaal de volgende tijdsindicaties:

1. Regulier onderhoud van beleid en documentatie: 1 tot 2 uur per week voor de Security Officer, verdeeld over het jaar.
2. Jaarlijkse managementreview: Voorbereiding en uitvoering kosten doorgaans 4 tot 8 uur, inclusief de vergadering zelf.
3. Jaarlijkse interne audit: Plan dit structureel in als voorbereiding op de externe surveillance-audit. Zie ook de mogelijkheden voor interne audits.
4. Bewustwording en training van medewerkers: Minimaal één keer per jaar, aangevuld met korte updates bij relevante incidenten of wijzigingen.

Een goed ingericht systeem vraagt na certificering gemiddeld 2 tot 4 uur per week van de Security Officer. Dat is beheersbaar, mits het systeem van begin af aan is ingericht op de bedrijfsvoering en niet slechts op papieren compliance.

Gebruik slimme hulpmiddelen om uren te besparen

De tijdsbesteding van ISO 27001 intern is aanzienlijk te reduceren door slimme hulpmiddelen en gestructureerde werkwijzen te gebruiken. Veel organisaties besteden onnodig veel tijd aan het van nul af opbouwen van documentatie, terwijl bewezen templates en tools het proces aanzienlijk versnellen.

Overweeg de volgende hulpmiddelen en aanpakken:

• Een ISMS-tool: Een Information Security Management System-tool centraliseert documentatie, risicoanalyses en verbeteracties op één plek. Dit voorkomt verspreide bestanden en bespaart zoektijd.
• Gestandaardiseerde templates: Gebruik bewezen beleidssjablonen en risicoregisters als startpunt. Pas ze aan op de eigen organisatie, maar begin niet met een leeg vel.
• Workshops voor Security Officers: Regelmatige sessies gericht op specifieke onderdelen van de norm zorgen voor gerichte kennisopbouw zonder dat je alles zelf hoeft uit te zoeken.
• Gestructureerde begeleiding: Een externe consultant met een bewezen methodiek helpt je de juiste keuzes te maken en voorkomt dat je tijd verliest aan zijpaden.

Verifieer na het inrichten van je hulpmiddelen of alle betrokkenen weten hoe ze ermee werken. Een tool die niet wordt gebruikt, bespaart geen tijd. Bekijk ook het volledige dienstenaanbod om te zien welke ondersteuning beschikbaar is bij de verschillende fases van het traject.

Hoe Kwinzo helpt met de tijdsinvestering van ISO 27001

Een ISO 27001-traject hoeft niet te betekenen dat je maandenlang worstelt met onduidelijke eisen en stapels documentatie. Wij helpen organisaties in zorg, ICT en onderwijs om het certificeringsproces efficiënt en behapbaar te maken, zonder in te leveren op kwaliteit of maatwerk.

Wat wij concreet bieden om de tijdsinvestering beheersbaar te houden:

• Een vrijblijvend adviesgesprek met een inschatting van doorlooptijd en benodigde inzet, afgestemd op jouw organisatie en situatie
• Begeleidingspakketten variërend van doe-het-zelf met onze structuur tot volledige begeleiding door onze consultants
• Een eigen ISMS-tool die documentatie, risicoanalyses en verbeteracties centraliseert
• Maandelijkse workshops voor Security Officers, gericht op specifieke onderdelen van de norm
• Interne audits als generale repetitie voor de externe certificering, uitgevoerd door onze auditors
• Een bewezen implementatiemethodiek die de norm afstemt op jouw bedrijfsvoering, niet andersom

Wil je weten hoeveel tijd jouw organisatie specifiek nodig heeft en hoe je dat slim organiseert? Neem contact op voor een vrijblijvend gesprek. We maken samen een realistische inschatting en bepalen welke aanpak het beste past bij jouw situatie.