ISO/IEC 27013 uitgelegd: ISO 27001 en 20000-1 geïntegreerd invoeren
ISO/IEC 27013 is een richtlijn voor het gecombineerd invoeren van ISO/IEC 27001 en ISO/IEC 20000-1. Het document beschrijft hoe je één managementsysteem opzet dat zowel informatiebeveiliging als servicemanagement dekt, in plaats van twee losse systemen naast elkaar. De huidige editie is de derde, uit 2021 (IEC Webstore ). Mogelijk hoort daar een kort amendement uit 2024 bij (Amd 1:2024) met verwijzingen naar ISO 27001 en 27002 uit 2022. Controleer dat in de webstore voordat je de richtlijn bestelt. Het is een richtlijn, geen eisen-norm, en je kunt er dus niet op certificeren. De twee normen zelf zijn ISO 20000-1 en ISO 27001. De samenhang staat op ISO 20000 en ISO 27001 combineren.
Het document is vooral bedoeld voor organisaties die beide normen willen halen of al hebben. Denk aan een managed service provider (MSP) die klanten informatiebeveiliging en servicekwaliteit belooft. Zonder zo’n richtlijn schrijf je vaak twee keer hetzelfde beleid, twee keer dezelfde interne audit en twee keer dezelfde directiebeoordeling.
Waarom bestaat deze richtlijn?
Beide normen volgen de High Level Structure (HLS), de gedeelde opbouw van ISO-managementsysteemnormen. Hoofdstukken 4 tot en met 10 hebben dezelfde kopjes: context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Dat is de basis voor integratie. Maar de inhoud verschilt: de ene norm kijkt naar beveiliging van informatie, de andere naar de kwaliteit van de dienstverlening.
ISO/IEC 27013 helpt je te bepalen wat je kunt delen en waar je aparte maatregelen nodig hebt. Het is in die zin een handleiding voor de keuzes die je toch moet maken.
Wat deel je, en wat niet?
De richtlijn maakt een onderscheid tussen onderdelen die je één keer doet en onderdelen die per norm anders zijn. Onderstaande tabel geeft een vereenvoudigde weergave.
| Onderdeel | Gedeeld? | Toelichting |
|---|---|---|
| Scope en context | Ja, met aparte scope per norm | Je beschrijft één organisatie, maar de scope van beveiliging en service kan verschillen |
| Leiderschap en beleid | Ja, één beleid met onderdelen | Een beleid dat beveiliging en dienstverlening samen dekt |
| Risicobeoordeling | Gedeeld als methode, apart als inhoud | Eén methode, twee soorten risico’s: op informatie en op de dienst |
| Documentbeheer | Ja | Eén documentlijst, één beheerproces |
| Interne audit | Ja, met twee checklists | Eén auditprogramma met aparte toetsvragen per norm |
| Directiebeoordeling | Ja | Eén overleg met beide onderwerpen op de agenda |
| Corrigerende maatregelen | Ja | Eén register voor afwijkingen uit beide normen |
| Beveiligingsmaatregelen | Apart | Annex A van ISO 27001 is niet hetzelfde als de procesclausules van ISO 20000-1 |
Voorbeeld: één documentlijst voor twee normen
Een fictieve hostingpartij met 30 medewerkers gebruikt één documentlijst. Elk document krijgt een label met de norm waarvoor het bewijs levert.
| Document | Voor ISO 27001 | Voor ISO 20000-1 |
|---|---|---|
| Beleid informatiebeveiliging en servicebeleid | Ja | Ja |
| Risicoregister | Ja, op informatie | Ja, op diensten |
| Incidentprocedure | Ja, beveiligingsincidenten | Ja, servicestoringen |
| Wijzigingsprocedure | Ja, wijzigingen met beveiligingsimpact | Ja, alle wijzigingen |
| Verklaring van toepasselijkheid | Ja | Nee |
| Servicecatalogus | Nee | Ja |
De procedure voor incidenten staat dus één keer, maar wordt twee keer gebruikt met een andere invalshoek. Dat is het voordeel van de richtlijn: je houdt het aantal documenten beperkt zonder inhoud te verliezen.
Wat de auditor ziet
Bij een gecombineerde audit kijkt de auditor naar beide normen. Hij wil zien dat het managementsysteem één geheel is en geen losse stapels. Dat betekent dat de directiebeoordeling beide onderwerpen bespreekt en dat de interne audit beide checklists afloopt.
Hoe een gecombineerde audit verloopt, staat op de auditpagina voor ISO 20000-1. Vraag de certificerende instelling vooraf of je één gezamenlijk auditrapport krijgt.
Veelgemaakte fouten
Veel organisaties denken dat integreren betekent dat alle eisen in één document passen. Dat is niet zo. Een gedeeld beleid kan prima, maar de maatregelen uit Annex A van ISO 27001 en de servicemaatregelen uit ISO 20000-1 blijven apart herkenbaar.
- Te snel samenvoegen. Begin met de scope en het beleid, en voeg daarna pas de processen samen.
- Geen apart bewijs. Elk eis moet nog steeds bewijs hebben dat je aan de juiste norm koppelt.
- Een verouderde editie gebruiken. Controleer welke editie van de richtlijn en van de normen je gebruikt.
Wat zegt de richtlijn niet?
De richtlijn zegt niet dat je met één audit beide certificaten haalt. Dat hangt af van de certificerende instelling en de afspraken die je met haar maakt. Ook zegt de richtlijn niet dat de normen identiek zijn. Ze zijn gelijkvormig in structuur, niet in inhoud.
Wil je weten wat de combinatie in kosten en tijd betekent, dan is de kostenpagina voor ISO 20000-1 een goed startpunt. Voor de informatiebeveiligingskant kijk je naar de ISO 27001-kosten.
Stap voor stap: een geïntegreerd systeem opzetten
Een gecombineerd managementsysteem bouw je niet in één keer. De volgorde hieronder voorkomt dat je twee keer werk doet.
- Leg de gedeelde scope vast. Welke organisatie, welke locaties en welke diensten vallen onder beide normen? Schrijf eerst de overlap, daarna de verschillen.
- Stel één beleid op. Een servicebeleid en een informatiebeveiligingsbeleid kunnen in één document, met aparte paragrafen per norm.
- Maak één risicomethode. Kies één manier van risico’s inschatten en gebruik die voor beveiliging én voor de dienstverlening.
- Richt de gedeelde processen in. Denk aan documentbeheer, interne audit, directiebeoordeling en het register voor afwijkingen.
- Voeg de normspecifieke onderdelen toe. Annex A van ISO 27001 en de servicemaatregelen van ISO 20000-1 krijgen hun eigen hoofdstuk of bijlage.
- Toets samen en apart. Doe één interne audit met twee checklists, zodat je ziet wat per norm klopt.
Deze volgorde past bij de logica van de HLS-structuur. Je begint met context en leiderschap, en eindigt met verbetering.
Voorbeeld: gedeelde rollen in een kleine organisatie
Een fictieve hostingpartij met 30 medewerkers verdeelt de rollen als volgt. Het voorbeeld laat zien dat je niet voor elke norm een aparte rol hoeft te maken.
| Rol | Verantwoordelijk voor | Voor welke norm |
|---|---|---|
| Directeur | Beleid vaststellen, directiebeoordeling leiden | Beide |
| Securityfunctionaris | Risicoregister, beveiligingsmaatregelen, incidenten met beveiligingsimpact | ISO 27001 |
| Servicemanager | Servicecatalogus, SLA’s, servicedesk | ISO 20000-1 |
| Kwaliteitsverantwoordelijke | Interne audit, afwijkingenregister, documentbeheer | Beide |
De securityfunctionaris en de servicemanager zijn niet hetzelfde persoon, maar ze werken met dezelfde documentlijst en hetzelfde afwijkingenregister. Dat is de kern van de integratie.
Veelgemaakte misverstanden
- “Dan hoef ik maar één norm te behalen.” Nee. Je certificeert op beide normen, en de richtlijn verandert dat niet.
- “De richtlijn is een verplichting.” Nee. Het is een hulpmiddel. Je kunt ook twee aparte systemen hebben, al is dat meestal duurder.
- “Dezelfde documenten zijn voldoende.” Niet altijd. Een document dat voor beveiliging geldt, hoeft niet automatisch te voldoen voor servicemanagement, en andersom.
Volgende stappen
Bronnen
- NEN – IT-servicemanagement met ISO/IEC 20000 – Nederlands Normalisatie-instituut
- BSI – ISO/IEC 20000-1 Service Management – British Standards Institution