Wat is een ISMS (managementsysteem voor informatiebeveiliging)?

De definitie van een ISMS

Een ISMS (Information Security Management System, in het Nederlands: managementsysteem voor informatiebeveiliging) is de gestructureerde manier waarop een organisatie haar informatie beschermt. Het is geen softwarepakket en geen los document, maar het geheel van beleid, risicoanalyses, maatregelen, processen en controles waarmee je informatiebeveiliging organiseert en aantoonbaar maakt. Het bekendste kader voor een ISMS is de internationale norm ISO 27001.

Met "informatie" bedoelen we alles wat waarde heeft en beschermd moet worden: klantgegevens, patiëntdossiers, personeelsinformatie, contracten, broncode of financiële administratie. Een ISMS zorgt ervoor dat die informatie beschikbaar blijft, klopt en alleen toegankelijk is voor mensen die er iets mee moeten.

De kern van een ISMS is dat je risicogestuurd werkt. Je bepaalt eerst welke informatie belangrijk is en wat er mis kan gaan, en kiest op basis daarvan je maatregelen. Zo voorkom je dat je lukraak beveiligingsmaatregelen stapelt die niet passen bij jouw organisatie.

Een ISMS is bovendien een cyclus, geen eenmalig project. Je plant maatregelen, voert ze uit, controleert of ze werken en stuurt bij waar nodig. Deze aanpak heet de Plan-Do-Check-Act-cyclus (PDCA) en zorgt ervoor dat je beveiliging meegroeit met veranderingen in je organisatie, je systemen en de dreigingen daaromheen.

Waaruit bestaat een ISMS?

Hoe een ISMS er precies uitziet verschilt per organisatie, maar de bouwstenen zijn vrijwel altijd dezelfde. Een werkend ISMS bevat in elk geval:

• Een risicoanalyse en risicoregister. Je brengt in kaart welke informatie en systemen je hebt, wat de risico's zijn en hoe groot die risico's zijn. Dit register is het vertrekpunt voor alles wat volgt.
• Beleid en doelstellingen. Een informatiebeveiligingsbeleid beschrijft wat de organisatie wil bereiken, wie waarvoor verantwoordelijk is en welke spelregels gelden.
• Maatregelen. Technische maatregelen (zoals toegangsbeheer, encryptie en back-ups) en organisatorische maatregelen (zoals screening, bewustwording en leveranciersafspraken) die de risico's uit je register afdekken.
• Incidentenregistratie. Een vaste werkwijze om beveiligingsincidenten en datalekken te melden, af te handelen en ervan te leren.
• Bewijs en documentatie. Vastlegging waarmee je kunt aantonen dat je doet wat je belooft: verslagen, logboeken, versies van documenten en de resultaten van controles.
• Controle en verbetering. Interne audits en een periodieke directiebeoordeling waarmee je toetst of het systeem werkt en waar het beter moet.

Merk op dat techniek maar een deel van het verhaal is. Een ISMS gaat minstens zo veel over mensen en processen: wie mag wat, wie doet wat, en hoe leg je dat vast.

ISMS en de normen: ISO 27001, NEN 7510 en BIO

Een ISMS staat op zichzelf, maar in de praktijk richt je het meestal in langs een norm. Een norm geeft je een toetsbaar kader: een lijst met eisen waaraan je systeem moet voldoen. De drie normen die je in Nederland het vaakst tegenkomt:

ISO 27001 is de internationale norm voor informatiebeveiliging en het meest gebruikte kader voor een ISMS. Je kunt je ISMS door een onafhankelijke instelling laten certificeren, wat vaak wordt gevraagd door klanten en in aanbestedingen.

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001 en aangevuld met zorgspecifieke eisen. Zorgaanbieders die elektronisch patiëntgegevens uitwisselen moeten aantoonbaar voldoen aan NEN 7510. Een certificaat is mogelijk, maar niet wettelijk verplicht.

De BIO (Baseline Informatiebeveiliging Overheid) geldt voor de Nederlandse overheid. Voor de BIO bestaat geen certificaat: overheidsorganisaties leggen verantwoording af over hun informatiebeveiliging, gemeenten bijvoorbeeld via ENSIA.

Belangrijk om te weten: je hebt geen apart ISMS per norm nodig. Eén goed ingericht systeem kan meerdere kaders tegelijk bedienen, omdat de onderliggende bouwstenen (risico's, beleid, maatregelen, bewijs) grotendeels overlappen.

ISMS of compliance management systeem: wat is het verschil?

Een compliance management systeem is breder dan een ISMS. Het omvat alles wat een organisatie doet om aan wetten, normen en afspraken te voldoen: van privacy (AVG) en kwaliteit (ISO 9001) tot sectorwetgeving zoals NIS2 of DORA. Een ISMS is het onderdeel daarvan dat zich specifiek richt op informatiebeveiliging.

In de praktijk lopen de twee sterk in elkaar over. De werkwijze is namelijk hetzelfde: eisen in kaart brengen, risico's beoordelen, maatregelen nemen en bewijs verzamelen. Veel organisaties beginnen daarom met een ISMS en breiden dat later uit naar een breder compliance management systeem, bijvoorbeeld door AVG-registers zoals het verwerkingsregister toe te voegen. Goed om te weten: voor de AVG bestaat in de praktijk geen certificaat voor organisaties, je toont naleving aan met je eigen registers en documentatie.

Heb je software nodig voor een ISMS?

Nee, niet per definitie. Een ISMS is een werkwijze, geen tool. Bij een kleine organisatie met een beperkte scope en één persoon die alles beheert, kun je prima starten met spreadsheets en tekstdocumenten. De norm vraagt nergens om specifieke software.

Software wordt waardevol zodra het systeem gaat leven. Denk aan situaties waarin meerdere mensen aan het ISMS werken, waarin je voor een audit moet kunnen laten zien wie wat wanneer heeft aangepast, of waarin taken en controles op vaste momenten terug moeten komen. Losse bestanden raken dan verouderd, versies lopen door elkaar en bewijs verzamelen wordt handwerk.

In ManagementSysteem.nl richt je jouw registers zelf in (risico's, maatregelen, incidenten, documenten, leveranciers), met versiegeschiedenis op documenten, taken met eigenaren, en een automatische audittrail die vastlegt wie wat wanneer heeft gewijzigd. Bekijk op de platformpagina hoe dat werkt.

Een eerlijke vuistregel: begin met de inhoud (risico's, beleid, maatregelen) en kies pas een tool als je merkt dat samenwerking, versiebeheer of bewijsvoering knelt. Een tool lost geen ontbrekend beleid op.

Waar begin je?

De eerste stap is niet het schrijven van dikke documenten, maar het bepalen van je scope: welke onderdelen van de organisatie en welke systemen vallen onder het ISMS? Daarna volgt de risicoanalyse, want die bepaalt welke maatregelen zinvol zijn. Zorg ook dat er vanaf het begin één duidelijke eigenaar is, iemand die het overzicht houdt en knopen kan doorhakken.

1. Bepaal de scope: welke afdelingen, processen en systemen doen mee?
2. Voer een risicoanalyse uit en leg de uitkomsten vast in een risicoregister.
3. Schrijf beknopt beleid en wijs verantwoordelijkheden toe.
4. Kies en implementeer maatregelen die de belangrijkste risico's afdekken.
5. Richt een vast ritme in van controles, interne audits en verbeteracties.

Wil je deze stappen uitgebreider doorlopen, met praktische tips per fase? Lees dan de gids over een managementsysteem inrichten.