Informatiebeveiliging: normen, certificering en audits
Vraagt u zich af hoe u informatiebeveiliging binnen uw organisatie goed regelt en aantoonbaar maakt richting klanten en stakeholders?
Op deze pagina leest u wat informatiebeveiliging inhoudt, welke normen relevant zijn en hoe een certificeringstraject eruitziet.
Wilt u direct weten waar uw organisatie staat?
Plan dan een kennismakingsgesprek met een van onze specialisten.
Wat is informatiebeveiliging?
Informatiebeveiliging gaat over het beschermen van informatie tegen verlies, misbruik of ongeautoriseerde toegang. Dat raakt niet alleen IT-systemen, maar ook processen, medewerkers en de manier waarop verantwoordelijkheden zijn ingericht.
De kern wordt vaak samengevat in drie principes:
- Vertrouwelijkheid: informatie is alleen toegankelijk voor bevoegden
- Integriteit: informatie is correct en volledig
- Beschikbaarheid: informatie is beschikbaar wanneer nodig
Voor veel organisaties is informatiebeveiliging inmiddels een vast onderdeel van de bedrijfsvoering. Niet alleen vanwege risico’s, maar ook omdat klanten en partners steeds vaker vragen hoe dit is ingericht.
Waarom informatiebeveiliging aantoonbaar maken?
Alleen zeggen dat u informatiebeveiliging op orde heeft, is meestal niet voldoende. In veel gevallen wordt gevraagd om onderbouwing. Denk aan aanbestedingen, samenwerkingen of audits vanuit de keten.
Een managementsysteem voor informatiebeveiliging helpt om structuur aan te brengen. U legt vast welke risico’s er zijn, welke maatregelen u neemt en hoe u deze opvolgt. Dat maakt het niet alleen intern overzichtelijker, maar ook extern toetsbaar.
Certificering zorgt er vervolgens voor dat een onafhankelijke partij bevestigt dat uw organisatie aan de norm voldoet. Dat geeft vertrouwen, zonder dat u dit steeds opnieuw hoeft uit te leggen.
Welke normen zijn er voor informatiebeveiliging?
Er bestaan verschillende normen en richtlijnen die organisaties helpen om informatiebeveiliging gestructureerd in te richten. De keuze hangt af van uw sector, type dienstverlening en risicoprofiel.
ISO 27001: de basis voor informatiebeveiliging
ISO 27001 is de internationale standaard voor informatiebeveiliging. De norm richt zich op het opzetten, implementeren en onderhouden van een Information Security Management System (ISMS).
Hierin legt u onder andere vast:
- welke risico’s er zijn;
- welke beheersmaatregelen u toepast;
- hoe u deze maatregelen monitort en verbetert.
ISO 27017: informatiebeveiliging in de cloud
Deze norm is geen op zichzelf staande certificering, maar wordt als aanvulling gebruikt op een ISO 27001-certificaat. Werkt uw organisatie met cloudomgevingen? Dan is ISO 27017 relevant. Deze norm geeft namelijk aanvullende richtlijnen voor informatiebeveiliging binnen cloudservices, zowel voor aanbieders als gebruikers.
ISO 27017 helpt u om:
- verantwoordelijkheden tussen klant en cloudprovider te verduidelijken
- risico’s binnen cloudomgevingen beter te beheersen
ISO 27018: bescherming van persoonsgegevens in de cloud
Ook deze norm is geen op zichzelf staande certificering, en wordt ook als aanvulling gebruikt op een ISO 27001-certificaat. ISO 27018 richt zich specifiek op de bescherming van persoonsgegevens in publieke cloudomgevingen.
De norm bevat aanvullende maatregelen voor organisaties die persoonsgegevens verwerken via cloudproviders.
ISO 27799: informatiebeveiliging in de zorg
is een internationale norm die specifiek beschrijft hoe organisaties in de gezondheidszorg patiëntgegevens en medische informatie moeten beveiligen. De norm fungeert als een ‘vertaalslag’. Algemene informatiebeveiligingsnormen zoals ISO 27001 en ISO 27002 zijn geschreven voor álle sectoren (van banken tot webshops). ISO 27799 neemt die basisprincipes en past ze specifiek toe op de unieke risico’s, wetgeving en werkprocessen in de zorgsector.
NEN 7510: Nederlandse norm voor de zorg
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg en sluit nauw aan op ISO 27001. De norm bevat aanvullende eisen en beheersmaatregelen die specifiek zijn afgestemd op de zorgsector.
De NEN heeft ISO 27799 integraal verwerkt in de NEN 7510-2. Als een Nederlandse zorginstelling voldoet aan de NEN 7510, voldoet zij daarmee automatisch aan de internationale best practices van ISO 27799.
Baseline Informatiebeveiliging Overheid (BIO)
Voor overheidsorganisaties geldt de Baseline Informatiebeveiliging Overheid (BIO). Dit is het normenkader dat gebaseerd is op ISO 27001 en specifiek is ingericht voor overheidsinstellingen.
NIS2 en de Nederlandse Cyberbeveiligingswet
De Europese NIS2-richtlijn stelt eisen aan de cyberbeveiliging van organisaties in kritieke sectoren. In Nederland is deze richtlijn geïmplementeerd via de Cyberbeveiligingswet (Cbw), die sinds 15 augustus 2026 van kracht is.
Valt uw organisatie onder de Cyberbeveiligingswet? Dan gelden onder meer een registratieplicht, zorgplicht en meldplicht voor significante incidenten. Ook moet het bestuur de beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering en passende training volgen. Welke verplichtingen van toepassing zijn, hangt onder meer af van uw sector en de kenmerken van uw organisatie.
Lees meer over de Cyberbeveiligingswet en de verplichtingen voor uw organisatie.
Wilt u als bestuurder of managementteam meer inzicht krijgen in de NIS2-verplichtingen? Bekijk de incompany NIS2 Executive training van BC Academy.
CyberFundamentals (CyFun): nationaal kader in België
In België is de NIS2-richtlijn omgezet in nationale wetgeving, waarbij het CyberFundamentals Framework (CyFun) is aangewezen als belangrijk referentiekader voor cyberbeveiliging. Voor organisaties die een pragmatische en gefaseerde aanpak zoeken, biedt CyberFundamentals vaak een toegankelijk startpunt richting vermoedelijke compliance.
CyberFundamentals biedt organisaties een gestructureerde en stapsgewijze aanpak om hun cyberbeveiliging op niveau te brengen. Het framework is afgestemd op internationale standaarden zoals ISO 27001 en maakt het mogelijk om via verschillende maturiteitsniveaus toe te werken naar een CyFun®-label.
In sommige gevallen is het tevens mogelijk om met een ISO 27001-certificering een CyFun®-label te behalen. De certificering moet dan aan bepaalde eisen voldoen. Lees alles op onze pagina over CyberFundamentals.
Hoe werkt een certificeringstraject?
Een certificeringstraject begint in de praktijk altijd met dezelfde vraag: waar staat uw organisatie nu, en wat is er nog nodig om aan de norm te voldoen?
In grote lijnen doorloopt u een aantal stappen.
- U start met het inrichten of aanscherpen van uw managementsysteem.
- Vervolgens beoordeelt u intern of processen en maatregelen daadwerkelijk werken zoals bedoeld.
- Daarna vindt de certificeringsaudit plaats, uitgevoerd door een onafhankelijke certificerende instelling.
- Na certificering volgen periodieke audits om te toetsen of het niveau behouden blijft.
Brand Compliance toetst in een certificeringsaudit onafhankelijk of uw organisatie voldoet aan de eisen van de gekozen norm.
Wat kost een certificering?
De kosten van een certificeringstraject verschillen per organisatie en zijn niet vooraf met één standaardbedrag te bepalen. Dat komt doordat meerdere factoren een rol spelen. Denk aan de omvang van de organisatie, het aantal locaties en de complexiteit van de processen. Het maakt ook uit in hoeverre informatiebeveiliging al is ingericht en geborgd.
Naast de kosten voor de audittijd, zijn er kosten voor rapportage, certificatie en administratie. Een realistische inschatting begint vrijwel altijd met een korte inventarisatie. Op basis daarvan kan de benodigde audittijd worden bepaald.
Waarom kiezen voor Brand Compliance?
Een certificeringstraject vraagt om een partij die niet alleen de norm kent, maar ook begrijpt hoe organisaties werken. Brand Compliance voert audits uit voor uiteenlopende organisaties en sectoren. Daarbij staat een duidelijke en gestructureerde aanpak centraal. Geen onnodige complexiteit, maar wel een grondige en onafhankelijke beoordeling.
Onze auditors combineren inhoudelijke kennis van normen met praktijkervaring. Dat maakt de audit niet alleen een toetsmoment, maar ook een moment waarop u inzicht krijgt in waar uw organisatie staat.
Wilt u weten wat certificering voor uw organisatie betekent?
Dan is een kennismakingsgesprek een logische eerste stap.
Verdiep uw kennis met PECB-trainingen van BC Academy
Wilt u informatiebeveiliging beter begrijpen, een informatiebeveiligingsmanagementsysteem (ISMS) implementeren of uw auditvaardigheden ontwikkelen? Bij BC Academy kunt u PECB-trainingen volgen die aansluiten op uw rol en kennisniveau.
De keuze voor een norm hangt af van uw sector en activiteiten. ISO 27001 vormt vaak de basis. Voor specifieke situaties kunnen aanvullende normen relevant zijn, zoals ISO 27017 en ISO 27018 voor cloudomgevingen of NEN 7510 en ISO 27799 voor de zorg.
Informatiebeveiliging is niet direct verplicht, maar wordt steeds vaker vereist vanuit wetgeving zoals NIS2, contractuele afspraken of aanbestedingen. Organisaties moeten in veel gevallen kunnen aantonen dat zij passende maatregelen hebben genomen.
Met een ISO 27001-certificering toont u niet automatisch aan dat u aan NIS2 voldoet. Maar ISO 27001 biedt een sterke basis voor informatiebeveiliging en sluit goed aan op de eisen van NIS2. In veel gevallen helpt een certificering om invulling te geven aan deze eisen. Het is belangrijk om aanvullend te beoordelen of aan alle wettelijke verplichtingen van NIS2 wordt voldaan.
CyberFundamentals is een praktisch en gefaseerd framework dat in België wordt gebruikt om de cyberbeveiliging van organisaties te verbeteren.
ISO 27001 is een internationale norm voor een informatiebeveiligingsmanagementsysteem, met een certificeringstraject.