Compliance & risk
ISO 27001 in negen maanden: realistisch stappenplan voor het mkb
Een ISO 27001-certificering is voor de meeste mkb-bedrijven in acht tot twaalf maanden haalbaar, mits je vroeg een risicoanalyse en managementcommitment regelt. Negen maanden is realistisch als je de scope klein houdt en niet alles zelf probeert te doen.
Redactie Eindhovenadvies.nl · 25 september 2026 · 9 min lezen
In het kort
- Reken op acht tot twaalf maanden voorbereidingstijd plus de certificerende audit zelf.
- De norm werkt sinds de herziening van 2022 met 93 beheersmaatregelen in vier thema's in plaats van veertien hoofdstukken.
- Begin met een nulmeting (gap-analyse) en een heldere scope; te breed beginnen is de belangrijkste vertragingsoorzaak.
- Klanten en aanbestedingen vragen steeds vaker om het certificaat als toegangsbewijs, niet als nice-to-have.
- Externe begeleiding bespaart vooral tijd van je eigen mensen, niet per se geld op de audit zelf.
Steeds meer maakbedrijven en IT-dienstverleners in regio Eindhoven krijgen de vraag van klanten of aanbestedingen: 'zijn jullie ISO 27001-gecertificeerd?' Wie dan nog moet beginnen, verliest tijd én soms de opdracht. Het goede nieuws: met een strakke planning is certificering in negen maanden haalbaar, ook zonder een grote interne IT-afdeling.
Wat ISO 27001 vandaag inhoudt
ISO 27001 is de internationale norm voor informatiebeveiliging. Sinds de herziening van 2022 telt de norm 93 beheersmaatregelen, gegroepeerd in vier thema's: organisatorisch, mensen, fysiek en technologisch. Dat is overzichtelijker dan de oude structuur, maar vraagt wel dat je risicomanagement en niet alleen techniek op orde hebt. Voor mkb-bedrijven die voor het eerst certificeren, betekent dit vooral: begin met een risicoanalyse, niet met een firewall-project.
De kosten en doorlooptijd variëren sterk per bedrijfsgrootte en volwassenheid van de bestaande beveiliging. Meerdere gespecialiseerde bureaus noemen een traject van gemiddeld acht tot twaalf maanden voor een eerste certificering, met kosten die oplopen van enkele duizenden tot enkele tienduizenden euro's afhankelijk van scope en of je externe begeleiding inhuurt (bron). Negen maanden zit daarmee aan de krappe, maar realistische kant — mits je de scope bewust klein houdt.
Waarom bedrijven vastlopen
De meest gemaakte fout is een te brede scope: het hele bedrijf willen certificeren in plaats van de afdeling of dienst waar klanten echt om vragen. Een tweede valkuil is dat het documentatietraject wordt gezien als los IT-project, terwijl directie en proceseigenaren vanaf dag één betrokken moeten zijn. Zonder managementcommitment strandt een ISO-traject vrijwel altijd bij de interne audit.
Stappenplan: van nulmeting tot certificaat
1. Maand 1: nulmeting en scope
Voer een gap-analyse uit tegen de 93 beheersmaatregelen en bepaal welk deel van de organisatie (welke locatie, welk product, welke dienst) in scope komt.
2. Maand 2-3: risicoanalyse en beleid
Stel een risicoregister op, koppel risico's aan maatregelen en leg dit vast in de Statement of Applicability en het informatiebeveiligingsbeleid.
3. Maand 4-6: implementatie maatregelen
Voer technische en organisatorische maatregelen door: toegangsbeheer, back-upbeleid, bewustwordingstraining, leveranciersbeheer.
4. Maand 7: interne audit
Laat een onafhankelijke partij (intern of extern) toetsen of het systeem werkt zoals beschreven, en herstel bevindingen.
5. Maand 8: directiebeoordeling
De directie beoordeelt formeel of het informatiebeveiligingssysteem effectief is en stuurt bij waar nodig.
6. Maand 9: certificerende audit fase 1 en 2
Een geaccrediteerde certificerende instelling toetst eerst de documentatie (fase 1) en daarna de praktijk (fase 2).
Kosten: waar zit het geld
| Kostenpost | Indicatie | Toelichting |
|---|---|---|
| Gap-analyse en advies | €3.000 – €10.000 | Afhankelijk van scope en of je een externe adviseur inhuurt |
| Interne uren | Grootste kostenpost | Tijd van proceseigenaren, IT en directie tijdens het hele traject |
| Certificerende audit | €3.000 – €8.000 per jaar | Fase 1 en 2, plus jaarlijkse hercertificering |
| Technische maatregelen | Sterk variabel | Afhankelijk van bestaand volwassenheidsniveau van de IT-omgeving |
Deze bandbreedtes zijn indicaties op basis van gepubliceerde ervaringscijfers van certificeringsbureaus (bron); vraag altijd een offerte op maat, want scope en beginsituatie bepalen het grootste deel van de prijs.
Zelf doen of laten begeleiden
Een klein mkb-bedrijf kan het traject in theorie zelf trekken, maar in de praktijk kost dat vaak meer tijd van schaarse interne capaciteit dan het waard is. Externe begeleiding via een compliance consultant voorkomt dat je documentatie schrijft die de auditor toch afkeurt, en versnelt vooral de risicoanalyse en de interne audit. Kijk voor de bredere aanpak ook naar onze pagina over ISO 27001 begeleiding en de dienst ISO 27001 advies.
ISO 27001 staat niet op zichzelf: veel maakbedrijven in de regio combineren het traject met voorbereiding op de Cyberbeveiligingswet, omdat beide trajecten grotendeels dezelfde basismaatregelen vragen. Wie dat slim plant, hoeft niet twee keer hetzelfde werk te doen.
Hoe je het traject binnen je bedrijfsvoering inpast
Certificering is geen eenmalig project maar een beheersysteem dat je onderhoudt. Plan daarom vanaf het begin een interne eigenaar in die na certificering verantwoordelijk blijft voor het jaarlijkse onderhoud en de hercertificering. Bedrijven die dit onderbrengen bij de bredere aanpak van compliance & risk voorkomen dat het certificaat na twee jaar verwatert tot een papieren tijger.
Wil je weten wat een realistisch traject voor jouw organisatie kost en hoe lang het duurt? Neem contact op voor een vrijblijvend gesprek over scope en planning.
Veelgestelde vragen
Kan ISO 27001-certificering echt in negen maanden?
Ja, mits de scope beperkt blijft tot de relevante afdeling of dienst en directie vanaf dag één betrokken is. Bij bredere scope of weinig interne capaciteit loopt dit vaak op naar twaalf maanden.
Wat kost ISO 27001-certificering voor een mkb-bedrijf?
De kosten bestaan uit advies, interne uren en de certificerende audit. Reken op een totaal van enkele duizenden tot enkele tienduizenden euro's, sterk afhankelijk van scope en beginsituatie.
Is ISO 27001 verplicht?
Nee, het is geen wettelijke verplichting, maar wordt in veel aanbestedingen en klantcontracten wel als eis gesteld, vooral in de maakindustrie en IT-dienstverlening.
Wat is het verschil met de Cyberbeveiligingswet (NIS2)?
ISO 27001 is een vrijwillige certificering die aantoont dat je informatiebeveiliging op orde is; de Cyberbeveiligingswet is wetgeving die voor bepaalde sectoren verplichte zorgplichten en meldplichten oplegt. Ze overlappen inhoudelijk sterk.
Moet ik alles zelf documenteren?
Nee, veel bedrijven laten de risicoanalyse en het beleidsdocumentatiewerk begeleiden door een externe consultant om de doorlooptijd te bekorten en fouten te voorkomen.
