ISMS-software
voor ISO 27001

ISO/IEC 27001 is de internationaal erkende norm voor managementsystemen voor informatiebeveiliging (ISMS). Ze legt vast hoe een organisatie informatiebeveiliging systematisch plant, implementeert, bewaakt en verbetert — met de risicobeoordeling als kern en de 93 controls van Annex A als maatregelencatalogus; ISO/IEC 27002:2022 geeft daarvoor implementatierichtlijnen. De actuele versie is ISO/IEC 27001:2022.

ISMS-software brengt de onderdelen van een managementsysteem voor informatiebeveiliging in één datamodel onder — scope, assets, eisen, risico’s, controls en bewijzen — en verbindt ze met elkaar. In plaats van spreadsheets en documenten met de hand consistent te houden, onderhoudt u elk object één keer, en rapporten zoals de verklaring van toepasselijkheid ontstaan uit de gegevens.

Minstens: de eisen van ISO/IEC 27001:2022 en de Annex A-controls met implementatiestatus, een assetstructuur met afhankelijkheden, risicoanalyse en risicobehandeling met configureerbare risicomatrix, maatregelen met verantwoordelijken en deadlines, bewijzen bij het object, de verklaring van toepasselijkheid, rapporten voor directiebeoordeling en audit — en koppelingen met de systemen waarin uw assets en taken al staan.

Ja. De eisen van ISO/IEC 27001:2022 en de 93 Annex A-controls van de norm zijn als catalogus opgenomen — met implementatierichtlijnen uit ISO/IEC 27002:2022 — en worden op uw assetboom beoordeeld. Verschijnt een nieuwe normversie, dan wordt de catalogus bijgewerkt; bestaande beoordelingen en bewijzen verhuizen mee.

Ja. De SoA ontstaat op basis van de eisen en controls: voor elke control worden toepasselijkheid, onderbouwing en implementatiestatus gedocumenteerd, en het rapport wordt daaruit gegenereerd — bij de eerste audit en vóór elke controle-audit, zonder de verklaring opnieuw te schrijven.

Bedreigingen worden per asset geïdentificeerd — uit standaard- of eigen dreigingscatalogi — en in een configureerbare risicomatrix beoordeeld. Voor elk risico worden behandeloptie en maatregelen vastgelegd; bruto- en restrisico zijn in de tijd te volgen, en het risicobehandelplan wordt als rapport gegenereerd.

Ja — als leidraad, niet als certificeringsnorm: ISO/IEC 27005 beschrijft het proces van informatiebeveiligingsrisicomanagement dat ISO/IEC 27001 vereist. Complaica beeldt dat proces af: risico’s worden per asset geïdentificeerd, geanalyseerd en beoordeeld, voor elk risico worden behandeloptie, controls en maatregelen vastgelegd, en het restrisico blijft verbonden met asset, risico en bewijzen. Een certificering volgens ISO/IEC 27005 bestaat niet; de resultaten vloeien in het risicobehandelplan en de SoA voor de ISO 27001-audit.

Ja. Complaica importeert en exporteert gegevens van en naar Excel, via de REST API en uit andere ISMS-tools; de migratie van uw gegevens is gratis en wordt door onze specialisten begeleid. Zo beoordeelt u de tool op uw eigen dataset in plaats van op demogegevens.

Ja. TISAX, BSI IT-Grundschutz, NIS2, AVG, ISO 22301 en andere normen worden op hetzelfde scopemodel beoordeeld en gebruiken dezelfde assets, risico’s, maatregelen en bewijzen. Wat voor ISO 27001 is gedocumenteerd, telt ook voor de andere normen.

Ja, allebei. De SaaS-variant wordt in Duitsland gehost; on-premises draait u Complaica in uw eigen infrastructuur. De licentie kost in beide gevallen hetzelfde.

Via de REST API assetmanagement- en CMDB-systemen zoals i-doit, GLPI, FNT Command en andere, evenals Jira, SAP en Microsoft Azure. Applicatiegegevens zijn via data marts beschikbaar voor externe analyse- en rapportagesystemen, en via MCP kan een AI-assistent worden gekoppeld.

De bewijzen staan bij het object dat ze staven, en de rapporten — SoA, risicobehandelplan, implementatiestatus — worden uit de actuele dataset gegenereerd. Dashboards tonen de stand vóór de audit, en externe auditors kunnen gerichte toegang krijgen. Omdat dezelfde dataset doorloopt, worden controle-audits en de hercertificering na drie jaar vanuit de lopende werking voorbereid. De certificering zelf wordt door een onafhankelijke certificerende instelling uitgevoerd.

Voor elke organisatie die vertrouwelijke informatie verwerkt en dat tegenover klanten, partners of toezichthouders wil aantonen — ongeacht omvang en sector. Ze komt vooral voor bij IT- en clouddienstverleners, toeleveranciers van gereguleerde sectoren, exploitanten van kritieke infrastructuur en bedrijven die met NIS2 of TISAX te maken hebben: een ISMS volgens ISO 27001 dekt een groot deel van die eisen mee af.

Wettelijk voorgeschreven is ze niet. In de praktijk wordt ze verplicht via contracten en aanbestedingen — veel klanten eisen het certificaat als bewijs — en indirect via regelgeving zoals NIS2, KRITIS of DORA, die een ISMS vereist; ISO 27001 is de gebruikelijke weg om dat ISMS aantoonbaar te beheren.

De kosten bestaan uit drie delen: de inspanning voor opbouw en beheer van het ISMS (interne tijd, advies, software), de certificeringsaudit door een geaccrediteerde instelling en de jaarlijkse controle-audits. Ze hangen vooral af van de omvang van de scope, het aantal locaties en de volwassenheid van uw bestaande processen. Complaica verlaagt het eerste deel: de voorbereide inhoud, de uit de gegevens gegenereerde bewijzen en de AI-integratie besparen het grootste deel van het documentatiewerk. Een prijslijst sturen we u op aanvraag.

Gebruikelijk is drie tot twaalf maanden van start tot certificaat — afhankelijk van scope, bestaande documentatie en beschikbare capaciteit. Met voorbereide inhoud en advies zitten kleinere organisaties aan de onderkant. Het certificaat is drie jaar geldig, met jaarlijkse controle-audits en aansluitend hercertificering — Complaica houdt de dataset daarvoor doorlopend actueel.