Wat is ISO 27001?
ISO/IEC 27001:2022 is wereldwijd de referentienorm voor het beheer van informatiebeveiliging. De norm legt de eisen vast voor een managementsysteem voor informatiebeveiliging (ISMS) — het kader van governance, risico's en maatregelen waarmee een organisatie de vertrouwelijkheid, integriteit en beschikbaarheid van haar informatie beschermt.
De herziening van 2022 herstructureert bijlage A in 93 maatregelen, verdeeld over vier thema's — organisatorisch, mensgericht, fysiek en technologisch — en introduceert attributen waarmee maatregelen eenvoudiger te koppelen zijn aan andere kaders zoals NIS2, DORA en de nationale baselines.
Bijlage A in één oogopslag: 93 maatregelen, 4 thema's
A.5 — Organisatorisch (37)
A.6 — Mensen (8)
A.7 — Fysiek (14)
A.8 — Technologisch (34)
Lijst van de beheersmaatregelen van ISO 27001:2022 bijlage A (alle 93)
De titels van de 93 beheersmaatregelen, per thema. Maatregelen met de vermelding “nieuw” bestonden niet in de versie van 2013. De normatieve tekst van elke maatregel staat in ISO/IEC 27001, de implementatierichtlijnen in ISO/IEC 27002.
A.5 — Organisatorische beheersmaatregelen (37)
- A.5.1Beleidsregels voor informatiebeveiliging
- A.5.2Rollen en verantwoordelijkheden bij informatiebeveiliging
- A.5.3Functiescheiding
- A.5.4Managementverantwoordelijkheden
- A.5.5Contact met overheidsinstanties
- A.5.6Contact met speciale belangengroepen
- A.5.7Informatie en analyses over dreigingennieuw
- A.5.8Informatiebeveiliging in projectmanagement
- A.5.9Inventaris van informatie en andere gerelateerde bedrijfsmiddelen
- A.5.10Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen
- A.5.11Retourneren van bedrijfsmiddelen
- A.5.12Classificeren van informatie
- A.5.13Labelen van informatie
- A.5.14Overdragen van informatie
- A.5.15Toegangsbeveiliging
- A.5.16Identiteitsbeheer
- A.5.17Authenticatie-informatie
- A.5.18Toegangsrechten
- A.5.19Informatiebeveiliging in leveranciersrelaties
- A.5.20Adresseren van informatiebeveiliging in leveranciersovereenkomsten
- A.5.21Beheren van informatiebeveiliging in de ICT-toeleveringsketen
- A.5.22Monitoren, beoordelen en beheren van wijzigingen in leveranciersdiensten
- A.5.23Informatiebeveiliging voor het gebruik van clouddienstennieuw
- A.5.24Plannen en voorbereiden van het beheer van informatiebeveiligingsincidenten
- A.5.25Beoordelen van en besluiten over informatiebeveiligingsgebeurtenissen
- A.5.26Reageren op informatiebeveiligingsincidenten
- A.5.27Leren van informatiebeveiligingsincidenten
- A.5.28Verzamelen van bewijsmateriaal
- A.5.29Informatiebeveiliging tijdens een verstoring
- A.5.30ICT-gereedheid voor bedrijfscontinuïteitnieuw
- A.5.31Wettelijke, statutaire, regelgevende en contractuele eisen
- A.5.32Intellectuele-eigendomsrechten
- A.5.33Beschermen van registraties
- A.5.34Privacy en bescherming van persoonsgegevens (PII)
- A.5.35Onafhankelijke beoordeling van informatiebeveiliging
- A.5.36Naleving van beleid, regels en normen voor informatiebeveiliging
- A.5.37Gedocumenteerde bedieningsprocedures
A.6 — Mensgerichte beheersmaatregelen (8)
- A.6.1Screening
- A.6.2Arbeidsvoorwaarden
- A.6.3Bewustwording, opleiding en training op het gebied van informatiebeveiliging
- A.6.4Disciplinaire procedure
- A.6.5Verantwoordelijkheden na beëindiging of wijziging van het dienstverband
- A.6.6Vertrouwelijkheids- of geheimhoudingsovereenkomsten
- A.6.7Werken op afstand
- A.6.8Melden van informatiebeveiligingsgebeurtenissen
A.7 — Fysieke beheersmaatregelen (14)
- A.7.1Fysieke beveiligingszones
- A.7.2Fysieke toegangsbeveiliging
- A.7.3Beveiligen van kantoren, ruimten en faciliteiten
- A.7.4Monitoren van de fysieke beveiligingnieuw
- A.7.5Beschermen tegen fysieke en omgevingsdreigingen
- A.7.6Werken in beveiligde gebieden
- A.7.7Clear desk en clear screen
- A.7.8Plaatsen en beschermen van apparatuur
- A.7.9Beveiligen van bedrijfsmiddelen buiten het terrein
- A.7.10Opslagmedia
- A.7.11Nutsvoorzieningen
- A.7.12Beveiligen van bekabeling
- A.7.13Onderhoud van apparatuur
- A.7.14Veilig verwijderen of hergebruiken van apparatuur
A.8 — Technologische beheersmaatregelen (34)
- A.8.1Eindpuntapparatuur van gebruikers
- A.8.2Speciale toegangsrechten
- A.8.3Beperking van toegang tot informatie
- A.8.4Toegang tot broncode
- A.8.5Beveiligde authenticatie
- A.8.6Capaciteitsbeheer
- A.8.7Bescherming tegen malware
- A.8.8Beheer van technische kwetsbaarheden
- A.8.9Configuratiebeheernieuw
- A.8.10Wissen van informatienieuw
- A.8.11Maskeren van gegevensnieuw
- A.8.12Voorkomen van gegevenslekkennieuw
- A.8.13Back-up van informatie
- A.8.14Redundantie van informatieverwerkende faciliteiten
- A.8.15Logging
- A.8.16Monitoren van activiteitennieuw
- A.8.17Kloksynchronisatie
- A.8.18Gebruik van speciale systeemhulpmiddelen
- A.8.19Installeren van software op operationele systemen
- A.8.20Netwerkbeveiliging
- A.8.21Beveiliging van netwerkdiensten
- A.8.22Netwerksegmentatie
- A.8.23Webfilteringnieuw
- A.8.24Gebruik van cryptografie
- A.8.25Beveiligen tijdens de ontwikkelcyclus
- A.8.26Beveiligingseisen voor applicaties
- A.8.27Veilige systeemarchitectuur en technische principes
- A.8.28Veilig coderennieuw
- A.8.29Beveiligingstesten tijdens ontwikkeling en acceptatie
- A.8.30Uitbestede ontwikkeling
- A.8.31Scheiding van ontwikkel-, test- en productieomgevingen
- A.8.32Wijzigingsbeheer
- A.8.33Testgegevens
- A.8.34Bescherming van informatiesystemen tijdens audittests
De 11 nieuwe beheersmaatregelen in ISO 27001:2022
A.5.7Informatie en analyses over dreigingen
Informatie over dreigingen verzamelen en analyseren, zodat de maatregelen het werkelijke dreigingslandschap volgen.
A.5.23Informatiebeveiliging voor het gebruik van clouddiensten
Bepalen hoe clouddiensten worden verworven, gebruikt, beheerd en beëindigd.
A.5.30ICT-gereedheid voor bedrijfscontinuïteit
ICT-continuïteit plannen, implementeren en testen ten opzichte van de doelstellingen voor bedrijfscontinuïteit (RTO, RPO).
A.7.4Monitoren van de fysieke beveiliging
Gebouwen continu bewaken op onbevoegde fysieke toegang.
A.8.9Configuratiebeheer
Veilige configuraties van hardware, software, diensten en netwerken definiëren, documenteren en bewaken.
A.8.10Wissen van informatie
Informatie die niet langer nodig is verwijderen, op systemen, apparaten en opslagmedia.
A.8.11Maskeren van gegevens
Gegevens maskeren — pseudonimiseren of anonimiseren — volgens het toegangsbeleid.
A.8.12Voorkomen van gegevenslekken
Preventie van datalekken toepassen op systemen, netwerken en eindpunten met gevoelige informatie.
A.8.16Monitoren van activiteiten
Netwerken, systemen en applicaties monitoren op afwijkend gedrag en daarop reageren.
A.8.23Webfiltering
De toegang tot externe websites beheren om de blootstelling aan kwaadaardige inhoud te beperken.
A.8.28Veilig coderen
Principes voor veilig coderen toepassen bij softwareontwikkeling.
A.5.30 verbindt het ISMS rechtstreeks met bedrijfscontinuïteit: de hersteldoelstellingen komen uit de RTO en RPO die in de BIA zijn vastgelegd. Dat is de kern van ResiPlan, software voor bedrijfscontinuïteit.
ISO 27001:2013 → 2022: waar zijn A.5 tot A.18 naartoe?
De versie van 2013 telde 114 beheersmaatregelen in 14 domeinen (A.5 tot A.18). De versie van 2022 voegt ze samen tot 93 beheersmaatregelen en 4 thema's. Certificaten volgens de versie van 2013 zijn sinds 31 oktober 2025 niet meer geldig. De tabel toont voor elk vroeger domein de maatregelen van 2022 die nu de inhoud ervan dragen.
| Domein 2013 | Maatregelen 2013 | Maatregelen 2022 |
|---|---|---|
| A.5Informatiebeveiligingsbeleid | 2 | A.5.1 |
| A.6Organisatie van informatiebeveiliging | 7 | A.5.2, A.5.3, A.5.5, A.5.6, A.5.8, A.6.7, A.8.1 |
| A.7Veilig personeel | 6 | A.5.4, A.6.1, A.6.2, A.6.3, A.6.4, A.6.5 |
| A.8Beheer van bedrijfsmiddelen | 10 | A.5.9, A.5.10, A.5.11, A.5.12, A.5.13, A.7.10 |
| A.9Toegangsbeheer | 14 | A.5.15, A.5.16, A.5.17, A.5.18, A.8.2, A.8.3, A.8.4, A.8.5, A.8.18 |
| A.10Cryptografie | 2 | A.8.24 |
| A.11Fysieke beveiliging en beveiliging van de omgeving | 15 | A.7.1, A.7.2, A.7.3, A.7.5, A.7.6, A.7.7, A.7.8, A.7.9, A.7.10, A.7.11, A.7.12, A.7.13, A.7.14, A.8.1 |
| A.12Beveiliging bedrijfsvoering | 14 | A.5.37, A.8.6, A.8.7, A.8.8, A.8.13, A.8.15, A.8.17, A.8.19, A.8.31, A.8.32, A.8.34 |
| A.13Communicatiebeveiliging | 7 | A.5.14, A.6.6, A.8.20, A.8.21, A.8.22 |
| A.14Acquisitie, ontwikkeling en onderhoud van systemen | 13 | A.5.8, A.8.25, A.8.26, A.8.27, A.8.29, A.8.30, A.8.31, A.8.32, A.8.33 |
| A.15Leveranciersrelaties | 5 | A.5.19, A.5.20, A.5.21, A.5.22 |
| A.16Beheer van informatiebeveiligingsincidenten | 7 | A.5.24, A.5.25, A.5.26, A.5.27, A.5.28, A.6.8 |
| A.17Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer | 4 | A.5.29, A.8.14 |
| A.18Naleving | 8 | A.5.31, A.5.32, A.5.33, A.5.34, A.5.35, A.5.36 |
ISO 27001 met ResiPlan
ResiPlan bevat de volledige catalogus van ISO 27001:2022 bijlage A. Voer maatregel per maatregel een gapanalyse van de maturiteit (0–4) uit, voeg bewijsstukken toe en zie hoe uw verklaring van toepasselijkheid (Statement of Applicability) en uw compliancescore zich vanzelf opbouwen.
Dankzij de koppeling tussen kaders wordt het werk dat u voor ISO 27001 doet overgenomen voor NIS2, DORA en de nationale baselines — beoordeel een maatregel één keer, toon de naleving vele keren aan.
Veelgestelde vragen
Wat is bijlage A van ISO 27001?
Bijlage A (Annex A) is de referentielijst van maatregelen voor informatiebeveiliging in ISO/IEC 27001. De versie van 2022 bevat 93 maatregelen in vier thema's. Een organisatie hoeft ze niet allemaal toe te passen: ze selecteert maatregelen via risicobehandeling en legt elke beslissing, met de motivering, vast in de verklaring van toepasselijkheid.
Hoeveel maatregelen telt ISO 27001:2022?
93 maatregelen in bijlage A, gegroepeerd in vier thema's: 37 organisatorische (A.5), 8 mensgerichte (A.6), 14 fysieke (A.7) en 34 technologische (A.8).
Wat is de verklaring van toepasselijkheid (Statement of Applicability, SoA)?
De SoA legt vast welke maatregelen uit bijlage A van toepassing zijn, wat hun implementatiestatus is en waarom eventuele maatregelen zijn uitgesloten. ResiPlan genereert ze op basis van uw beoordeling.
Helpt ISO 27001 bij NIS2 en DORA?
Ja. ISO 27001-maatregelen sluiten rechtstreeks aan op de NIS2-maatregelen en op de ICT-risicovereisten van DORA. In ResiPlan vult een ISO-beoordeling via cross-mapping automatisch de overeenkomstige NIS2- en CYRA-maatregelen in.
Wat zijn de nieuwe maatregelen in ISO 27001:2022?
Elf: A.5.7 Dreigingsinformatie, A.5.23 Beveiliging van clouddiensten, A.5.30 ICT-gereedheid voor bedrijfscontinuïteit, A.7.4 Monitoring van fysieke beveiliging, A.8.9 Configuratiebeheer, A.8.10 Verwijderen van informatie, A.8.11 Maskeren van gegevens, A.8.12 Voorkomen van datalekken, A.8.16 Monitoringactiviteiten, A.8.23 Webfiltering en A.8.28 Veilig coderen.
Waar staan A.12, A.14 en A.18 in ISO 27001:2022?
De domeinen van 2013 bestaan niet meer. Beveiliging van de bedrijfsvoering (A.12) zit nu grotendeels in A.8 (8.6–8.8, 8.13, 8.15, 8.17, 8.19, 8.31, 8.32, 8.34) plus A.5.37; systeemontwikkeling (A.14) in A.8.25–8.33 en A.5.8; naleving (A.18) in A.5.31–5.36. De tabel op deze pagina koppelt alle 14 vroegere domeinen.
Hoe lang duurt een ISO 27001-certificering?
Doorgaans 6–12 maanden om het ISMS op te bouwen en te laten draaien vóór een Stage 1/Stage 2-audit. Een gapanalyse bij de start toont u precies hoe ver u staat.