Een certificaat haal je één keer, bijhouden doe je elke maand. Wij beheren je ISMS samen met jou, zodat de volgende audit geen project meer is.
De dag na de audit begint het ISMS al te verouderen. Er komt een nieuwe leverancier bij, een collega vertrekt, een applicatie verhuist naar de cloud. Niemand past het risicoregister aan, want iedereen heeft gewoon zijn eigen werk.
Twee maanden voor de controle-audit, de jaarlijkse toets van de certificerende instelling, begint dan het zoeken. Waarom is dit risico destijds geaccepteerd? Waar is het bewijs van het tweede kwartaal? Wie zat er eigenlijk bij de directiebeoordeling?
Dat is geen onwil. Een ISMS bijhouden is een vak, en het is zelden iemands hoofdtaak.
Een ISMS veroudert elke dag een beetje. Dit is wat we doorlopend voor je doen, zodat het bijblijft.
Risicoanalyse en behandelplan actueel
Wijzigingen in organisatie, systemen en leveranciers verwerkt
Bewijs per maatregel bijgehouden en aangevuld
Beleid en procedures bijgewerkt
Afwijkingen opgevolgd tot ze echt dicht zijn
Vast aanspreekpunt dat je organisatie kent
Werk je naast ISO 27001 ook met NEN 7510 in de zorg, of de BIO2 bij de overheid? Dan nemen we die mee in hetzelfde dossier en hetzelfde ritme, in plaats van drie losse sporen.
Een ISMS werkt in een jaarcyclus. Je weet vooraf wat er wanneer gebeurt, en wie wat doet.
Start maand 1
Overdracht na Audit Ready 90, of een korte instapmeting als je ISMS elders is opgezet. Daarna weten we allebei precies wat er ligt.
Bijhouden elke maand
Wijzigingen verwerken in je risicoanalyse en behandelplan, bewijs controleren en aanvullen, afwijkingen opvolgen. Met een vast overleg met je aanspreekpunt.
Interne audit jaarlijks
Een onafhankelijke toets of je maatregelen werken, door iemand die ze niet zelf heeft ingericht.
Directiebeoordeling jaarlijks
Je directie bespreekt de stand van het ISMS en legt besluiten vast. Wij bereiden het voor en leggen het vast.
Controle-audit jaarlijks
De certificerende instelling komt langs. Wij bereiden het dossier voor en zitten erbij. Na drie jaar volgt de hercertificering.
De cyclus herhaalt zich elk jaar. In het tweede jaar merk je dat de audit geen piek meer is, maar een gewone afspraak.
Managed ISMS is geen uitbesteding van je verantwoordelijkheid. Wij doen het werk, jij neemt de besluiten. Dit is wat we daarvoor van je nodig hebben.
Eén aanspreekpunt met mandaat
vast voor de hele looptijd
Melding van wijzigingen in organisatie en systemen
zodra je ervan weet
Tijd voor het maandelijkse overleg
ongeveer een uur per maand
Besluiten over risico's en investeringen
binnen 10 werkdagen na voorleggen
Je directie bij de directiebeoordeling
één keer per jaar
Dat is ook wat de wet vraagt. De Cyberbeveiligingswet verwacht van bestuurders dat ze de maatregelen goedkeuren en toezien op de uitvoering. Met een ISMS dat actueel is, doe je dat op basis van feiten in plaats van op basis van geruststelling.
Een vaste prijs per maand, afgestemd op de omvang van je organisatie. Geen uurtje-factuurtje en geen rekening achteraf die je niet zag aankomen.
Essential
Tot 120 medewerkers · 1,25 dag per maand
€ 1.950 / maand
Professional
120 tot 300 medewerkers · 2,5 dag per maand
€ 3.450 / maand
Enterprise
300+ medewerkers of meerdere entiteiten · 4 dagen per maand
€ 5.950 / maand
Bedragen exclusief btw, maandelijks vooraf gefactureerd, met een jaarlijkse indexatie (CPI + 1%). Softwarelicenties zitten niet in deze pakketprijzen en zijn een aparte investering. Ter vergelijking: een eigen compliance officer vraagt al snel een investering van € 95.000 tot € 115.000 per jaar.
Nog geen certificaat? Begin dan met Audit Ready 90: in 90 dagen audit-ready, en Managed ISMS start direct daarna. Weet je nog niet of 90 dagen haalbaar is, dan geeft de haalbaarheidscheck je in drie dagen antwoord.
Het GRC-platform dat wij aanbieden, maakt van bijhouden een doorlopend proces in plaats van een jaarlijkse inhaalslag. Het koppelt met de systemen die je al gebruikt en gebruikt AI om bewijs te ordenen en afwijkingen te signaleren.
Wat het platform signaleert, beoordelen wij met jou. Een afwijking is niet altijd een probleem, en een groen vinkje is niet altijd een beheerste situatie. Die afweging blijft mensenwerk.
Het platform is een aparte investering, die we vooraf met je doornemen. Werk je al met een eigen GRC-tool, dan doen we eerst een haalbaarheidscheck. Daarin kijken we of we daarin goed met je kunnen meewerken.
Nee. Ben je al gecertificeerd, of is je ISMS elders opgezet, dan kunnen we het ook overnemen. We beginnen dan met een korte instapmeting, zodat we weten wat er ligt en waar de gaten zitten.
Nee, dat kan niemand eerlijk beloven, want het oordeel ligt bij de certificerende instelling. Wat we wel doen, is zorgen dat de auditor niets nieuws ontdekt. Afwijkingen die wij zien, liggen al op tafel met een plan erbij, lang voordat de auditor binnenkomt.
Dat kan, bijvoorbeeld bij een incident, een overname of een klant die een uitgebreide beveiligingsvragenlijst stuurt. We spreken het meerwerk dan vooraf met je af, met een vaste investering. Je krijgt nooit achteraf een rekening die je niet zag aankomen.
Ja. NEN 7510 voor de zorg en de BIO2 (Baseline Informatiebeveiliging Overheid) bouwen allebei voort op dezelfde maatregelen als ISO 27001. De zorgplicht uit de Cyberbeveiligingswet sluit daar goed op aan. We beheren ze daarom in één dossier.
Omdat een ISMS in een jaarcyclus werkt en de waarde in de tweede cyclus zit. In het eerste jaar leren we je organisatie kennen en verbeteren we wat er ligt. In het tweede jaar draait het, en merk je dat de audit geen piek meer is.
Nee. Managed ISMS werkt ook met je eigen tooling of zonder platform. Het platform bespaart wel tijd, omdat bewijs vanzelf binnenkomt in plaats van dat iemand erom moet vragen. Het is een aparte investering, die we vooraf met je doornemen.
In een kennismaking van een half uur kijken we samen hoe je ISMS ervoor staat en welk pakket past. Je krijgt een eerlijk antwoord, ook als je het prima zelf kunt.
Plan een kennismaking ›