ISO 27001 voor het MKB zonder €50k aan consultants
ISO 27001 is behapbaar als je de structuur snapt. Hier het minimale werk dat een 30-man MKB nodig heeft om door een Stage 2-audit te komen, wat het kost, en waar consultants wél waarde toevoegen.
ISO 27001 heeft een prijslijst-reputatie van €30–80k aan consultancy. Voor een MKB van 15–60 medewerkers is dat overkill. De echte noodzaak is: een Information Security Management System (ISMS) dat past bij je grootte, bewijsbaar werkt, en je door de audit krijgt.
Wat heb je écht nodig?
- Een security policy (±10 pagina's). Niet 80.
- Een risk register dat realistisch is voor jouw bedrijf.
- Een set geïmplementeerde controls uit Annex A — niet allemaal, wel de relevante.
- Bewijs dat je de controls uitvoert: logs, reviews, incident-registraties.
- Een jaarlijkse management review.
- Interne audits (1× per jaar, zelf of extern).
De Annex A-subset die voor MKB matter
Annex A heeft 93 controls. Voor een typisch MKB zijn er 30-40 relevant. De anderen beargumenteer je als "Not Applicable" in je Statement of Applicability. De kerngebieden:
- A.9 Access Control — grootste categorie, grootste risico.
- A.6 Organisation of Information Security — rol- en verantwoordelijkheidsmatrix.
- A.16 Incident Management — logboek + procedure.
- A.12 Operations Security — backups, malware, monitoring.
- A.13 Communications Security — netwerk-segmentatie, encryptie-in-transit.
- A.18 Compliance — AVG, DPIA, contractuele vereisten.
Certificeringskosten — realistisch
Voor 30-mans MKB bij een Nederlandse certificerende instelling (Kiwa, DEKRA, LRQA):
- Stage 1 + Stage 2 audit: €4.500–8.000
- Jaarlijkse surveillance audits (jaar 2 en 3): €2.000–3.500
- Herijking elk jaar 3: vergelijkbaar met Stage 2
Zie volledige kostenoverzicht.
Tijdlijn: realistisch
Van nul naar certificaat: 5-8 maanden. Met bestaande security-basis: 3-5 maanden.
- Maand 1: gap-analyse + scope
- Maand 2-3: policy + risk register + SoA
- Maand 3-5: controls implementeren en evidence verzamelen
- Maand 5: interne audit + management review
- Maand 6: Stage 1 (documenten)
- Maand 7-8: Stage 2 (implementatie)
Wanneer is een consultant wél de moeite waard?
Voor de gap-analyse en de eerste policy-structuur (2-5 dagen inzet). Niet voor dagelijkse uitvoering — dat moet intern.
Zie ook: pre-audit checklist, wat is een ISMS?, en ISO vs SOC 2 voor internationale klanten.