Voor wie is dit relevant?
ISO 27001 is voor bedrijven die hun informatiebeveiliging aantoonbaar op orde willen hebben. In de praktijk zijn dat steeds vaker bedrijven die het niet meer zelf kiezen: je grootste klant eist het, een aanbesteding vraagt erom, of je wordt contractueel verplicht om een certificaat te laten zien.
Zorginstellingen die aan NEN 7510 moeten voldoen, doorlopen grotendeels hetzelfde traject. En bedrijven die onder de Cyberbeveiligingswet vallen, dekken met ISO 27001 automatisch het grootste deel van de technische eisen.
Wat ClickOn voor je regelt
ISO 27001 kent 93 controls in vier categorieën. Zo hebben we de verantwoordelijkheid verdeeld:
A.5 Organisatorisch
Beleid, leveranciersbeheer, incident response en business continuity. ClickOn levert de technische invulling en tooling, inclusief vastlegging in ons serviceplatform. De procedures, directiegoedkeuring en het overkoepelende beveiligingsbeleid regel je zelf.
A.6 Mensen
Screening, offboarding en security awareness. Wanneer een medewerker vertrekt, blokkeren wij accounts, wissen apparaten en trekken toegang in. Security awareness training zit in onze pakketten vanaf EssentialsOn. Personeelsscreening en HR-beleid regel je zelf.
A.7 Fysiek
Apparaatbeheer, remote wipe en veilige afvoer van hardware vallen binnen onze managed service. Fysieke toegang tot je gebouw, serverruimte en bezoekersbeheer regel je zelf.
A.8 Technologisch
Endpoints, patching, encryptie, logging, netwerksegmentatie, back-up en toegangsbeheer. Dit is de kern van de managed service. Het grootste deel van deze controls levert ClickOn standaard, aantoonbaar en gedocumenteerd.
Van techniek naar aantoonbaarheid
Maatregelen nemen is één ding. Kunnen aantonen dat je ze hebt ingericht, is minstens zo belangrijk. We leveren standaard rapportages, compliance-exports en configuratieoverzichten, zodat je de technische onderbouwing direct beschikbaar hebt voor je auditor en Statement of Applicability. Komt de auditor langs? Dan kunnen we aanschuiven. Bij zowel de interne als externe audits lichten we het technische deel toe, van EDR en patchmanagement tot backups en toegangsbeheer. Dat is een optionele add-on bij elk pakket. Lees meer over onze rapportages en audit-ondersteuning.
Wat je zelf regelt
Een deel van de Annex A controls valt buiten de IT-scope. Dat zijn de organisatorische en HR-gerelateerde controls die een ISO-consultant of je eigen management afhandelt. Een auditor verwacht dat je dit weet en hebt vastgelegd.
- Personeelsscreening, arbeidscontracten met beveiligingsclausules en disciplinaire procedures
- Fysieke toegangsbeveiliging gebouw, serverruimte en bezoekersbeheer
- Overkoepelend informatiebeveiligingsbeleid, directiegoedkeuring en management review
- AVG-verwerkersregister, juridische compliance en contacten met toezichthouders
De controls die buiten ClickOn vallen, zijn voor een ISO-consultant het standaard werkterrein. Wat bijzonder is: ClickOn levert de IT-controls aantoonbaar, per control, met bewijs. Dat is precies wat de meeste bedrijven in een ISO-traject missen.
Passend bij je risicoprofiel
ISO 27001 is een risico-gebaseerde norm. De standaard schrijft geen specifieke tools voor, maar maatregelen die aansluiten bij je situatie en risicoprofiel. Voor MKB is het ClickOn-pakket een aantoonbaar proportionele invulling: breed gedekt, per control gedocumenteerd, met bewijs voor je auditor.
Heeft jouw organisatie aanvullende eisen, door een sectorale verplichting of een hoger risicoprofiel? Neem contact op. We denken graag met je mee over een aanpassing op maat.
Zo werkt het traject
ClickOn werkt als IT-partner in je ISO-traject. Voor het organisatorische deel, het ISMS-framework, de risicoanalyse en de audit-voorbereiding heb je daarnaast een ISO-consultant nodig. De taakverdeling is helder en we werken in meerdere trajecten samen met externe consultants.
- Gesprek en gratis IT-scan: we brengen de huidige situatie in kaart op alle 93 Annex A controls
- Gap-analyse: je ziet precies wat al staat en wat nog aandacht nodig heeft
- Documentatie: we leveren de technische onderbouwing voor je auditor en je Statement of Applicability. Optioneel schuiven we aan bij interne en externe audits om het technische deel toe te lichten, zodat je niet zelf hoeft uit te leggen hoe je IT-maatregelen zijn ingericht.
ISO 27001 en NIS2
ISO 27001 en NIS2 overlappen sterk op het technische vlak. Wie met ClickOn de Annex A controls implementeert, dekt automatisch het grootste deel van de technische eisen uit de Cyberbeveiligingswet. Beide trajecten zijn te combineren zonder dubbele inspanning.
