Geen papieren tijger, maar een ISMS dat werkt en dat je kunt aantonen. Zo ga je goed voorbereid je ISO 27001 certificering in, met tien vooraf vastgelegde opleverpunten.
Veel ISMS’en bestaan vooral op papier. Het beleid staat in SharePoint, het risicoregister is een Excel van vorig jaar en de week voor de audit gaat op aan bewijs zoeken. Het certificaat komt er meestal wel. De vraag is of je daarna nog kunt uitleggen waarom een risico ooit is geaccepteerd.
Audit Ready 90 draait dat om. We bereiden je voor op ISO 27001 certificering met een ISMS waarin bewijs vanzelf ontstaat, keuzes worden vastgelegd en je op elk moment kunt laten zien hoe het zit. Ook als de auditor pas over een jaar terugkomt.
Audit-ready is geen gevoel. Het zijn tien concrete resultaten die we vooraf in het contract vastleggen. Pas als ze er alle tien liggen, zijn we klaar.
Scope bepaald en getekend door de directie
Gap-analyse tegen ISO 27001 Annex A
Risicoanalyse met eigenaren en behandelplan
Statement of Applicability op basis van ISO 27002
Beleid en processen op strategisch, tactisch en operationeel niveau
Bewijs per maatregel georganiseerd
Verantwoordelijkheden en eigenaren vastgelegd
Interne audit uitgevoerd
Directiebeoordeling gehouden
Restrisico's inzichtelijk en bewust geaccepteerd
Een certificaat beloven kan iedereen. Dat besluit ligt bij de certificerende instelling, niet bij ons. Wat we wél beloven, zijn deze tien punten. Daar staan we contractueel voor.
Vijf fasen, één vaste route. Je weet vooraf wat er per fase gebeurt en wat je ervan terugziet.
Mobiliseren week 1
Kick-off, toegang regelen, rollen en eigenaren vastleggen (RACI) en het platform inrichten.
Vaststellen week 2–5
Scope bepalen, gap-analyse tegen ISO 27001, risicoanalyse en het Statement of Applicability.
Inrichten week 6–10
Beleid, processen en maatregelen uit ISO 27002 inrichten, en de bewijsvoering per maatregel organiseren.
Aantonen week 11–12
Bewijs verzamelen, toetsen of maatregelen echt werken en je team begeleiden bij herstelpunten.
Toetsen week 13
Interne audit, directiebeoordeling, restrisico's vastleggen en de overdracht naar je certificerende instelling.
De weken zijn indicatief. Het tempo hangt mede af van hoe snel input en besluiten bij jou op tafel liggen.
90 dagen is een belofte van twee kanten. Wij leveren het werk, jij zorgt dat de juiste mensen en besluiten op tijd beschikbaar zijn. Dit is wat dat concreet betekent.
Een projectverantwoordelijke met mandaat
binnen 5 werkdagen na de start
Tijd van je proceseigenaren
gemiddeld 4 uur per week per eigenaar
Documentatie en toegang die we opvragen
binnen 5 werkdagen na het verzoek
Besluiten van de directie
binnen 10 werkdagen na voorleggen
Technische aanpassingen in je eigen systemen
doe je zelf, wij begeleiden
Eerlijk is eerlijk. Loopt de vertraging aan jouw kant op tot meer dan 15 werkdagen, dan vervalt de 90-dagenbelofte. We werken dan in overleg verder op basis van de uren die we echt besteden. Zo houden we de afspraak voor allebei eerlijk.
Een vaste prijs, vooraf afgesproken. Geen uurtje-factuurtje en geen verrassingen achteraf. Welk pakket past, hangt af van de omvang en complexiteit van je organisatie.
S
Tot 120 medewerkers, cloud, één vestiging
€ 39.500
M
120 tot 300 medewerkers, deels cloud en deels eigen IT
€ 59.500
L
300+ medewerkers, meerdere entiteiten of landen, of OT/productie
vanaf € 89.500
Alle bedragen zijn indicatief en exclusief btw. Het GRC-platform zit niet in deze pakketprijzen en vraagt een extra investering. Bij L leggen we eerst de nulmeting vast en prijzen we daarna de vervolgfasen. Zo betaal je niet voor aannames.
Eerst weten waar je staat? Start met de audit-readiness scan: in 3 dagen een helder beeld van je uitgangspositie, voor € 4.500. Kies je binnen 60 dagen voor Audit Ready 90, dan trekken we dat bedrag er volledig af.
Audit-ready worden is één ding. Het blijven is het echte werk. Risico’s veranderen, mensen vertrekken, bewijs veroudert. Met Managed ISMS houden wij je informatiebeveiliging actueel, zodat je bij elke audit gewoon kunt laten zien hoe het zit, of het nu om ISO 27001, NEN 7510 of BIO2 gaat.
Essential
Tot 120 medewerkers · 1,25 dag per maand
€ 1.950 / maand
Professional
120 tot 300 medewerkers · 2,5 dag per maand
€ 3.450 / maand
Enterprise
300+ medewerkers · 4 dagen per maand
€ 5.950 / maand
Start direct na de 90 dagen, looptijd 24 maanden, jaarlijkse indexatie (CPI + 1%). Bedragen exclusief btw. Ter vergelijking: een eigen compliance officer vraagt al snel een investering van € 95.000 tot € 115.000 per jaar.
Nee, en wantrouw iedereen die dat wel doet. Of je de ISO 27001 certificering krijgt, beslist de certificerende instelling. Wat wij garanderen, zijn de tien opleverpunten. Daarmee sta je sterk bij de externe audit, en die punten leggen we vooraf in het contract vast.
Dat hangt af van waar de vertraging ontstaat. Daarom leggen we vooraf vast wat we van jou nodig hebben. Loopt de vertraging aan jouw kant op tot meer dan 15 werkdagen, dan vervalt de 90-dagenbelofte en werken we in overleg verder op basis van de werkelijk bestede uren.
Nee. De certificerende instelling contracteer je zelf, zodat haar oordeel onafhankelijk blijft. Wij bereiden je voor en dragen het traject netjes aan haar over. Ook het GRC-platform zit niet in de pakketprijzen: dat is een aanvullende investering.
Ja. NEN 7510 (zorg) en BIO2 (overheid) bouwen allebei voort op ISO 27001 en ISO 27002, dus de route is grotendeels gelijk. Een goed ingericht ISMS is bovendien een stevig fundament voor de zorgplicht uit de Cyberbeveiligingswet (Cbw/NIS2). Spelen er meerdere normen tegelijk, dan nemen we die in één traject mee.
ISO 27001 beschrijft hoe je informatiebeveiliging organiseert en is de norm waarop je wordt gecertificeerd. ISO 27002 is de toelichting op de maatregelen: het hoe en waarom per beheersmaatregel. Je wordt dus gecertificeerd op 27001 en gebruikt 27002 om de maatregelen goed in te richten. Wil je de norm zelf nalezen? De officiële beschrijving van ISO 27001 vind je op de website van de International Organization for Standardization (ISO).
Wil je de 90 dagen halen, dan maakt het een groot verschil. Het GRC-platform dat wij aanbieden, sluit naadloos aan op deze aanpak. Risico's, maatregelen en bewijs staan vanaf dag één op één plek, zodat er geen tijd verloren gaat aan spreadsheets en losse mappen. Het platform zit niet in de pakketprijzen: het is een aanvullende investering die we vooraf apart inzichtelijk maken.
Werk je al met een eigen tool? Dan doen we eerst een haalbaarheidscheck. Daarin bekijken we of je met die tool binnen 90 dagen audit-ready kunt worden. Pas na die check bevestigen we de 90-dagenbelofte.
Nee. Na de 90 dagen ligt er een ISMS dat je zelf kunt beheren. Managed ISMS is voor organisaties die dat liever niet naast hun dagelijkse werk doen.
In een kennismaking kijken we samen waar je nu staat, welk pakket past en of 90 dagen voor jouw organisatie haalbaar is. Je krijgt een eerlijk antwoord, ook als dat nee is.
Plan een kennismaking ›