ISO 27001 en uw softwareleverancier

ISO 27001 stelt eisen aan een managementsysteem voor informatiebeveiliging. Dat is geen product maar een manier van werken: de organisatie brengt in kaart welke informatie zij verwerkt en welke risico's daarbij horen, kiest maatregelen, meet of ze werken en stuurt bij. De norm schrijft niet voor welke techniek u gebruikt, maar wel dat er over die keuzes wordt nagedacht, dat ze zijn vastgelegd en dat iemand ze met regelmaat opnieuw beoordeelt.

Daaruit volgt de meest voorkomende misvatting. Er bestaat geen gecertificeerde app en geen gecertificeerde server. Certificering gaat over een organisatie of een afgebakend deel daarvan, nooit over een product. Zegt een verkoper dat zijn pakket gecertificeerd is, dan is de enige zinnige vervolgvraag wat er dan wel is beoordeeld.

Wat het is

Een norm voor de manier waarop een organisatie informatiebeveiliging inricht, uitvoert en bijstuurt.

Wat het niet is

Een keurmerk op een applicatie, een garantie tegen incidenten of een uitspraak over de kwaliteit van uw code.

Actuele versie

ISO/IEC 27001:2022, gepubliceerd op 25 oktober 2022. In Nederland is dat NEN-EN-ISO/IEC 27001:2023, de Europese overname, gelijk aan de mondiale norm op het Europese voorwoord na.

De maatregelen

Bijlage A van de norm verwijst naar de beheersmaatregelen uit ISO/IEC 27002.

In 2024 kwam daar een wijzigingsblad bij over klimaatverandering als mogelijk relevant onderwerp. Belangrijker voor u is de vorige versie: die uit 2013 is uitgefaseerd. Er gold een transitieperiode van 36 maanden, die eind oktober 2025 afliep. Certificaten die naar de versie uit 2013 verwijzen, hebben hun geldigheid verloren.

Een geldig certificaat betekent dat een onafhankelijke partij is komen kijken of dat managementsysteem er is, of het beschreven staat en of er in de praktijk naar wordt gehandeld. Dat is meer dan een geruststellende alinea op een website, en het wordt herhaald.

Wat het niet zegt, is dat uw applicatie goed gebouwd is; de norm gaat over de organisatie eromheen. Het zegt evenmin dat er nooit iets misgaat: de norm gaat er juist van uit dat er incidenten zijn en vraagt dat er een procedure klaarligt. En het zegt niet dat het hele bedrijf meedoet.

Certificaten worden niet uitgegeven door ISO en niet door NEN, maar door certificerende instellingen. Die instellingen worden in Nederland zelf beoordeeld door de Raad voor Accreditatie, die een openbaar register bijhoudt van geaccrediteerde organisaties. Let op wat daarin staat: instellingen, geen gecertificeerde bedrijven. Er is dus geen centrale lijst waarin u opzoekt of uw leverancier een certificaat heeft. U vraagt het document op bij de leverancier en controleert het bij de instelling die het heeft afgegeven.

Een certificaat van een niet geaccrediteerde instelling bestaat ook. Dat is niet automatisch waardeloos, maar er is dan niemand die de toetser heeft getoetst.

Op elk certificaat staat een omschrijving van de reikwijdte: welke onderdelen, locaties, diensten en processen binnen het managementsysteem vallen. Die ene zin is het deel van het document dat u werkelijk moet lezen. Alles wat erbuiten valt, is niet beoordeeld.

Dat is geen theoretisch bezwaar. Een leverancier kan een certificaat hebben waarvan de scope het beheer van de hostingomgeving beschrijft, terwijl het bouwen van software er niet onder valt. Of de scope noemt het hoofdkantoor, terwijl uw project draait bij een team elders. Wat dat betekent voor toegang en afspraken leest u in werken met een team in het buitenland. Waar de gegevens uiteindelijk staan is een aparte vraag, die aan bod komt in waar staat uw data.

Vraag daarom niet of een leverancier gecertificeerd is, maar of de dienst die u afneemt binnen de scope van het certificaat valt. Op die vraag past geen algemeen antwoord.

Een leverancier die hier serieus in zit, heeft deze antwoorden klaarliggen. Een certificaat is er tenslotte om te laten zien.

Naast het certificaat bestaat er een document dat u veel meer vertelt: de Verklaring van Toepasselijkheid, in het Engels de Statement of Applicability. Daarin geeft de organisatie op basis van haar risicoanalyse aan welke beheersmaatregelen van toepassing zijn, en welke niet.

Bijlage A van ISO 27001 verwijst naar de beheersmaatregelen uit ISO/IEC 27002; in de versie uit 2022 gaat het om 93 maatregelen, verdeeld over vier groepen: organisatorisch, mensen, fysiek en technologisch. ISO 27002 is dus geen tweede norm waartegen u zich kunt laten certificeren, maar de toelichting bij de maatregelen waar ISO 27001 naar wijst.

U wilt die verklaring zien omdat het het enige document is waarin staat wat de leverancier bewust niet doet. Uitsluitingen zijn niet verdacht: een bureau zonder eigen serverruimte sluit terecht fysieke maatregelen uit. Een uitsluiting zonder motivering, op een onderwerp dat voor uw project juist relevant is, is dat wel.

Niet elke leverancier geeft dit stuk zomaar af, want het beschrijft de binnenkant van zijn eigen beveiliging. Een geheimhoudingsafspraak lost dat meestal op. Krijgt u het alsnog niet, vraag dan welke maatregelen zijn uitgesloten en waarom. Ook dat antwoord vertelt u genoeg.

In offertes komen drie formuleringen voor die op elkaar lijken en iets heel anders betekenen.

Die laatste regel is geen diskwalificatie. Certificering vraagt een investering die vooral loont wanneer klanten erom vragen, en heel wat zorgvuldige bureaus kiezen daar niet voor. Een partij die de norm als leidraad gebruikt en dat kan onderbouwen, levert soms beter werk dan een gecertificeerde partij die het als papierwerk behandelt. Alleen moet u dat zelf vaststellen.

Wat u dan doet, is dezelfde vragen zelf stellen en de antwoorden vastleggen in het contract en de verwerkersovereenkomst. Welke eisen redelijk zijn en hoe u merkt of iemand er serieus mee omgaat, staat in beveiliging eisen aan uw leverancier. Voor de bredere afweging is er een softwareleverancier kiezen.

Andersom kan het certificaat een harde eis zijn, bij een aanbesteding of omdat uw eigen klanten het verlangen. Dan is de vraag niet of het nuttig is, maar of de scope past bij wat u inkoopt. Werkt u met gevoelige persoonsgegevens, kijk dan ook naar wat is privacy by design. Bij twijfel over uw wettelijke verplichtingen legt u de situatie voor aan een jurist of uw functionaris gegevensbescherming. Deze pagina is uitleg, geen juridisch advies, en biedt geen garantie over naleving.

• Beveiliging eisen aan uw leverancier
• Waar staat uw data
• Wat is privacy by design
• Een softwareleverancier kiezen
• NEN 7510 in de zorg