ISO 27001 is het minimum, geen bonus

Wat is ISO 27001?

ISO/IEC 27001 is de internationale norm voor informatiebeveiliging. De norm beschrijft hoe een organisatie een managementsysteem voor informatiebeveiliging inricht, onderhoudt en verbetert: een ISMS. Centraal staat risicomanagement. Een organisatie brengt haar risico’s in kaart en kiest daar passende maatregelen bij.

De huidige versie is ISO/IEC 27001:2022. Bijlage A bevat 93 beheersmaatregelen, verdeeld over vier thema’s: organisatorisch, mensgericht, fysiek en technologisch. De overgangstermijn voor de oude versie uit 2013 liep af op 31 oktober 2025. Een geldig certificaat is dus inmiddels gebaseerd op de versie uit 2022.

Een certificaat wordt afgegeven door een onafhankelijke certificerende instelling, is drie jaar geldig en wordt elk jaar getoetst met een tussentijdse audit.

Waarom een certificaat op zich niets garandeert

ISO 27001 toetst of een organisatie haar informatiebeveiliging systematisch beheert. De norm schrijft niet voor hoe sterk een specifieke maatregel moet zijn, en het certificaat geldt alleen voor de scope die de organisatie zelf heeft gekozen. Een leverancier kan gecertificeerd zijn voor zijn hoofdkantoor, terwijl het platform dat jouw klantdata verwerkt buiten die scope valt.

Daarom is ISO 27001 het startpunt van vertrouwen, niet het eindstation. Het certificaat vertelt je dat een leverancier risico’s serieus neemt en daar aantoonbaar op stuurt. Of zijn maatregelen passen bij jouw risico’s, beoordeel je zelf. Onder de DORA-wetgeving ben je als financiële instelling bovendien verplicht om de risico’s van je ICT-leveranciers te beheersen en dat bij een audit te kunnen aantonen. Een logo op een website is daarvoor geen bewijs.

Wat ISO 27001 concreet borgt voor documentcommunicatie

Voor een platform dat polissen, facturen en schadedossiers bij je klanten bezorgt, zijn dit de onderdelen van de norm die er het meest toe doen.

• Toegangsbeheer. Wie kan bij welke gegevens, en hoe wordt dat vastgelegd en periodiek gecontroleerd?
• Cryptografie. Worden gegevens versleuteld tijdens transport en in opslag, en hoe is het sleutelbeheer geregeld?
• Logging en monitoring. Worden handelingen op het platform vastgelegd, zodat je achteraf kunt reconstrueren wat er met een document is gebeurd?
• Leveranciersbeheer. Hoe borgt je leverancier de beveiliging bij zijn eigen onderaannemers, zoals hostingpartijen?
• Incidentbeheer. Is er een vastgelegd proces om incidenten te melden, te onderzoeken en ervan te leren?
• Bedrijfscontinuïteit. Blijft het platform beschikbaar bij een storing, en hoe snel is het hersteld?

Ook NIS2 stelt eisen aan de beveiliging van de leveranciersketen. In ons artikel over NIS2 voor verzekeraars lees je wat dat voor jouw sector betekent.

Checklist: deze vragen stel je elke leverancier

• Is het certificaat geldig, en is het gebaseerd op ISO/IEC 27001:2022?
• Valt de dienst die jouw klantdata verwerkt binnen de scope van het certificaat?
• Is de certificerende instelling geaccrediteerd, in Nederland bijvoorbeeld door de Raad voor Accreditatie?
• Mag je de verklaring van toepasselijkheid inzien, waarin staat welke maatregelen wel en niet zijn toegepast?
• Waar staan de gegevens opgeslagen, en onder welke jurisdictie valt de leverancier?
• Worden er periodiek onafhankelijke penetratietests uitgevoerd?
• Hoe snel meldt de leverancier een incident aan jou?

Waar Doccle je bij helpt (en waar niet)

Doccle is ISO 27001- en ISO 9001-gecertificeerd. Documenten en data worden versleuteld opgeslagen op servers binnen Europa, en elke verzending, aflevering en opening wordt vastgelegd in een audittrail. Doccle is een Belgisch bedrijf dat zich volledig houdt aan de AVG, dus ook de vraag naar jurisdictie is snel beantwoord.

• Aantoonbaarheid. Met de audittrail laat je zien welk document wanneer bij welke klant is afgeleverd en geopend.
• Veilige toegang. Klanten openen hun documenten in een beveiligde digitale kluis, met itsme of vingerafdruk- en gezichtsherkenning als extra beveiligingslaag.
• Beschikbaarheid. Het platform heeft een gemiddelde beschikbaarheid van 99,99 procent.
• Transparantie. Technische details over beveiliging en audits vind je in het Doccle Trust Center. Meer over de aanpak lees je bij veiligheid en privacy bij Doccle.

Wat Doccle niet doet: jouw organisatie ISO 27001-proof maken. Het certificaat van een leverancier dekt zijn eigen systemen, niet die van jou. Je blijft zelf verantwoordelijk voor je eigen ISMS en voor de beoordeling van je leveranciers. Doccle maakt dat laatste wel een stuk eenvoudiger.

Voor wie is dit relevant?

Dit artikel is bedoeld voor IT-managers, enterprise architects en security officers bij verzekeraars, banken en pensioenfondsen die een leverancier voor klantcommunicatie beoordelen. En voor governance en compliance, die moeten kunnen aantonen dat de risico’s in de leveranciersketen beheerst zijn.

Veelgestelde vragen

• Wat is het verschil tussen ISO 27001 en ISO 27002?
  ISO 27001 bevat de eisen waaraan je ISMS moet voldoen en waarop je gecertificeerd wordt. ISO 27002 is een richtlijn met een uitgebreide toelichting op de beheersmaatregelen uit bijlage A. Op ISO 27002 kun je niet gecertificeerd worden.
• Hoe lang is een ISO 27001-certificaat geldig?
  Drie jaar. In die periode vindt elk jaar een tussentijdse audit plaats, en na drie jaar volgt een hercertificering.
• Is ISO 27001 verplicht voor verzekeraars?
  Nee, de norm is niet wettelijk verplicht. Wel eist DORA aantoonbaar ICT-risicobeheer, inclusief het beheer van ICT-leveranciers. ISO 27001 is een gangbare manier om dat te structureren.
• Wat is een verklaring van toepasselijkheid?
  Een document, ook wel Statement of Applicability genoemd, waarin een organisatie per maatregel uit bijlage A aangeeft of die is toegepast en waarom wel of niet. Het is een van de nuttigste documenten om bij een leverancier op te vragen.
• Is Doccle ISO 27001-gecertificeerd?
  Ja, Doccle is ISO 27001- en ISO 9001-gecertificeerd. Meer details over de beveiliging vind je in het Doccle Trust Center.