Audit ISO 27001 en ISO 22301: zo bereid je je organisatie goed voor

Een audit iso 27001 of een audit tegen iso 22301 kan spannend voelen, en dat is begrijpelijk. Er komt iemand van buiten die kritisch gaat kijken naar hoe je organisatie werkelijk functioneert, die doorvraagt tot achter de mooie formuleringen in je beleidsstukken, en die bevindingen opschrijft die vervolgens op tafel komen bij je directie of je klanten. Wie het zo bekijkt, richt zich in de weken voorafgaand aan de audit vooral op het vermijden van rode vlaggen, en dat is precies de aanpak die het minste oplevert. Want de vragen die een auditor stelt, zijn dezelfde vragen die je jezelf zou moeten stellen: kloppen onze aannames nog, werken onze maatregelen ook echt, en zouden we het merken als dat niet zo was?

Met de juiste voorbereiding verschuift het karakter van zo’n audit dan ook. In plaats van een examen dat je doorstaat, wordt het een moment waarop je vaststelt waar je organisatie sterk staat en waar de aannames zijn gaan schuiven. Die verschuiving gebeurt vrijwel altijd geleidelijk en zonder kwade wil: mensen wisselen van rol, systemen worden vervangen, processen worden onder tijdsdruk versoepeld, en niemand loopt daarna alles opnieuw na. Precies daarom heeft een periodieke, onafhankelijke blik waarde. Niet omdat de organisatie niet deugt, maar omdat aannames verouderen zonder dat iemand het merkt.

In dit artikel lees je wat beide normen van je vragen, waarom een audit meer is dan een controlemoment, hoe zo’n traject in fasen verloopt, welke bewijsstukken er onvermijdelijk op tafel komen en hoe je je stap voor stap voorbereidt. Daarnaast komen de fouten aan bod die met enige regelmaat terugkeren, zodat je die kunt overslaan in plaats van ze zelf te ontdekken.

Wat zijn ISO 27001 en ISO 22301?

ISO 27001 in het kort

ISO 27001 is de internationale norm voor informatiebeveiliging en richt zich op de vraag of je organisatie haar informatie gestructureerd beschermt. Het woord gestructureerd doet daarbij het meeste werk. De norm schrijft namelijk nergens voor welke firewall je moet aanschaffen of hoe lang een wachtwoord moet zijn; wat ze vraagt is een aantoonbaar proces waarin je bepaalt welke informatie waardevol is, analyseert welke risico’s die bedreigen, onderbouwd kiest welke maatregelen daarbij passen, die uitvoert, meet of ze werken en bijstuurt waar dat nodig blijkt. Die cyclus van plannen, uitvoeren, controleren en verbeteren is het hart van de norm en tegelijk het onderdeel waar auditors het scherpst naar kijken.

De beheersmaatregelen uit Annex A, sinds de herziening van 2022 teruggebracht tot drieënnegentig maatregelen verdeeld over vier thema’s, vormen daarbij een referentielijst en geen verplichte checklist. Je bepaalt zelf welke van toepassing zijn en legt in de Verklaring van Toepasselijkheid vast waarom je bepaalde maatregelen wel of juist niet implementeert. Precies die onderbouwing maakt het verschil: een organisatie die alle drieënnegentig maatregelen zonder motivering overneemt, laat daarmee vooral zien dat er geen serieuze risicoanalyse aan ten grondslag ligt. Een certificaat bewijst uiteindelijk niet dat je nooit een incident zult hebben, maar wel dat je informatiebeveiliging structureel is ingericht en wordt onderhouden.

ISO 22301 in het kort

ISO 22301 is de internationale norm voor business continuity management en vertrekt vanuit een nuchtere aanname: er gaat een keer iets mis. Niet omdat je maatregelen tekortschieten, maar omdat geen enkele set maatregelen alle scenario’s afdekt. De norm richt zich daarom niet op preventie maar op de vraag hoe je organisatie blijft functioneren wanneer een kritiek proces of middel wegvalt, en hoe je zo gecontroleerd mogelijk terugkeert naar normaal. Dat kan gaan over een cyberaanval, maar net zo goed over de uitval van een leverancier, brand in een pand, langdurige stroom- of netwerkuitval of het wegvallen van sleutelpersoneel.

Die insteek is bewust dreigingsonafhankelijk, wat de norm werkbaarder maakt dan mensen verwachten. Je schrijft geen plan per denkbaar rampscenario, want dat is een oneindige exercitie. Je kijkt naar gevolgen: welk proces valt uit, welke middelen mist het, en welke alternatieven zijn er? De kern bestaat uit de business impact analyse, die per proces bepaalt wat uitval kost en hoe die kosten oplopen in de tijd, en die daarmee de twee getallen oplevert waarop alles rust: de hersteltijd die je maximaal kunt accepteren en de hoeveelheid gegevensverlies die nog te dragen is. Die getallen zijn nadrukkelijk businessbeslissingen en geen technische keuzes, want ze bepalen direct wat je infrastructuur moet kunnen en dus wat die mag kosten.

Waarom een audit voor deze normen belangrijk is

Aantoonbare compliance

Het verschil tussen beleid hebben en beleid kunnen aantonen is groter dan organisaties doorgaans inschatten, en het is precies dat verschil waar een audit op scherpstelt. Er zijn genoeg organisaties waar de beveiliging feitelijk prima geregeld is: er wordt zorgvuldig gepatcht, toegangsrechten worden gecontroleerd, incidenten worden serieus opgepakt. Maar zodra iemand om bewijs vraagt, blijkt er niets van over te zijn. Geen registratie van de reviews, geen tickets van de incidenten, geen verslag van de leveranciersbeoordeling. Voor een auditor die van buitenaf moet vaststellen of iets structureel gebeurt of toevallig één keer, is dat in de kern hetzelfde als niets doen.

Een audit maakt dus zichtbaar of je beleid daadwerkelijk doorwerkt in de praktijk, en dat is bruikbaar ver buiten de compliancecontext. Een organisatie die haar naleving kan onderbouwen, hoeft bij elke klantvraag of ieder toezichthoudersverzoek geen intern zoekproces te starten, maar verwijst naar materiaal dat al is verzameld en getoetst. Dat scheelt niet alleen tijd, het voorkomt ook dat er onder tijdsdruk toezeggingen worden gedaan die operationeel niet waargemaakt kunnen worden.

Vertrouwen van klanten en partners

In steeds meer aanbestedingen en inkooptrajecten is een geldig certificaat een harde voorwaarde geworden. Zonder certificaat kom je simpelweg niet door de eerste selectie, hoe sterk je aanbod verder ook is. Maar de waarde reikt verder dan een vinkje in een formulier. Wie regelmatig door een leveranciersbeoordeling heen moet, weet hoeveel tijd dat kost: uitgebreide vragenlijsten, aanvullende toelichtingen, soms een auditbezoek van de klant zelf. Met een certificaat en een goed gedocumenteerd systeem verkort je die trajecten aanzienlijk, omdat je in één keer kunt laten zien dat een onafhankelijke partij je inrichting al heeft getoetst.

Voor ISO 22301 komt daar een vraag bij die in ketens steeds vaker doorslaggevend wordt: wat betekent een verstoring bij jullie voor ons? Toezichthouders kijken expliciet naar concentratierisico’s en naar de weerbaarheid van uitbestede processen, en die aandacht wordt via contracten onverkort doorgegeven aan leveranciers. Wie beide certificaten heeft, bedient daarmee twee verschillende gesprekken die allebei worden gevoerd.

Minder risico’s en meer grip

Het minst zichtbare maar misschien wel belangrijkste effect is intern. Beide trajecten dwingen een organisatie om te expliciteren wat er feitelijk gebeurt, en dat legt onvermijdelijk zaken bloot die anders onopgemerkt blijven. Het serviceaccount met beheerdersrechten dat vier jaar geleden werd aangemaakt voor een migratie die allang is afgerond. De testomgeving met een volledige kopie van de productiedatabase. De back-up die keurig draait maar nog nooit is teruggezet. Het proces dat volledig afhangt van één collega die toevallig alles weet.

Zulke bevindingen zijn zelden spectaculair, maar het zijn wel de zwakke plekken waar incidenten uit voortkomen. Ze komen aan het licht omdat een auditor geen aannames doet die binnen jouw organisatie vanzelfsprekend zijn geworden, en omdat hij consequent doorvraagt met de enige vraag die er echt toe doet: hoe weet je dat? Het verschil tussen wat je aanneemt en wat je hebt vastgesteld, is precies de ruimte waarin problemen ontstaan.

Hoe verloopt een audit ISO 27001 en ISO 22301?

Fase 1: documentatiebeoordeling

De eerste fase richt zich op de opzet van je managementsysteem. De auditor beoordeelt of de vereiste onderdelen aanwezig zijn en of ze inhoudelijk kloppen: het beleid, de scopebeschrijving met de context en belanghebbenden, de risicoanalyse en het risicobehandelplan, de Verklaring van Toepasselijkheid, de business impact analyse en de continuïteitsplannen, de procedures voor de onderwerpen die er in de praktijk toe doen, en de bewijsstukken van interne audits en directiebeoordelingen. Deze fase gaat nadrukkelijk over de vraag of het systeem op papier klopt, en het is het moment waarop je nog kunt bijsturen voordat de praktijktoetsing begint.

Wat een auditor in deze fase vooral beoordeelt, is samenhang. Sluiten je maatregelen aan op de risico’s die je zelf hebt geïdentificeerd? Komen de hersteltijden uit je business impact analyse terug in je continuïteitsplannen en in je technische inrichting? Verwijst je Verklaring van Toepasselijkheid naar risico’s die ook echt in je register staan? Losse documenten die elk op zichzelf goed zijn geschreven maar niet naar elkaar verwijzen, verraden dat het systeem is samengesteld in plaats van gegroeid, en dat leidt onvermijdelijk tot vragen.

Fase 2: toetsing in de praktijk

In de tweede fase verschuift de aandacht van papier naar praktijk, en dat is waar de meeste bevindingen ontstaan. De auditor spreekt mensen op verschillende niveaus, van directie tot uitvoerend, en vergelijkt wat zij vertellen met wat de documentatie belooft. Die gesprekken zijn zelden bedreigend van toon maar wel gericht: er wordt doorgevraagd tot duidelijk is of iemand het proces echt kent of alleen de theorie kan reproduceren. Als je beleid stelt dat wijzigingen altijd worden getest en goedgekeurd, en een beheerder legt vervolgens ontspannen uit dat spoedwijzigingen daar meestal buiten vallen, dan is die discrepantie de bevinding.

Daarnaast worden steekproeven genomen, en die gaan verder dan veel organisaties verwachten. Een auditor vraagt om het complete dossier van vijf willekeurige wijzigingen uit een specifieke maand, om de accounts van drie medewerkers die in het najaar uit dienst gingen, of om het verslag van de laatste hersteltest inclusief de gemeten hersteltijd. Ook technische controles horen erbij: configuraties, instellingen voor logging en monitoring, de opzet van segmentatie en back-up. Het beste advies voor deze fase is eenvoudig maar wordt vaak genegeerd: wees eerlijk. Een auditor die merkt dat er omheen wordt gepraat, gaat dieper graven en vindt dan meestal precies wat je liever verborgen had gehouden.

Belangrijke auditbewijzen

Er is een vaste kern aan stukken die in elke audit op tafel komt, en die kun je maar beter vooraf op orde en vindbaar hebben. De risicoanalyse staat bovenaan, en dan bij voorkeur een die aantoonbaar leeft: bijgewerkt na relevante wijzigingen in plaats van jaarlijks in één ruk. De Verklaring van Toepasselijkheid volgt direct daarna en fungeert voor de auditor vaak als navigatiemiddel door de rest van de audit. Voor ISO 22301 komen daar de business impact analyse en de continuïteitsplannen bij, inclusief de onderbouwing van de vastgestelde hersteltijden.

Verder wil een auditor incidentregistraties zien met beoordeling en evaluatie, niet alleen met de oplossing. Interne auditrapporten met de bijbehorende bevindingen en de opvolging daarvan. Notulen van directiebeoordelingen waaruit blijkt dat het management daadwerkelijk stuurt op basis van informatie die het krijgt, met vastgelegde besluiten in plaats van een agendapunt van tien minuten. En daarnaast de registraties die laten zien dat je processen ook echt worden uitgevoerd: afgetekende toegangsreviews met de opvolging van de gemelde correcties, wijzigingsdossiers met goedkeuringen, testverslagen van herstelprocedures en deelnamecijfers van trainingen.

Hoe bereid je je organisatie voor op de audit?

Stap 1: voer een gap-analyse uit

Begin met vaststellen waar je staat, en dan per eis in plaats van op gevoel. Loop de normeisen langs en bepaal voor elk onderdeel of het geregeld is, gedeeltelijk geregeld of afwezig, én of het aantoonbaar is. Dat laatste onderscheid is het waardevolste onderdeel van zo’n analyse en wordt bijna altijd overgeslagen. Er is namelijk een groot verschil tussen “we doen dit niet” en “we doen dit wel maar kunnen het niet laten zien”. Het eerste vraagt om implementatie en kost vaak maanden. Het tweede vraagt om registratie organiseren en is regelmatig binnen weken op te lossen, wat het tot de logische eerste prioriteit maakt.

Doe die analyse voor beide normen tegelijk als je beide nastreeft, in één overzicht, met per maatregel de eisen die eronder vallen en de eigenaar erbij. Omdat beide normen dezelfde managementsysteemstructuur volgen, valt een aanzienlijk deel samen: context, leiderschap, risicobeoordeling, competenties, documentbeheer, interne audit, directiebeoordeling en afwijkingenbeheer. Dat overzicht wordt vervolgens je belangrijkste stuurdocument, omdat het onmiddellijk zichtbaar maakt welke inspanning dubbel rendeert.

Stap 2: werk documentatie bij

Loop je documentatie door op de wijzigingen in organisatie, systemen en leveranciers van het afgelopen jaar, en verwijder wat niet meer klopt. Documentatie die iets beschrijft wat de organisatie inmiddels anders doet, is schadelijker dan ontbrekende documentatie, omdat een auditor die discrepantie zwaar laat wegen: het roept de vraag op waar het beleid dan wél voor dient. De oplossing is niet om het beleid ambitieuzer te maken maar juist realistischer. Beschrijf wat je doet en kunt aantonen, en wees expliciet over wat je bewust anders invult en waarom.

Houd de documenten daarbij zo kort en concreet als de eisen toelaten, en geef elk document een eigenaar, een versienummer en een herzieningsdatum. Dat laatste voorkomt dat veroudering pas tijdens de audit wordt opgemerkt. Werk bovendien vanuit één samenhangende set die beide normen bedient in plaats van twee parallelle stromen: één informatiebeveiligingsbeleid dat ook de continuïteitsuitgangspunten benoemt, één risicomanagementproces en één incidentprocedure die doorloopt in crisismanagement.

Stap 3: test je maatregelen

Toetsen betekent hier daadwerkelijk uitproberen en niet alleen navragen. Voer een echte restoretest uit en leg vast hoe lang die duurde, wat er is hersteld en welke knelpunten optraden. Oefen een scenario waarin een verstoring escaleert van incident naar crisis, en meet of je escalatie werkt en of de mensen die moeten beslissen ook daadwerkelijk bereikbaar zijn. Ontwerp die oefening bij voorkeur zo dat hij bewijs oplevert voor beide normen tegelijk: een aanval die leidt tot uitval van een kernsysteem raakt in één keer je detectie, je incidentproces, je escalatie, je herstelprocedures en je klantcommunicatie.

Waar het in de praktijk het vaakst spaak loopt, is de opvolging. Er wordt geoefend, er wordt netjes geëvalueerd, en die evaluatie verdwijnt in een map zonder dat er iets verandert. De vraag van een auditor wat er met de bevindingen van de vorige oefening is gebeurd, legt dat binnen enkele minuten bloot. Behandel verbeterpunten uit tests daarom net zo serieus als auditbevindingen, met een eigenaar en een termijn.

Stap 4: betrek medewerkers

Leg vooraf uit wat er gaat gebeuren, wie er gesproken wordt en waarom. Auditgesprekken verlopen aanzienlijk beter wanneer mensen weten dat het over het proces gaat en niet over hun persoonlijke functioneren; wie dat niet uitlegt, krijgt defensieve of ontwijkende antwoorden en dat is precies het signaal waarop een auditor dieper gaat graven. Instrueer collega’s bovendien om eerlijk te antwoorden en niet te riskeren. “Dat weet ik niet, dat ligt bij collega X” is een prima antwoord; een verzonnen antwoord dat later niet blijkt te kloppen, is dat niet.

Zorg daarnaast dat awareness meer is dan een jaarlijkse e-learning die iedereen binnen tien minuten wegklikt. Effectieve programma’s zijn doorlopend, rolspecifiek en meetbaar: ontwikkelaars krijgen andere training dan de administratie, en het crisisteam oefent iets heel anders dan de rest van de organisatie. Phishingsimulaties, meldingsaantallen en de tijd tussen ontvangst en melding zeggen over meerdere jaren aanzienlijk meer dan een presentielijst.

Stap 5: voer een interne audit uit

De interne audit is verplicht volgens beide normen, maar hij is vooral je eigen belangrijkste instrument. Plan hem ruim voor de externe audit, zodat er tijd is om bevindingen daadwerkelijk op te lossen in plaats van te verklaren. Laat hem bij voorkeur uitvoeren door iemand die niet zelf betrokken was bij de inrichting, want objectiviteit is hier het hele punt: iemand die zelf het patchproces heeft opgezet, kan datzelfde proces niet onbevooroordeeld beoordelen, hoe integer hij ook is. Dat is precies de reden dat veel organisaties hun interne audit door een externe partij laten uitvoeren, wat tegenstrijdig klinkt maar volkomen logisch is.

Benader die interne ronde bovendien zoals de externe auditor dat zou doen: vraag om bewijs in plaats van om bevestiging, neem eigen steekproeven en check of de bevindingen van vorig jaar echt zijn afgerond. Wat je daar tegenkomt, komt de externe auditor ook tegen, met als enige verschil dat jij het nu nog kunt oplossen.

Op één rij: waar je op moet letten

• Risicoanalyse actueel en levend. Bijgewerkt na migraties, nieuwe leveranciers en incidenten, met per risico een eigenaar en een expliciet besluit over het restrisico.

• Bewijs dat ontstaat tijdens het werk. Eén centrale, logisch ingedeelde locatie; duurt het meer dan een paar minuten om iets te vinden, dan deugt de structuur niet.

• Toegangsbeheer met opvolging. Niet alleen de review uitvoeren, maar ook controleren of de gemelde correcties daadwerkelijk zijn doorgevoerd.

• Geteste plannen in plaats van geschreven plannen. Met gemeten hersteltijden, vastgelegde knelpunten en aantoonbare opvolging van de verbeterpunten.

• Eigenaarschap buiten IT. Leveranciersbeheer, personeelsbeveiliging, awareness en crisiscommunicatie liggen bij inkoop, HR en communicatie, niet bij de securityfunctie.

• Afgeronde bevindingen uit de vorige ronde. Met een oorzaakanalyse in plaats van een symptoomoplossing, want een herhaalde bevinding weegt zwaarder dan een nieuwe.

Veelgemaakte fouten bij audits

Onvolledige documentatie

De klassieker die onverminderd terugkeert: procedures zijn verouderd, verwijzen naar systemen die niet meer bestaan of naar collega’s die allang vertrokken zijn, en er is geen enkel spoor dat ze ooit zijn gebruikt. Dat ontstaat zelden met opzet. Het document werd ooit geschreven met de beste bedoelingen, de praktijk is daarna geëvolueerd en niemand heeft het meegenomen. Voor een auditor is die discrepantie zwaarwegend, en terecht: een procedure die niemand volgt, beschermt niemand.

Te weinig bewijs van uitvoering

Een variant die net iets pijnlijker is: het beleid klopt, de maatregel bestaat, maar er is geen onderbouwing dat hij is uitgevoerd. Er wordt gepatcht zonder registratie, incidenten worden opgelost via een chatbericht, autorisaties worden gecontroleerd zonder afgetekend overzicht. Bij een audit valt dat in dezelfde categorie als niets doen, hoe wrang dat ook voelt voor de mensen die het werk wel degelijk hebben gedaan. De maatregelen die het vaakst falen bij een steekproef, zijn bovendien precies die maatregelen die afhangen van één persoon die er handmatig aan moet denken, zonder herinnering, zonder vervanging en zonder controle achteraf.

Onvoldoende awareness

Als medewerkers de regels en processen niet kennen, valt dat tijdens de interviewfase onmiddellijk op. Een auditor hoeft daar niet naar te zoeken; hij vraagt gewoon aan een willekeurige collega hoe die een verdacht bericht zou melden en waar hij dat zou doen. Een aarzelend of onjuist antwoord zegt op dat moment meer over de werking van je systeem dan een compleet ingevuld trainingsregister. Bewaak daarbij ook de meldcultuur: een organisatie waar het melden van een eigen fout tot verwijten leidt, krijgt geen meldingen en dus geen zicht op de werkelijkheid.

Geen opvolging van verbeterpunten

De laatste fout maakt alle voorgaande inspanning waardeloos: er wordt geauditeerd, er komt een rapport, er wordt kort over gesproken, en daarna gebeurt er niets. Een jaar later staan dezelfde punten er weer, nu met de aantekening dat het om een herhaling gaat, en dat weegt aanzienlijk zwaarder. Even schadelijk is het oplossen van het symptoom in plaats van de oorzaak. Als een account niet werd ingetrokken omdat HR de uitdiensttreding niet doorgaf aan IT, is het probleem niet dat ene account maar de ontbrekende koppeling tussen twee processen, en dat probleem geldt vrijwel zeker breder.

Veelgestelde vragen

Is een audit voor ISO 27001 en ISO 22301 hetzelfde?

Nee, ze hebben een andere focus. ISO 27001 gaat over informatiebeveiliging en over het voorkomen en beheerst afhandelen van incidenten; ISO 22301 gaat over continuïteit en over het blijven functioneren wanneer er ondanks alles iets doorbreekt. Wel volgen beide normen dezelfde managementsysteemstructuur, waardoor de audits goed te integreren zijn in één aanpak. Onderwerpen als context, leiderschap, risicobeoordeling, documentbeheer, interne audit en directiebeoordeling komen in beide identiek terug, en ook op maatregelniveau raken ze elkaar bij incidentafhandeling, herstel, leveranciersbeheer en awareness.

Hoe lang duurt een audit?

Dat hangt af van de omvang van je organisatie, de gekozen scope en de volwassenheid van je managementsysteem. Voor een kleinere organisatie met een afgebakende scope kan een certificeringsaudit in enkele dagen worden uitgevoerd, verdeeld over de documentatiebeoordeling en de praktijktoetsing; bij grote organisaties met meerdere locaties loopt dat op tot enkele weken. Belangrijker dan de duur van het bezoek zelf is de voorbereidingstijd: een organisatie die vanaf de basis begint, is doorgaans zes tot twaalf maanden bezig voordat een certificeringsaudit zinvol is, vooral omdat het opbouwen van bewijs over een periode nu eenmaal tijd kost.

Moet je beide normen samen auditen?

Dat is niet verplicht, maar het is vaak wel efficiënt wanneer de processen overlappen. Omdat beide normen dezelfde structuur volgen, kun je één managementsysteem inrichten dat beide bedient, met één beleidsstructuur, één set eigenaren, één documentbeheer en één directiebeoordeling. Dat scheelt in voorbereidingstijd, in belasting van je medewerkers en in kosten, en het voorkomt dat je twee sets documentatie in stand houdt die na verloop van tijd uiteen gaan lopen. Veel organisaties beginnen met ISO 27001 omdat de marktvraag daar het grootst is, en bouwen ISO 22301 er later op voort.

Wat als de auditor afwijkingen vindt?

Dat is normaal en geen reden voor paniek; bevindingen zijn informatie en geen straf. Bij lichtere afwijkingen stel je een plan van aanpak op met een oorzaakanalyse, een corrigerende maatregel, een verantwoordelijke en een termijn, waarna de opvolging bij de volgende audit wordt beoordeeld. Bij zwaardere afwijkingen moet je binnen een afgesproken periode aantonen dat het probleem structureel is opgelost, meestal met aanvullend bewijs of een verificatiebezoek, voordat het certificaat wordt verstrekt of behouden. Certificaten worden niet zomaar ingetrokken; dat gebeurt pas als afwijkingen structureel niet worden opgelost.

Hoe vaak vindt een audit plaats?

Na de initiële certificering volgt jaarlijks een controle-audit waarin een deel van het systeem wordt beoordeeld, en in het derde jaar een volledige hercertificering. Daarnaast verplichten beide normen tot interne audits met geplande tussenpozen, waarbij de meeste organisaties werken met een meerjarenplanning: onderdelen met een hoog risico jaarlijks, de rest verspreid over de driejarige cyclus. Los daarvan kan een ingrijpende wijziging, zoals een fusie, een grote migratie of een significant incident, aanleiding zijn om tussentijds te auditen.

Conclusie

Een audit voor ISO 27001 en ISO 22301 draait niet alleen om voldoen aan eisen, maar vooral om aantonen dat je organisatie haar risico’s beheerst en haar continuïteit serieus neemt. Dat onderscheid is belangrijk, want organisaties die zich richten op het bevredigen van de auditor komen uit bij documentatie die is geschreven om te slagen en die daarna verstoft. Organisaties die de audit gebruiken om hun eigen aannames te toetsen, komen uit bij bevindingen waar ze echt iets aan hebben: de rechten die niemand heeft ingetrokken, de back-up die nooit is getest, het proces dat op één persoon steunt.

Beide normen versterken elkaar daarbij aanzienlijk, en dat maakt een gecombineerde aanpak zoveel aantrekkelijker dan twee losse trajecten. ISO 27001 gaat over alles wat je doet om te voorkomen dat het misgaat; ISO 22301 over alles wat je doet zodat je doorgaat wanneer het toch gebeurt. Wie ze vanuit één samenhangend systeem inricht, betaalt niet twee keer voor grotendeels hetzelfde werk en houdt bovendien één versie van de waarheid over, in plaats van twee documentatiestromen die elkaar op een ongelukkig moment gaan tegenspreken.

Wie de documentatie op orde heeft, zijn processen daadwerkelijk test en zijn medewerkers vroeg betrekt, vergroot de kans op een soepele audit aanzienlijk. Begin daarom niet met schrijven maar met inventariseren: breng in kaart wat er al werkt, waar het bewijs ontbreekt en welke bevindingen uit de vorige ronde nog openstaan. Vanuit dat overzicht volgt de juiste volgorde vanzelf, en verandert de audit van een jaarlijkse piek in een bevestiging van wat je het hele jaar al wist.