ISO 27001 voor mkb: stappen, kosten en doorlooptijd

ISO 27001 is de internationale norm voor informatiebeveiliging. Een geaccrediteerde instelling controleert je organisatie en geeft het certificaat af.

In het kort

ISO 27001 is niet wettelijk verplicht, maar klanten en aanbestedingen vragen er steeds vaker om.
De norm sluit nauw aan op de zorgplicht uit de Cyberbeveiligingswet.
Mkb-consultants noemen 10.000 tot 18.000 euro voor de begeleiding.

Verplicht of niet?

Geen wet verplicht ISO 27001. In de praktijk wordt het certificaat wel een voorwaarde: in aanbestedingen van overheden en zorginstellingen, in inkoopvoorwaarden van grote bedrijven en als bewijs dat je de zorgplicht uit de Cyberbeveiligingswet invult.

De stappen

Bepaal de scope: welke activiteiten, locaties en systemen vallen onder het certificaat.
Breng de risico's in kaart en kies de maatregelen. De norm telt 93 beheersmaatregelen. In een verklaring van toepasselijkheid leg je vast welke je toepast.
Voer de maatregelen in en leg beleid en procedures vast.
Doe een interne audit en een directiebeoordeling.
Laat de certificatie-audit uitvoeren, in twee fasen. Het certificaat geldt drie jaar, met elk jaar een controle-audit.

Wat kost het?

Mkb-consultants noemen 10.000 tot 18.000 euro voor de begeleiding naar ISO 27001. Daar komen de kosten van de certificerende instelling en je eigen uren bij.

Hoe lang duurt het?

De meeste mkb-bedrijven rekenen op zes tot twaalf maanden. Het systeem moet enkele maanden aantoonbaar werken voor de audit kan slagen.

Veelgestelde vragen

Wie geeft het certificaat af?

Een geaccrediteerde certificerende instelling. De consultant die je begeleidt, mag niet zelf certificeren.

Dekt ISO 27001 de Cyberbeveiligingswet?

Voor een groot deel van de zorgplicht wel. De meldplicht en de registratie bij het NCSC regel je apart.

Is NEN 7510 hetzelfde?

NEN 7510 is de variant voor de zorg en bouwt voort op ISO 27001.

Weet je niet of je onder de Cyberbeveiligingswet valt?

Drie vragen, meteen een antwoord, zonder e-mailadres.

Doe de check Of stel je vraag

Bronnen

Laatst gecontroleerd op 1 oktober 2026. Deze pagina geeft uitleg, geen juridisch advies. Cyberdijk beantwoordt vragen; begeleiding start na afronding van de certificering.