Een ISMS is het geheel van beleid, processen, rollen en beslissingen waarmee een organisatie informatiebeveiliging stuurt, meet en bijstelt. Voluit heet het een Information Security Management System, in het Nederlands een managementsysteem voor informatiebeveiliging. Het belangrijkste woord in die naam is niet “security” maar “management”: het gaat om besturing, niet om techniek.
Dat onderscheid klinkt academisch, maar het verklaart waarom zoveel implementaties tegenvallen. Organisaties die een ISMS opzetten als documentproject leveren aan het eind een map met beleidsstukken op die niemand meer opent. Organisaties die het opzetten als besturingscyclus houden er iets aan over dat na de audit blijft werken.
Wat een ISMS wel en niet is
Een ISMS is een cyclus. Je bepaalt wat je moet beschermen, je stelt vast wat er mis kan gaan, je besluit welke maatregelen je daartegen neemt, je voert ze uit, je controleert of ze werken en je stelt bij waar dat niet zo is. Die cyclus staat in de norm bekend als plan, do, check, act, en het is geen toeval dat “check” en “act” de helft van het model uitmaken.
Een ISMS is geen verzameling documenten. Beleid, procedures en registers zijn de neerslag van beslissingen, niet de beslissingen zelf. Een informatiebeveiligingsbeleid van veertig pagina’s dat drie jaar ongewijzigd op het intranet staat, bewijst niets over de beheersing van je risico’s. Een beleid van vier pagina’s dat elk kwartaal wordt getoetst tegen incidenten en wijzigingen in de organisatie, bewijst een stuk meer.
Een ISMS is ook geen ICT-project. De meest kritische onderdelen liggen buiten de ICT-afdeling: welke processen er zijn en wie ze bezit, welke informatie waar landt, wie welke leverancier heeft gecontracteerd, hoe het bestuur zich laat informeren. Wie het bij de ICT-afdeling belegt, krijgt een technisch degelijk systeem dat de organisatorische risico’s mist.
Waar een ISMS uit bestaat
In de kern zit een werkend ISMS altijd op dezelfde zes onderdelen, ongeacht welk kader je aanhoudt.
Scope en context. Voor welk deel van de organisatie geldt het systeem, welke locaties, welke diensten, welke systemen? En wat verwachten je klanten, toezichthouders en wetgevers van je? Een te ruime scope maakt het onhoudbaar, een te krappe scope maakt het waardeloos, want dan valt precies het interessante deel erbuiten.
Risicobeoordeling. Welke risico’s loopt de organisatie, hoe waardeer je die, en welk niveau accepteer je? Zie ook het artikel over een risicoregister dat een auditor accepteert, want dit is het onderdeel waar de meeste systemen inhoudelijk stuklopen.
Beheersmaatregelen. De maatregelen die de risico’s verkleinen, met per maatregel een eigenaar en een onderbouwing waarom die passend is. In ISO 27001 leg je die keuze vast in de Verklaring van Toepasselijkheid.
Rollen en verantwoordelijkheden. Wie besluit, wie voert uit, wie controleert. Als het antwoord op alle drie dezelfde persoon is, heb je geen managementsysteem maar een eenmansactie.
Werking en bewijs. De vastlegging waarmee je aantoont dat maatregelen niet alleen bestaan, maar ook daadwerkelijk zijn uitgevoerd. Logbestanden, testrapporten, ondertekende beoordelingen, screenshots van instellingen.
Evaluatie en bijsturing. Interne audit, directiebeoordeling, incidentanalyse en verbeteracties. Dit is het deel dat het eerst sneuvelt zodra het druk wordt, en precies het deel dat een auditor het scherpst bekijkt.
Heb je er een nodig?
Er zijn drie situaties waarin het antwoord ja is, en ze stapelen.
Je hebt een wettelijke verplichting. Overheidsorganisaties werken onder de BIO, zorgaanbieders onder NEN 7510, financiële instellingen onder DORA. Sinds NIS2 geldt voor een brede groep organisaties dat zij een risicogebaseerde aanpak moeten hanteren en dat het bestuur die aanpak moet goedkeuren en erop moet toezien. Dat is de facto de eis om een managementsysteem te hebben, ook al staat het woord ISMS nergens in de richtlijn.
Je klanten vragen erom. In aanbestedingen, verwerkersovereenkomsten en leveranciersbeoordelingen is een ISO 27001-certificaat of een NEN 7510-verklaring een standaardvraag geworden. Wie het niet heeft, komt niet op de lijst. Dit geldt inmiddels ook voor partijen die zelf niet direct onder wetgeving vallen, maar leveren aan organisaties die dat wel doen.
Je loopt zelf reëel risico. Dit is de zwakste motivatie op papier en de sterkste in de praktijk. Een organisatie die haar risico’s niet expliciet maakt, verdeelt haar budget op onderbuikgevoel. Een organisatie die dat wel doet, ontdekt vaak dat het geld op de verkeerde plek zat.
Wat de drie gemeen hebben: geen van alle vraagt om een certificaat. Ze vragen om aantoonbare beheersing. Het certificaat is één manier om dat aan te tonen, en niet altijd de goedkoopste.
Waarom implementaties stranden
We zien in de praktijk vier patronen terugkomen.
| Patroon | Wat je ziet | Wat het kost |
|---|---|---|
| Documentproject | Beleid en procedures geschreven door een externe, niemand binnen de organisatie herkent zich erin | Certificaat gehaald, gedrag onveranderd, tweede audit pijnlijk |
| Kader-first | Begonnen bij de normtekst, per eis een maatregel bedacht | Maatregelen zonder risico eronder, en dubbel werk zodra er een tweede kader bij komt |
| Bewijs achteraf | Drie weken voor de audit alles bij elkaar zoeken | Piekbelasting, gaten in de historie, aantoonbaarheid alleen rond audits |
| Eén eigenaar | De security officer bezit alles | Kennis verdwijnt bij vertrek, en de organisatie voelt geen eigenaarschap |
De rode draad is telkens dezelfde: het systeem staat naast het werk in plaats van erin. Zodra informatiebeveiliging een aparte administratie wordt, gaat die administratie afwijken van de werkelijkheid. Niet uit onwil, maar omdat niemand tijd heeft om twee waarheden bij te houden.
Waar Pulse een standaard ISMS aanvult
Een ISMS zoals de norm het beschrijft, is kaderneutraal. Het zegt wat je moet regelen, niet hoe je dat administreert. In de praktijk vullen organisaties dat in met een documentbibliotheek, een risicoregister in Excel en een takenlijst in een ticketsysteem. Dat werkt tot het moment waarop er een tweede kader bij komt.
Pulse zet daar een ander uitgangspunt tegenover. In het Pulse Framework is het risico het startpunt en het normenkader de afgeleide. Je legt één keer vast welke risico’s je loopt, aan welke domeinen en processen ze hangen, welke controls ze beheersen en welk bewijs de werking aantoont. Welk kader je vervolgens moet bedienen, is een weergave van datzelfde model. Een periodieke toegangsreview die je één keer inricht, telt mee voor ISO 27001, NEN 7510 en NIS2 tegelijk, zonder dat je hem drie keer administreert.
Drie dingen die dat concreet oplevert:
- Bewijs hoeft maar één keer geleverd. De mappings tussen de ondersteunde kaders liggen vooraf, dus bewijs bij een control landt automatisch bij elke eis die op die control leunt.
- Eigenaarschap ligt waar het werk gebeurt. Domeinen en processen hebben eigenaren, en taken stromen naar die eigenaren toe in plaats van naar één security officer die alles bewaakt.
- De audit-trail ontstaat vanzelf. Elke wijziging aan een risico, control, taak of bewijsstuk wordt vastgelegd, dus de vraag “wanneer is dit besloten en door wie” heeft altijd een antwoord.
Daarbovenop kijkt Gappie, de lokale AI-laag, je beleid door tegen de eisen van een kader en levert een gap-analyse met bronvermelding. Dat vervangt het oordeel van een security officer niet, maar het scheelt de dagen die normaal opgaan aan het handmatig naast elkaar leggen van normteksten en eigen documentatie.
Hoe wij ernaar kijken
Een ISMS is geen doel. Het is de infrastructuur waarmee je een bestuurlijke vraag kunt beantwoorden: lopen wij risico’s die we niet accepteren, en wat doen we eraan? Alles wat niet bijdraagt aan het beantwoorden van die vraag, is overhead die je aan het eind van het jaar weer moet onderhouden.
Onze ervaring is dat organisaties die klein beginnen bij hun eigen risico’s, en pas daarna kijken welk kader ze daarmee bedienen, sneller certificeerbaar zijn dan organisaties die bij de normtekst beginnen. Niet omdat ze minder doen, maar omdat ze niets doen dat er niet toe doet.
Aan de slag
Wil je zien hoe je bestaande beleid, risico’s en bewijs eruitzien in één model? Plan een demo van 30 minuten, dan lopen we het door met je eigen kaders en je eigen situatie als uitgangspunt. Twijfel je nog of NIS2 op jouw organisatie van toepassing is, doe dan eerst de NIS2-check.