Welke documenten heb ik nodig voor de ISO 27001-audit?

Voor een ISO 27001-audit heb je twee soorten documentatie nodig: verplichte beleidsdocumenten die beschrijven hoe je informatiebeveiliging hebt ingericht, en bewijs van uitvoering dat aantoont dat je die afspraken ook daadwerkelijk naleeft. De exacte set vereiste documenten is vastgelegd in de norm zelf, aangevuld met records die je gedurende het jaar opbouwt. In dit artikel beantwoorden we de meest gestelde vragen over ISO 27001-auditdocumenten, zodat je goed voorbereid aan de externe audit begint.

Welke documenten zijn verplicht volgens de ISO 27001-norm?

De ISO 27001-norm schrijft een vaste set verplichte documenten voor die elke gecertificeerde organisatie moet hebben. Zonder deze documenten is een succesvolle certificering niet mogelijk. Het gaat om zowel beleidsmatige documenten als operationele registraties die samen het Information Security Management System (ISMS) onderbouwen.

De meest essentiële ISO 27001 vereiste documenten zijn:

• Informatiebeveiligingsbeleid – het overkoepelende beleid dat de doelstellingen en uitgangspunten van het ISMS beschrijft
• Risicobeoordelingsmethodologie en risicobeoordelingsrapport – hoe je risico’s identificeert, analyseert en beoordeelt
• Risicobehandelingsplan – welke maatregelen je treft naar aanleiding van de risicoanalyse
• Statement of Applicability (SoA) – een overzicht van alle beheersmaatregelen uit Annex A, met motivatie waarom je ze wel of niet toepast
• Doelstellingen voor informatiebeveiliging – meetbare doelen op relevante niveaus binnen de organisatie
• Bewijs van competentie – aantoonbare kennis en vaardigheden van medewerkers die een rol spelen in het ISMS
• Intern auditprogramma en auditrapport – planning en uitkomsten van interne audits
• Directiebeoordeling – verslag van de periodieke managementreview
• Corrigerende maatregelen – registratie van afwijkingen en de acties die zijn ondernomen

Naast deze verplichte documenten schrijft de norm ook aanvullende procedures voor, zoals een procedure voor documentbeheer en een procedure voor het omgaan met informatiebeveiligingsincidenten. De exacte invulling mag je als organisatie zelf bepalen, zolang de inhoud aansluit op de eisen van de norm.

Wat is het verschil tussen beleidsdocumenten en bewijs van uitvoering?

Beleidsdocumenten beschrijven wat je organisatie van plan is te doen en hoe processen zijn ingericht. Bewijs van uitvoering toont aan dat je die plannen ook werkelijk uitvoert. Beide zijn onmisbaar bij een ISO 27001-certificeringsaudit: beleid zonder uitvoering overtuigt geen auditor, en uitvoering zonder beleid mist de formele grondslag.

Een concreet voorbeeld maakt het verschil duidelijk. Een incidentprocedure is een beleidsdocument: het beschrijft hoe je organisatie omgaat met beveiligingsincidenten. Een incidentenlog met de daadwerkelijk afgehandelde meldingen is bewijs van uitvoering. Beide documenten vullen elkaar aan.

Andere voorbeelden van bewijs van uitvoering zijn:

• Trainingsregistraties en aanwezigheidslijsten van bewustwordingssessies
• Verslagen van directiebeoordelingen
• Auditrapportages met bevindingen en opvolgacties
• Logbestanden van toegangsbeheer of wijzigingsbeheer
• Ingevulde risicoregisters met datumstempels

Een veelgemaakte fout is dat organisaties hun beleid goed op orde hebben, maar onvoldoende bijhouden dat ze dit beleid ook uitvoeren. Auditors kijken juist naar dat bewijs, omdat het de werkelijke volwassenheid van het ISMS aantoont.

Welke records moet een organisatie bijhouden voor de audit?

Voor de informatiebeveiligingsaudit moet je als organisatie een doorlopende set records bijhouden die de werking van het ISMS over tijd aantonen. Records zijn de levende bewijslast van je managementsysteem en laten zien dat informatiebeveiliging niet alleen op papier bestaat, maar structureel wordt uitgevoerd.

De meest gevraagde records bij een ISO 27001-audit zijn:

1. Risicoregister – actueel overzicht van geïdentificeerde risico’s, beoordeling en status van beheersmaatregelen
2. Incidentenregister – alle gemelde beveiligingsincidenten met afhandeling en lessen
3. Intern auditrapport – bevindingen, nonconformiteiten en opvolgacties van de interne audit
4. Directiebeoordeling – verslag met input, output en besluiten van de managementreview
5. Corrigerende maatregelen – registratie van afwijkingen en de aantoonbare opvolging ervan
6. Leveranciersbeoordelingen – bewijs dat je kritieke leveranciers periodiek evalueert op informatiebeveiligingsaspecten
7. Bewustwordingstrainingen – registratie van wie wanneer welke training heeft gevolgd

Het bijhouden van deze records hoeft niet ingewikkeld te zijn, maar het moet wel consistent gebeuren. Een gestructureerd ISMS-beheerproces helpt om dit gedurende het jaar bij te houden, zodat je niet vlak voor de audit alles bij elkaar hoeft te zoeken.

Hoe weet ik of mijn documentatie volledig genoeg is?

Je documentatie is volledig genoeg als ze alle verplichte elementen uit de ISO 27001-norm dekt, intern consistent is en aansluit op de werkelijke situatie in jouw organisatie. De beste manier om dit te toetsen is een interne audit voorafgaand aan de externe certificeringsaudit.

Een interne audit geeft je een onafhankelijk oordeel over de volledigheid en kwaliteit van je documentatie. De auditor controleert of alle verplichte documenten aanwezig zijn, of ze up-to-date zijn en of het bewijs van uitvoering klopt met wat het beleid beschrijft. Eventuele gaten worden zichtbaar voordat de externe auditor ze tegenkomt.

Naast de interne audit zijn er een aantal praktische controlevragen die je zelf kunt stellen:

• Zijn alle verplichte documenten uit de norm aanwezig en goedgekeurd?
• Sluit de Statement of Applicability aan op het risicobehandelingsplan?
• Zijn alle documenten voorzien van een versienummer en goedkeuringsdatum?
• Heb je voor elk beleid ook aantoonbaar bewijs van uitvoering?
• Zijn er open nonconformiteiten uit de vorige audit die nog niet zijn afgesloten?

Een interne audit laten uitvoeren door een onafhankelijke partij vergroot de betrouwbaarheid van deze toets, omdat een eigen beoordeling snel blinde vlekken mist.

Wanneer moeten documenten worden bijgewerkt vóór de audit?

Documenten moeten worden bijgewerkt zodra de situatie in je organisatie verandert of wanneer een periodieke review dit uitwijst. Voor de audit geldt als vuistregel dat alle kerndocumenten actueel moeten zijn op het moment van de auditdatum, niet pas daags ervoor.

De ISO 27001-norm schrijft niet voor hoe vaak je elk document moet herzien, maar verwacht wel dat je een reviewcyclus hebt vastgelegd en naleeft. In de praktijk hanteren de meeste organisaties een jaarlijkse reviewcyclus voor beleidsdocumenten, aangevuld met een directe update bij relevante wijzigingen zoals:

• Organisatorische veranderingen, zoals een reorganisatie of nieuwe bedrijfsactiviteiten
• Nieuwe of gewijzigde wet- en regelgeving die van invloed is op informatiebeveiliging
• Significante incidenten die aanleiding geven tot beleidsaanpassing
• Uitkomsten van de interne audit of directiebeoordeling
• Wijzigingen in de IT-omgeving of kritieke leveranciers

Plan de documentatiereview bij voorkeur minimaal zes tot acht weken vóór de externe audit. Zo heb je voldoende tijd om eventuele hiaten te herstellen en het bijgewerkte bewijs van uitvoering op te bouwen. Een laatste-minuut update van een beleidsdocument zonder bijbehorend uitvoeringsbewijs roept juist vragen op bij de auditor.

Hoe Kwinzo helpt bij ISO 27001-documentatie

Wij begeleiden organisaties in zorg, ICT en onderwijs bij het volledige ISO 27001-traject, van de eerste nulmeting tot en met de voorbereiding op de externe certificeringsaudit. Op het gebied van ISO 27001-auditdocumenten bieden wij concrete ondersteuning:

• Nulmeting en documentatieanalyse – we brengen in kaart welke documenten al aanwezig zijn en waar de gaten zitten
• Implementatiebegeleiding – we helpen bij het opstellen van alle verplichte beleidsdocumenten, afgestemd op jouw bedrijfsvoering
• Eigen ISMS-tool – een praktisch hulpmiddel om documentatie, risicoregisters en records gestructureerd bij te houden
• Interne audit – we voeren een onafhankelijke interne audit uit als generale repetitie voor de externe certificering
• Maandelijkse workshops – voor Security Officers die hun kennis over de norm en documentatievereisten willen verdiepen

Onze aanpak is gebaseerd op slimme standaardisering gecombineerd met persoonlijke begeleiding. De investering die een ISO 27001-traject met zich meebrengt, verschilt per organisatie en hangt af van factoren zoals de omvang van de organisatie, de complexiteit van de IT-omgeving, de volwassenheid van de bestaande beveiligingsmaatregelen en de mate van begeleiding die gewenst is. We passen de norm aan op jouw organisatie, niet andersom. Wil je weten hoe volledig jouw huidige ISO 27001-documentatie is? Neem contact op voor een vrijblijvend adviesgesprek.