ISO 27001 en 27002: het managementsysteem voor informatiebeveiliging
Wat een managementsysteem voor informatiebeveiliging (ISMS) verandert voor een medewerker en voor de directie, met bronnen van NIST en NCSC.
In 30 seconden
- Waar het voorkomt
- In elke organisatie die cyberrisico's gestructureerd beheert, zowel op directieniveau als in de teams.
- Wat het beoogt
- Beveiligingsmaatregelen kiezen op basis van de werkelijke risico's van de organisatie, en niet om aan een eis te voldoen op papier2.
- De reflex
- Als een activiteit of een gedrag u verdacht voorkomt, meld het dan, want alleen al het melden telt7.
Waar gaat het over
Dit artikel gaat over het beheer van informatiebeveiliging in een organisatie (ISMS), vanuit het perspectief van een medewerker en van de directie. Slechts één van de hier aangehaalde bronnen noemt een ISO-norm, ISO/IEC 27001:20221.
De hier aangehaalde bronnen komen van Amerikaanse en Britse overheidsinstanties (NIST, NCSC, CISA). Ze geven noch de tekst van de ISO-normen, noch die van de NIS 2-richtlijn, noch de publicaties van de ANSSI weer. Die onderwerpen worden hier dus niet beschreven: het artikel houdt zich aan wat deze bronnen vaststellen over risicobeheer, de rol van de directie en de kaders met beveiligingsmaatregelen.
Directe vragen
Wat is een ISMS concreet?
De hier aangehaalde bronnen definiëren de term niet. Het NCSC beschrijft een verwante aanpak: basisbegrippen, gevolgd door stappen op hoofdlijnen die als fundament voor elk proces voor het beheer van cyberrisico's kunnen dienen2.
Wat is het verband met ISO 27001 en 27002?
De hier aangehaalde bronnen beschrijven deze normen niet. Slechts één noemt ze: het NIST publiceert een koppeling tussen zijn maatregelencatalogus SP 800-53 Rev. 5 en ISO/IEC 27001:20221. Het NIST voegt eraan toe dat deze tabellen een algemene indicatie van de dekking geven, dat u er geen gelijkwaardigheid uit mag afleiden en dat de koppelingen niet altijd één op één zijn1.
Wat moet de directie doen?
Het NCSC heeft een toolkit voor bestuursorganen geschreven. Die hoort bij een gedragscode voor cyberbestuur en wil besturen helpen om weerbaarheid en risicobeheer te verankeren in de mensen, systemen, processen en technologieën van de organisatie3.
Wat moet een medewerker doen?
De CISA rekent sterke wachtwoorden, het bijwerken van software, voorzichtigheid bij verdachte links en meerfactorauthenticatie tot de basishygiëne7. Ze schrijft dat deze basis geldt voor particulieren en voor organisaties7. Ze moedigt ook aan om elk verdacht gedrag te melden7.
1Wat er verandert voor medewerkers1 min
Voor medewerkers zit een managementsysteem vooral in de regels van het dagelijks werk en in het weten bij wie ze terechtkunnen. De CISA noemt de basisgewoonten: sterke wachtwoorden, updates, voorzichtigheid met links, meerfactorauthenticatie7. Ze biedt ook trainingen en workshops aan, bijvoorbeeld een inleidende workshop voor lokale bestuurders over veelvoorkomende dreigingen en basispraktijken7.
Melden hoort bij de aanpak. De CISA stelt dat iedereen kan helpen een dreiging af te wenden door verdachte activiteit of vreemd gedrag te melden7. De hier aangehaalde bronnen geven niet aan hoe de interne procedure van een bepaald bedrijf eruitziet: die hangt af van de organisatie, en die maakt haar ook bekend.
2Wat er verandert voor de directieDirectie1 min
Het NCSC schrijft dat betere bedrijfsresultaten de belangrijkste drijfveer van het beheer van cyberrisico's moeten zijn. Het pleit voor een beheer dat "de werkelijke cyberrisico's" van de organisatie in beeld brengt, in plaats van technieken die alleen aan nalevingseisen willen voldoen2. Het geeft aan dat zijn gids niet voorschrijvend is en dat geen enkele techniek in alle situaties past2.
Voor bestuursorganen heeft het NCSC een toolkit gepubliceerd rond de Cyber Governance Code of Practice. Die bevat twee inleidende modules, waarvan één voor wie nieuw is in cyberbeveiliging, en een document met vragen die het bestuur kan stellen om de prestaties van de organisatie te beoordelen3.
In zijn gids SP 800-30 Rev. 1 (september 2012) beschrijft het NIST risicoanalyse als onderdeel van een algemeen proces voor risicobeheer, dat leidinggevenden de informatie geeft om te beslissen4.
3Wat de tekst zegtOfficiële tekst1 min
De ISO-teksten staan niet in de hier aangehaalde bronnen: de precieze inhoud ervan (eisen, maatregelen, reikwijdte, verklaring van toepasselijkheid, verloop van een certificering) wordt hier dus niet samengevat.
De bronnen geven wel elementen over verwante kaders. De catalogus SP 800-53 Rev. 5 van het NIST (gepubliceerd in september 2020) bundelt beveiligings- en privacymaatregelen om activiteiten, bedrijfsmiddelen en mensen te beschermen tegen uiteenlopende dreigingen, waaronder vijandige aanvallen, menselijke fouten en natuurrampen1. Hij bevat maatregelfamilies zoals toegangsbeheer, bewustwording en training, incidentrespons of risicobeoordeling1.
Het Cybersecurity Framework van het NIST wordt in versie 2.0 gepresenteerd als een hulpmiddel om cyberrisico's te verkleinen, met snelstartgidsen, profielen en koppeltabellen naar andere bronnen5. Een startgids voor kleine en middelgrote ondernemingen biedt hulpmiddelen om een strategie voor risicobeheer op te zetten6.
Tot slot biedt het NIST een online naslagtool over cyberbeveiliging en privacy, de CPRT8.
4Hoe ver de toepassing staat1 min
Geen enkele van de hier aangehaalde bronnen behandelt de toepassing van NIS 2, de Europese regelgeving of de hulpmiddelen van de ANSSI. Geen enkele geeft de duur of de planning van een ISO 27001-certificering. Deze punten moeten nog met geschikte bronnen worden uitgewerkt.
Wat de bronnen wel zeggen over de stand van de genoemde kaders: het NIST publiceerde op 27 augustus 2025 een minor release van SP 800-53, 5.2.0, met nieuwe maatregelen en herzieningen van bestaande maatregelen1. Het zette ook drie zelfstandig te volgen introductiecursussen online over de catalogus SP 800-53, de beoordelingsprocedures (SP 800-53A) en de basisniveaus (SP 800-53B)6. Het NCSC vermeldt voor zijn toolkit een versie 3.0, herzien op 8 april 20253.
Fiche
- Identificatie
- CP-376
- Vleugel
- 6. Governance en GRC
- Brain-competentie
- Gegevens beschermen (safeguard_data)
- Brain-reflex
- cr-032
- Schema
- G3 · Anatomische doorsnede
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 8 bronnen gecontroleerd op 3 november 2026
Bronnen8 bronnen
- NIST, “Security and Privacy Controls for Information Systems and Organizations”. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (geraadpleegd op 3 november 2026)
- NCSC (Royaume-Uni), “Risk management”, 23 juni 2023. https://www.ncsc.gov.uk/collection/risk-management (geraadpleegd op 3 november 2026)
- NCSC (Royaume-Uni), “Cyber Security Toolkit for Boards”, 30 maart 2023. https://www.ncsc.gov.uk/collection/board-toolkit (geraadpleegd op 3 november 2026)
- NIST, “Guide for Conducting Risk Assessments”. https://csrc.nist.gov/pubs/sp/800/30/r1/final (geraadpleegd op 3 november 2026)
- NIST, “Cybersecurity Framework”. https://www.nist.gov/cyberframework (geraadpleegd op 3 november 2026)
- NIST, “CSF 2.0 Resources”, 6 maart 2024. https://www.nist.gov/cyberframework/resources (geraadpleegd op 3 november 2026)
- CISA, “Cybersecurity Best Practices”. https://www.cisa.gov/topics/cybersecurity-best-practices (geraadpleegd op 3 november 2026)
- NIST, “Cybersecurity and Privacy Reference Tool CPRT”. https://csrc.nist.gov/projects/cprt/catalog (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “ISO 27001 en 27002: het managementsysteem voor informatiebeveiliging”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp376_nl_2026,
author = {Brain},
title = {ISO 27001 en 27002: het managementsysteem voor informatiebeveiliging},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/iso-27001-27002-isms-nl/},
note = {CC BY 4.0}
}