ISO 27001-software die de 93 controls één voor één langsloopt
Normy leest je beleid en procedures, beoordeelt elke Annex A-control van ISO 27001:2022 met de bron erbij, bouwt mee aan je risicoregister en zet je Verklaring van Toepasselijkheid klaar. Je ziet welke controls nog open staan voordat de auditor het ziet.
14 dagen gratis, zonder kaart. Daarna blijft je data staan.
NormyRisicoregisterKans × impact-matrix
- 1Verlies van klantdata
- 2Uitval van de webshop
- 3Vertrek sleutelpersoon
- 4Phishing bij medewerkers
Het inherente risico, vóór maatregelen.
Het risicoregister: bruto- en restrisico.
Wat ISO 27001 vraagt, hoofdstuk voor hoofdstuk
De hoofdstukken 4 tot en met 10 en de 93 maatregelen uit Annex A. Normy toetst je documentatie tegen elk ervan en geeft per eis een oordeel met onderbouwing en de bron uit je eigen document.
11 hoofdstukken · 118 eisen
- 4
Context van de organisatie 4 eisen
Inzicht in de organisatie en haar context, Behoeften en verwachtingen van belanghebbenden, Het toepassingsgebied van het ISMS bepalen, Informatiebeveiligingsmanagementsysteem.
- 5
Leiderschap 3 eisen
Leiderschap en betrokkenheid, Informatiebeveiligingsbeleid, Rollen, verantwoordelijkheden en bevoegdheden.
- 6
Planning 5 eisen
Acties om risico's en kansen te adresseren: algemeen, Informatiebeveiligingsrisicobeoordeling, Informatiebeveiligingsrisicobehandeling en Verklaring van Toepasselijkheid, Informatiebeveiligingsdoelstellingen en planning, Planning van wijzigingen.
- 7
Ondersteuning 5 eisen
Middelen, Competentie, Bewustzijn, Communicatie, Gedocumenteerde informatie.
- 8
Uitvoering 3 eisen
Operationele planning en beheersing, Informatiebeveiligingsrisicobeoordeling uitvoeren, Informatiebeveiligingsrisicobehandeling uitvoeren.
- 9
Evaluatie van de prestaties 3 eisen
Monitoring, meting, analyse en evaluatie, Interne audit, Directiebeoordeling.
- 10
Verbetering 2 eisen
Continue verbetering, Afwijkingen en corrigerende maatregelen.
- A.5
Annex A: Organisatorische beheersmaatregelen 37 eisen
Beleid voor informatiebeveiliging, Rollen en verantwoordelijkheden voor informatiebeveiliging, Functiescheiding, Directieverantwoordelijkheden, Contact met overheidsinstanties en 32 meer.
- A.6
Annex A: Beheersmaatregelen voor mensen 8 eisen
Screening, Arbeidsvoorwaarden, Bewustzijn, opleiding en training voor informatiebeveiliging, Disciplinaire procedure, Verantwoordelijkheden bij beëindiging of wijziging van dienstverband en 3 meer.
- A.7
Annex A: Fysieke beheersmaatregelen 14 eisen
Fysieke beveiligingszones, Fysieke toegang, Beveiligen van kantoren, ruimten en faciliteiten, Fysieke beveiligingsbewaking, Beschermen tegen fysieke en omgevingsdreigingen en 9 meer.
- A.8
Annex A: Technologische beheersmaatregelen 34 eisen
Eindpuntapparaten van gebruikers, Speciale toegangsrechten, Beperking van toegang tot informatie, Toegang tot broncode, Veilige authenticatie en 29 meer.
Wat Normy voor je ISO 27001 doet
Eerst de nulmeting op je eigen documenten, daarna het systeem dat je het hele jaar bijhoudt. Je hoeft zelf geen expert te zijn.
Per maatregel zien waar je staat
Normy toetst je beleid, procedures en registraties tegen de hoofdstukken en tegen elke maatregel uit Annex A. Per eis krijg je een oordeel met de onderbouwing en een citaat uit je eigen document. Waar bewijs ontbreekt, stelt Normy een vervolgvraag.
- Gereedheid voor de certificering in één cijfer
- De grootste hiaten bovenaan, op urgentie
- Vervolgvragen per eis, ook mondeling te beantwoorden
NormyAuditrapportCertificeringsgereedheid
78%Nog 3 eisen vragen aandacht vóór certificering.
Het gereedheidspaneel uit het auditrapport.
De Verklaring van Toepasselijkheid volgt uit je beoordeling
Per Annex A-maatregel leg je vast of hij van toepassing is, waarom, en hoe ver de invoering is. Normy stelt een invulling voor vanuit je risico's en je documentatie; jij bevestigt of past aan.
- Toepasselijkheid, reden en status per maatregel
- Voorstel vanuit je risico's en documentatie
- Gekoppeld aan je risicoregister en behandelplan
NormyVerklaring van ToepasselijkheidVerklaring van Toepasselijkheid
ISO 27001:2022 · Annex A
A.5.15
Toegangsbeheer
Risico R-03
GeïmplementeerdA.5.7
Dreigingsinformatie
Risico R-08
In uitvoeringA.8.12
Voorkomen datalekken
Wettelijke eis
GeïmplementeerdA.7.4
Fysieke bewaking
Niet van toepassing
UitgeslotenMaatregelen verschijnen als van toepassing zodra je ze aan een risico koppelt.
Zo ziet het eruit in Normy. Klik gerust.
Een incident loopt door tot de oorzaak weg is
Beveiligingsincidenten en auditbevindingen pak je aan bij de oorzaak. In Normy loopt elke afwijking van constatering naar oorzaak, maatregel en borging. Normy toetst of de maatregel het probleem echt wegneemt en vraagt bij de volgende audit om bewijs uit de praktijk.
- Incidenten en datalekken in dezelfde keten
- Oorzaakanalyse en maatregel getoetst door AI
- Pas gesloten als de werking is aangetoond
NormyAfwijkingen- Afwijking
- Back-ups niet getest
- Ernst
- Major
- Bron
- Interne audit
- Norm
- ISO 27001, A.8.13
Oorzaak
Er is nooit een hersteltest ingepland; niemand was expliciet verantwoordelijk gemaakt. De oorzaak is een ontbrekende afspraak, niet de techniek.
Zo ziet het eruit in Normy. Klik gerust.
En verder
- Risicoregister met AI-suggesties
- Bouw een org-breed risicoregister op. De AI stelt risico's, beheersmaatregelen en de koppeling naar de juiste Annex A-controls voor.
- Vragenronde en nulmeting uitsturen
- Waar bewijs ontbreekt stelt Normy gerichte vragen. Wijs onderdelen toe aan collega's die ze invullen via een veilige link, zonder account.
- Gereedheid en hiaten in beeld
- Zie hoeveel procent je gereed bent voor je ISO 27001-certificering, met de belangrijkste hiaten geprioriteerd op urgentie.
- Data in de EU, AI naar keuze
- Je data staat in de EU. Je kiest of de AI-verwerking wereldwijd (Claude en OpenAI) of volledig Europees (Mistral) loopt.
Doe de snelle ISO 27001-check
Vijf korte vragen, een indicatie van hoe ver je ISMS al is.
Is er een vastgesteld informatiebeveiligingsbeleid?
Een snelle indicatie, geen formele audit.
Onderdelen voor ISO 27001
Normy toetst niet alleen; deze onderdelen van het managementsysteem helpen je de eisen van ISO 27001 in de praktijk waar te maken.
De keten van continuïteitsmanagement
Van asset tot oefening in 5 stappen
Assets → Bedrijfsimpactanalyse → Scenario's en risico's → Crisisteam en continuïteitsplan → Oefenen en testen
Risico-brainstormsessie
Verzamel risico's met je team én AI via een deelbare link.
Bekijk Risico-brainstormsessie →Managementreviews
Directiebeoordeling met een AI-concept uit je systeemdata (9.3).
Bekijk Managementreviews →Borgingsmatrix
Koppel documenten, acties en risico's aan elke eis; zie de dekking.
Bekijk Borgingsmatrix →Informatiebeveiligingsbeleid
Informatiebeveiligingsbeleid opstellen, vaststellen en versioneren.
Bekijk Informatiebeveiligingsbeleid →Jaarplanning
Terugkerende verplichtingen inplannen met automatische herinneringen.
Bekijk Jaarplanning →Continuïteitsplan
Crisisteam, continuïteitsplan en noodkaart uit één bron, als PDF-versie en via QR.
Bekijk Continuïteitsplan →Autorisatiematrix
Breng in kaart wie welke toegang heeft tot je systemen en gegevens, waarom, en wanneer dat opnieuw beoordeeld wordt. Precies wat ISO 27001 vraagt.
Bekijk het register →Assetregister
Applicaties, servers, werkplekken, diensten, locaties en de informatie zelf, met eigenaar, classificatie en back-up. De basis voor je risico's, je Verklaring van Toepasselijkheid en je bedrijfsimpactanalyse.
Bekijk het register →Crisisteam: wie doet wat als het misgaat
Per rol de persoon, de vervanger, het telefoonnummer buiten kantooruren en de alarmeringsvolgorde. Een lid zonder vervanger of nummer krijgt een waarschuwing, en het team staat automatisch in het continuïteitsplan en op de noodkaart.
Bekijk het register →Wijzigingsbeheer
Impact, besluit en doorvoeren op één plek. Grip op verandering.
Bekijk Wijzigingsbeheer →Documentbeheer
Beleid en procedures met versie, status en review-datum.
Bekijk Documentbeheer →Stakeholderregister
Belanghebbenden en verwachtingen in kaart, met belang-invloed-grafiek (ISO 9001, 4.2).
Bekijk Stakeholderregister →Verklaring van Toepasselijkheid
Je SoA voortkomend uit je risicobehandeling, altijd consistent.
Bekijk Verklaring van Toepasselijkheid →Toolboxen
Toolboxen en awareness-sessies schrijven met AI, uitsturen per mail of QR en laten aftekenen.
Bekijk Toolboxen →Incidentenregister informatiebeveiliging
Leg beveiligingsincidenten vast, handel ze gestructureerd af en borg de geleerde lessen, zoals ISO 27001 vraagt.
Bekijk het register →Bewaartermijnenregister
Bepaal per record- en documentsoort hoe lang je die bewaart, op welke grondslag, en wat er daarna mee gebeurt: vernietigen, anonimiseren of archiveren.
Bekijk het register →Bedrijfsimpactanalyse (BIA)
Per proces wat de impact is als het stilvalt, hoe lang uitval maximaal mag duren en binnen welke tijd het weer moet draaien. Normy stelt de regels voor uit je processen en rekent de prioriteit uit.
Bekijk het register →Oefeningen en tests
Tabletop, simulatie, back-up restore-test, uitwijktest, ontruiming en communicatietest. Per oefening het resultaat, de gehaalde hersteltijd tegen het doel en de leerpunten als acties.
Bekijk het register →Klaar om met ISO 27001 te beginnen?
Maak een account aan en probeer 14 dagen alles van Business met je eigen documenten. Je ziet direct waar je ISMS staat.
14 dagen gratis, zonder kaart. Daarna blijft je data staan.
Zo werk je naar ISO 27001 toe
- 1
Documentatie toevoegen
Kies ISO 27001 en upload je beleid, procedures en bewijs.
- 2
AI beoordeelt en bevraagt
Normy toetst elke control en stelt vragen waar nog bewijs ontbreekt.
- 3
Risico's en VvT
Stel je risicoregister en Verklaring van Toepasselijkheid samen.
- 4
Managementsysteem vullen
Je nulmeting vult beleid, processen, risico's en registers alvast. De hiaten werk je in het systeem weg, met de AI als hulp.
- 5
Rapport en gereedheid
Krijg je gereedheidsscore met de belangrijkste hiaten en een deelbaar rapport.
Zie Normy in actie
Twee kanten van hetzelfde verhaal: eerst de nulmeting, dan het vullen van je managementsysteem.
Weet in anderhalve minuut wat een nulmeting je oplevert.
Zo ziet je ISO 27001-rapport eruit
Een helder rapport met je gereedheid en per eis een oordeel met onderbouwing. Hieronder een voorbeeld.
ISO 27001 · Auditrapport
Informatiebeveiligingssysteem (ISMS)
Voorbeeld B.V.
1
Voldoet
1
Observatie
1
Minor
1
Major
Certificeringsgereedheid
56%2 van de 4 eisen vragen nog aandacht.
Belangrijkste hiaten
- 9.2 · Interne auditmajor
- 7.3 · Bewustzijnminor
Verbeterkansen (observaties)
- 7.4 · Communicatieobservatie
Beoordeling per eis
6.1.2 · Informatiebeveiligingsrisicobeoordeling
VoldoetEr is een risicobeoordeling met een behandelplan en een Verklaring van Toepasselijkheid (VvT).
“Risicobeoordeling 2026 met behandelplan en VvT over de 93 Annex A-controls.”
7.4 · Communicatie
ObservatieEr wordt over informatiebeveiliging gecommuniceerd; een verbeterkans om dat in een communicatieplan vast te leggen.
“Beveiliging komt aan bod in overleg; een vast communicatieplan ontbreekt.”
7.3 · Bewustzijn
MinorMedewerkers krijgen bewustwording, maar die wordt nog niet structureel herhaald en geregistreerd.
“Eenmalige awareness-sessie gehouden; geen jaarlijks programma met deelnameregistratie.”
9.2 · Interne audit
MajorEr zijn geen interne audits van het ISMS uitgevoerd.
“Geen passage gevonden over uitgevoerde interne audits.”
ISO 27001 in jouw branche
ISO 27001 staat zelden alleen. Bekijk per branche welke normen ernaast horen, welke elkaar uitsluiten en wat een gecombineerde audit kost.
Verder lezen
NEN 7510-software
Informatiebeveiliging voor de zorg (NEN 7510).
Bekijk NEN 7510-software →ISO 27701-software
De privacy-uitbreiding (ISO 27701).
Bekijk ISO 27701-software →ISO 22301-software
Bedrijfscontinuïteit erbij (ISO 22301).
Bekijk ISO 22301-software →ISO 20000-1-software
IT-servicemanagement (ISO 20000-1).
Bekijk ISO 20000-1-software →Alle functies
Bekijk wat Normy allemaal doet, met voorbeelden.
Naar functies →Verder lezen
Praktische gidsen uit onze kennisbank.
Veelgestelde vragen over ISO 27001
Klik een vraag open voor het antwoord.
ISO 27001 is de internationale norm voor informatiebeveiliging. De norm beschrijft hoe je met een managementsysteem (ISMS) de vertrouwelijkheid, integriteit en beschikbaarheid van informatie beheerst, op basis van risico's en de 93 Annex A-controls uit de versie van 2022.
Voor elke organisatie die gevoelige of bedrijfskritische informatie verwerkt, van IT- en SaaS-bedrijven tot zorg, finance en de overheid. Klanten en opdrachtgevers stellen het certificaat steeds vaker als voorwaarde.
Een eerste certificering duurt afhankelijk van je startpunt vaak 4 tot 12 maanden. Met een nulmeting op de eisen en de Annex A-controls zie je meteen waar de grootste hiaten zitten, zodat je gericht toewerkt naar de audit.
Ja. Normy werkt met ISO 27001:2022, inclusief alle 93 Annex A-controls die in die versie zijn herzien en gebundeld.
Ja. De AI stelt risico's, beheersmaatregelen en de koppeling naar Annex A-controls voor, en helpt je Verklaring van Toepasselijkheid (VvT/SoA) in te vullen. De VvT is naar Excel te exporteren.
Nee. Je kunt beginnen met de documenten die je hebt. Normy laat zien waar je al voldoet en waar nog beleid, bewijs of maatregelen ontbreken.
Je data staat in de EU. Je kiest of de AI-verwerking wereldwijd (Claude en OpenAI) of volledig Europees (Mistral) loopt.
Ja. Je stuurt onderdelen van de nulmeting uit via een veilige link. Zij vullen hun deel in zonder in te loggen, getypt of via een gesproken interview.
Nee. Normy maakt je intern audit-klaar en levert een helder rapport. De officiële certificering blijft bij je certificerende instelling.
Plan een kennismaking
Liever even samen kijken?
Laat je gegevens achter, dan hoor je dezelfde werkdag van ons. In twintig minuten laten we zien wat Normy doet voor ISO 27001, en bespreken we waar je nu staat. Geen verkooppraatje, en je hoeft niets voor te bereiden.
Reactie
Dezelfde werkdag, met een paar tijdstippen
Liever zelf kijken? Maak alvast een gratis account en probeer 14 dagen alles van Business, zonder kaart.