ISO/IEC 27001:2022 na de overgang: waar auditors op letten en hoe je auditklaar blijft

Sinds 31 oktober 2025 verwijst elk geaccrediteerd ISO/IEC 27001-certificaat naar de editie van 2022. Nu de transitieaudits achter de rug zijn, testen certificatie-instellingen of de nieuwe controls daadwerkelijk werken.

ISO/IEC 27001:2022 werd gepubliceerd op 25 oktober 2022 met een transitieperiode van drie jaar ^[3]. Die periode eindigde op 31 oktober 2025. Certificaten afgegeven volgens de vorige editie (ISO/IEC 27001:2013, in Europa gepubliceerd als EN ISO/IEC 27001:2017) vervielen op die datum en zijn niet langer geldig ^[3]. Een jaar later hebben de meeste gecertificeerde organisaties hun eerste surveillancecyclus onder de editie van 2022 voltooid. Dit artikel bekijkt waar de auditaandacht naartoe is verschoven en hoe je een informatiebeveiligingsbeheersysteem (ISMS) het hele jaar door auditklaar houdt.

Een korte samenvatting van wat er veranderde

Clausules 4 tot 10

De managementsysteemclausules werden afgestemd op de geharmoniseerde structuur van ISO. De wijzigingen zijn bescheiden maar auditabel ^[1]:

• 4.2: bepaal welke vereisten van belanghebbenden via het ISMS worden aangepakt.
• 4.4: het ISMS omvat de benodigde processen en hun onderlinge relaties.
• 6.2: doelstellingen voor informatiebeveiliging moeten worden gemonitord.
• 6.3 (nieuw): wijzigingen in het ISMS moeten op een geplande manier worden uitgevoerd.
• 8.1: stel criteria vast voor processen en controleer extern geleverde processen, producten en diensten die relevant zijn voor het ISMS.
• 9.3: managementbeoordeling houdt rekening met veranderingen in de behoeften en verwachtingen van belanghebbenden.

De klimaatamendement

In februari 2024 publiceerde ISO Amendment 1 op ISO/IEC 27001:2022, 'Climate action changes' ^[2]. Dit vereist dat organisaties bepalen of klimaatverandering een relevant onderwerp in hun context is (clausule 4.1) en stelt vast dat belanghebbenden klimaatgerelateerde vereisten kunnen hebben (clausule 4.2). Auditors verwachten over het algemeen dat de vraag is overwogen en de conclusie is gedocumenteerd, niet een klimaatprogramma.

Bijlage A

Bijlage A werd herstructureerd van 114 controls in 14 domeinen naar 93 controls in vier thema's: organisatorisch, mensen, fysiek en technologisch ^[4]. De meeste controls werden samengevoegd of hernoemd. Elf zijn nieuw. ^[4]:

Control	Titel
5.7	Threat intelligence
5.23	Informatiebeveiliging voor het gebruik van cloudservices
5.30	ICT-gereedheid voor bedrijfscontinuïteit
7.4	Monitoring van fysieke beveiliging
8.9	Configuratiebeheer
8.10	Verwijdering van informatie
8.11	Gegevensmaskering
8.12	Preventie van gegevenslekken
8.16	Monitoringactiviteiten
8.23	Webfiltering
8.28	Veilige codering

Implementatierichtlijnen voor elke control staan in ISO/IEC 27002:2022 ^[5].

Transitieaudits vroegen of de nieuwe controls in je verklaring van toepasselijkheid stonden; surveillanceaudits vragen of ze werken.

Waar de auditaandacht is verschoven

Tijdens transitieaudits controleerden auditors vooral of de verklaring van toepasselijkheid (SoA) de nieuwe Bijlage A weerspiegelde, of het behandelplan voor risicobehandeling was bijgewerkt en of de nieuwe controls waren overwogen. Surveillance- en hercertificeringsaudits stellen een andere vraag: werkt de control, en kun je dat aantonen?

De volgende gebieden zijn waar hiaten zich doorgaans voordoen, omdat de controls nieuw zijn en bewijs niet altijd als bijproduct van dagelijks werk wordt gegenereerd.

Threat intelligence (5.7)

Je abonneren op een feed is niet de control. Auditors kijken hoe dreigingsinformatie wordt verzameld, geanalyseerd en gebruikt: bijvoorbeeld een periodieke dreigingssamenvatting die heeft geleid tot een wijziging in risicobeoordelingen, detectieregels of patchprioriteiten. Kleinere organisaties kunnen vertrouwen op bronnen zoals adviezen van nationale CSIRT's, mits zij aantonen dat de informatie wordt beoordeeld en gebruikt.

Cloudservices (5.23)

De control bestrijkt de levenscyclus van cloudgebruik: aanschaf, gebruik, beheer en uitstap. Verwacht vragen over hoe cloudservices worden goedgekeurd, hoe het gedeelde verantwoordelijkheidsmodel voor belangrijke providers is gedocumenteerd, hoe de beveiliging van providers wordt beoordeeld en welke uitstaparrangementen bestaan. Dit is rechtstreeks gekoppeld aan leverancierscontrols 5.19 tot 5.22.

Preventie van gegevenslekken (8.12)

De norm vereist geen bepaald DLP-product. Het vereist maatregelen die evenredig zijn aan het risico, toegepast op systemen, netwerken en apparaten die gevoelige informatie verwerken. Auditors willen meestal het verband zien tussen gegevensclassificatie, de beschouwde kanalen (e-mail, webupload, verwisselbare media, cloudsharing) en de gekozen technische of procedurele maatregelen, plus bewijs dat waarschuwingen worden beoordeeld.

Configuratiebeheer (8.9) en monitoringactiviteiten (8.16)

Beide vereisen voortdurend bewijs: gedefinieerde veilige basislijnen, een manier om afwijking op te sporen, en monitoring van netwerken, systemen en applicaties op afwijkend gedrag met gedocumenteerde beoordeling. Deze controls falen wanneer zij alleen als beleidsverklaringen bestaan.

ICT-gereedheid voor bedrijfscontinuïteit (5.30)

Auditors zoeken naar hersteldoelstellingen gekoppeld aan bedrijfsimpactanalyse en bewijs dat ICT-herstel is getest, niet alleen gepland.

Veilige codering (8.28) en verwijdering van informatie (8.10)

Voor organisaties die software ontwikkelen, verwachten auditors principes voor veilige codering, bewijs van codebeoordeling of -tests en omgang met bibliotheken van derden. Voor verwijdering kijken zij naar retentieregels en bewijs dat gegevens worden verwijderd wanneer zij niet langer nodig zijn, ook bij leveranciers.

Clausule 6.3 en wijziging

Een veelvoorkomende bevinding is dat significante wijzigingen, zoals een nieuw cloudplatform, een overname of een reorganisatie, zonder beoordeling van hun effect op het ISMS zijn doorgevoerd. Een eenvoudig wijzigingsregister dat naar het ISMS verwijst, lost dit op.

Het ISMS het hele jaar door auditklaar houden

Stel een controlkalender op

Wijs elke toepasselijke control een eigenaar en een beoordelingsfrequentie toe, zoals maandelijks, driemaandelijks of jaarlijks. Toegangsbeoordelingen, backupherstelproeven, leveranciersbeoordelingen, kwetsbaarheidsscans en dreigingssamenvattingen produceren dan bewijs op schema in plaats van in de weken voor een audit.

Verzamel voortdurend bewijs

Sla bewijs op waar het wordt gegenereerd, met een datum en eigenaar, en koppel het aan de control die het ondersteunt. Waar controls worden gedeeld met andere frameworks, zoals NIS2-risicobeheersingsmaatregelen of DORA ICT-vereisten, koppel je hetzelfde bewijs aan elke vereiste in plaats van het twee keer te produceren.

Houd het risicoregister actueel

Beoordeel risico's wanneer iets verandert, niet alleen eenmaal per jaar: nieuwe bedreigingen, incidenten, leveranciers of diensten. Auditors controleren of de resultaten van de risicobeoordeling in de SoA en het behandelplan terechtkomen.

Spreid het interne auditprogramma

Clausule 9.2 vereist een gepland intern auditprogramma ^[1]. Het behandelen van enkele clausules en controlethema's elk kwartaal geeft een volledige cyclus over het jaar, vindt problemen vroeg op en geeft het certificeringsorgaan een geloofwaardig beeld van zelfbeoordeling.

Voer een betekenisvolle managementbeoordeling uit

Clausule 9.3 vermeldt de vereiste invoer ^[1]. Een korte, goed onderbouwde beoordeling met beslissingen en acties is waardevoller dan een lange presentatie zonder resultaten.

Volg corrigerende maatregelen tot afsluiting

Niet-conformiteiten, incidenten en auditbevindingen moeten allemaal worden opgenomen in één log voor corrigerende maatregelen, met oorzaak, eigenaar en vervaldatum. Open acties van de vorige audit zijn een van de eerste dingen die een auditor controleert.

Slotopmerking

Secrato helpt organisaties frameworks zoals NIS2, DORA en ISO/IEC 27001 in één EU-gehoste platform te beheren, met gedeelde controls, bewijs en audit trails.