Naar de inhoud
EU Rules Finder
Nederlands (Taal)

ISO 27001-sjablonen voor u ingevuld: verklaring van toepasselijkheid, risicoregister en beleid

Een managementsysteem voor informatiebeveiliging volgens ISO/IEC 27001:2022 rust op enkele kerndocumenten: het toepassingsgebied, het beleid, de risicobeoordeling en het behandelplan, de verklaring van toepasselijkheid en de doelstellingen. Beantwoord de vragen één keer; het pakket schrijft ze als Word-bestanden in het Engels, Duits, Spaans, Frans, Pools of Italiaans, berekent elk risiconiveau, en zet alle 93 beheersmaatregelen van bijlage A op een rij met uw beslissingen.

Gecontroleerd aan de hand van de bronnen op 25 oktober 2026

Organisatie
Context en toepassingsgebied
Wat het omvat, bijvoorbeeld: ontwikkeling, hosting en ondersteuning van het boekingsplatform van Acme.
Eén per regel.
Eén per regel. Laat leeg als niets is uitgesloten.
Activiteiten buiten het toepassingsgebied of uitgevoerd door anderen waarop het steunt, bijvoorbeeld cloudhosting of salarisadministratie. Eén per regel.
Wat binnen de organisatie de beveiliging beïnvloedt, bijvoorbeeld een klein IT-team of een verouderd systeem. Eén per regel.
Factoren van buiten, bijvoorbeeld de NIS2-regels, eisen van klanten, aanvallen op uw sector. Eén per regel.
Wijziging 1 van 2024 vraagt elke organisatie dit te beslissen, bijvoorbeeld ja voor een datacenter met overstromingsrisico.
Eén per regel, bijvoorbeeld Klanten: beveiligingsclausules in contracten; Autoriteit Persoonsgegevens: AVG.
Informatiebeveiligingsbeleid
Naam en rol.
Bijvoorbeeld de algemeen directeur.
Eén per regel, bijvoorbeeld Toegangsbeveiliging, Back-up, Aanvaardbaar gebruik, Thuiswerken.
Een geheel getal van 1 tot 36; 12 is gebruikelijk.
SOC 2 en NIS2

Het pakket voegt zeven onderwerpspecifieke beleidsregels toe, een werkblad met SOC 2-criteria en een register voor artikel 21 van NIS2. Security staat altijd in het werkblad; vink de andere SOC 2-categorieën aan die uw rapport zal dekken.

Risico’s

Risico’s met een niveau (waarschijnlijkheid × impact) tot dit getal mogen worden geaccepteerd, bijvoorbeeld 8.
Risico R1
Bijvoorbeeld de klantendatabase.
Bijvoorbeeld een gestolen beheerderswachtwoord, geen tweede factor.

Risiconiveau: beoordeel waarschijnlijkheid en impact

Nummers uit de lijst hieronder, bijvoorbeeld 5.17, 8.5.

Verklaring van toepasselijkheid: de 93 beheersmaatregelen

Voor elke beheersmaatregel: opgenomen of uitgesloten, waarom, en of ze is ingevoerd. Een beheersmaatregel die bij een risico hierboven wordt genoemd, wordt door dat risico gerechtvaardigd.

0 van 93 beslist.

5. Organizational controls
  • 5.1 Information security policy and topic policies
  • 5.2 Security roles and who is responsible
  • 5.3 Conflicting duties kept apart
  • 5.4 Management makes staff apply security
  • 5.5 Contacts with authorities
  • 5.6 Contacts with security groups and forums
  • 5.7 Information on threats collected and analysed
  • 5.8 Security in projects
  • 5.9 Inventory of information and assets, with owners
  • 5.10 Rules for acceptable use
  • 5.11 Assets handed back on leaving
  • 5.12 Information classified by need for protection
  • 5.13 Information marked with its class
  • 5.14 Rules for sending and sharing information
  • 5.15 Access control rules
  • 5.16 Identities managed over their whole life
  • 5.17 Passwords and other log-in secrets
  • 5.18 Access rights granted, reviewed and removed
  • 5.19 Security with suppliers
  • 5.20 Security terms in supplier contracts
  • 5.21 Security in the ICT supply chain
  • 5.22 Supplier services monitored and changes managed
  • 5.23 Use of cloud services
  • 5.24 Incident handling prepared
  • 5.25 Security events assessed and classified
  • 5.26 Response to incidents
  • 5.27 Lessons from incidents
  • 5.28 Evidence collected and preserved
  • 5.29 Security kept during disruption
  • 5.30 ICT ready for business continuity
  • 5.31 Legal, regulatory and contract requirements identified
  • 5.32 Intellectual property respected
  • 5.33 Records protected
  • 5.34 Privacy and personal data
  • 5.35 Independent review of security
  • 5.36 Compliance with own security rules checked
  • 5.37 Written operating procedures
6. People controls
  • 6.1 Background checks of candidates
  • 6.2 Security duties in employment contracts
  • 6.3 Security awareness and training
  • 6.4 Disciplinary process for breaches
  • 6.5 Duties after leaving or changing job
  • 6.6 Confidentiality agreements
  • 6.7 Working from home and other remote places
  • 6.8 Staff report security events
7. Physical controls
  • 7.1 Secure boundaries around premises
  • 7.2 Entry controls
  • 7.3 Offices, rooms and facilities secured
  • 7.4 Premises monitored
  • 7.5 Protection from physical and environmental threats
  • 7.6 Rules for working in secure areas
  • 7.7 Clear desk and locked screens
  • 7.8 Equipment placed and protected
  • 7.9 Assets taken off the premises
  • 7.10 Storage media handled over their life
  • 7.11 Power and other utilities
  • 7.12 Cables protected
  • 7.13 Equipment maintained
  • 7.14 Equipment wiped or destroyed before disposal or re-use
8. Technological controls
  • 8.1 Laptops, phones and other user devices
  • 8.2 Administrator and other privileged access
  • 8.3 Access to information restricted
  • 8.4 Access to source code
  • 8.5 Secure log-in
  • 8.6 Capacity planned and monitored
  • 8.7 Malware protection
  • 8.8 Technical vulnerabilities handled
  • 8.9 Secure configurations
  • 8.10 Information deleted when no longer needed
  • 8.11 Data masking
  • 8.12 Data leakage prevented
  • 8.13 Backups
  • 8.14 Redundant systems
  • 8.15 Event logs
  • 8.16 Monitoring for unusual behaviour
  • 8.17 Clocks synchronised
  • 8.18 Powerful utility programs restricted
  • 8.19 Software installed on live systems
  • 8.20 Network security
  • 8.21 Security of network services
  • 8.22 Networks separated
  • 8.23 Web filtering
  • 8.24 Encryption and key management
  • 8.25 Secure development life cycle
  • 8.26 Security requirements for applications
  • 8.27 Secure architecture and engineering principles
  • 8.28 Secure coding
  • 8.29 Security testing before acceptance
  • 8.30 Outsourced development supervised
  • 8.31 Development, test and production kept apart
  • 8.32 Changes managed
  • 8.33 Test data protected
  • 8.34 Systems protected during audit tests

Doelstellingen

Doelstelling 1
Bijvoorbeeld aanmelden met meerdere factoren op alle beheerdersaccounts.
Hoe u het zult weten, bijvoorbeeld 100 % van de beheerdersaccounts.
Taal van de documenten

Niets wat u typt wordt ergens naartoe gestuurd. Uw bedrijfsgegevens blijven voor de volgende keer in deze browser.

Wat in de bestanden staat

  • het toepassingsgebied van het ISMS, met de interne en externe kwesties, de klimaatvraag van wijziging 1:2024, de belanghebbenden en hun eisen, de locaties, wat buiten het toepassingsgebied valt en de raakvlakken (clausules 4.1 tot en met 4.3);
  • het informatiebeveiligingsbeleid met de toezeggingen van de directie, de rollen en uw onderwerpspecifieke beleidsdocumenten (5.2);
  • de risicobeoordeling: de methode, de schalen van 1 tot 5, uw acceptatieniveau, en het register met waarschijnlijkheid × impact berekend voor elk risico (6.1.2);
  • het risicobehandelplan met de optie, de beheersmaatregelen van bijlage A, de actie, wie en wanneer, en een kolom voor de goedkeuring van elke risico-eigenaar (6.1.3);
  • de verklaring van toepasselijkheid: alle 93 beheersmaatregelen van bijlage A, opgenomen of uitgesloten, de motivering (de risico’s die een beheersmaatregel behandelt, worden voor u ingevuld) en of ze is geïmplementeerd (6.1.3 d), ook als CSV-bestand voor een spreadsheet;
  • de informatiebeveiligingsdoelstellingen met meting, middelen, eigenaar en datum (6.2), en een leesmij met wat de norm naast deze bestanden vraagt.

Controles die het pakket uitvoert

Een risiconiveau wordt alleen berekend uit hele scores van 1 tot 5; al het andere wordt gemarkeerd als in te vullen. Een nummer van een beheersmaatregel dat niet in bijlage A staat, wordt getoond als geweigerd, niet geraden. Een beheersmaatregel die u uitsluit terwijl een van uw risico’s erop steunt, wordt gemarkeerd in het formulier en in de verklaring van toepasselijkheid. Niets blijft ongemerkt leeg: elke leemte vermeldt TO COMPLETE.

ISO 27001 en NIS2

De NIS2-richtlijn (EU) 2022/2555 vraagt geen certificering volgens ISO/IEC 27001. Artikel 21 vraagt essentiële en belangrijke entiteiten maatregelen voor het beheer van risico’s te nemen, waarbij ze waar van toepassing rekening houden met relevante Europese en internationale normen, en artikel 25 vraagt de lidstaten het gebruik daarvan aan te moedigen. Een risicobeoordeling, een beleid en een verklaring van toepasselijkheid zijn een gangbare manier om te tonen hoe die maatregelen zijn gekozen. Hoe het pakket zijn beleidsdocumenten koppelt aan SOC 2 en aan artikel 21: SOC 2- en NIS2-beleid.

Wat het pakket niet doet

Het bevat de tekst van de norm niet: de namen van de beheersmaatregelen zijn onze eigen korte woorden, en u hebt een eigen exemplaar van ISO/IEC 27001 nodig om de eisen te lezen. Het schrijft niet de procedures achter elke beheersmaatregel, voert uw interne audit of directiebeoordeling niet uit, en certificeert niets: alleen een audit door een geaccrediteerde certificatie-instelling leidt tot een certificaat. De documenten zijn in het Engels, Duits, Spaans, Frans, Pools en Italiaans.

Niets wat u typt verlaat uw browser; de bestanden worden op uw apparaat gemaakt. Sjablonen, geen juridisch advies.

Bronnen