Competentiematrix ISO 27001 (clausule 7.2) met voorbeeld
Een competentiematrix is een overzicht van welke functie welke kennis, opleiding en ervaring nodig heeft, en wie die heeft. ISO 27001 vraagt dit in clausule 7.2: bepaal de benodigde competentie, zorg dat mensen die hebben, onderneem actie als dat niet zo is en bewaar bewijs. De norm schrijft geen vorm voor. Het bewijs hoort bij de verplichte documenten. Een matrix in Excel of een tabel in je wiki is in de praktijk het meest gebruikt, en auditors kennen dat patroon goed. Wat de bewustwording van medewerkers betreft, lees je bewustwording en training.
Wat eist clausule 7.2?
Clausule 7.2 bestaat uit vier stappen die je moet kunnen aantonen:
- Bepalen. Welke competentie is nodig voor het werk dat invloed heeft op de informatiebeveiliging?
- Zorgen. Heeft de persoon die competentie, op basis van opleiding, training of ervaring?
- Actie. Als dat niet zo is, neem je maatregelen (opleiden, begeleiden, aannemen) en evalueer je het resultaat.
- Bewijs. Bewaar gedocumenteerde informatie als bewijs, zoals diploma’s, certificaten en trainingsregistraties.
Het gaat niet alleen om vaste medewerkers. Ook inhuur en uitbesteed werk valt eronder, als dat werk het ISMS raakt. Denk aan een externe beheerder met toegang tot de servers of een schoonmaakbedrijf met sleutels van het kantoor. Zie ook de eisen van de norm voor de context van hoofdstuk 7.
Een competentiematrix is het bewijs, niet de competentie zelf. Een matrix waarin alles op “ja” staat zonder onderbouwing, is in een audit makkelijk te controleren en snel verdacht.
Opbouw van een competentiematrix
Een bruikbare matrix heeft één rij per functie en één kolom per competentie. Gebruik dit als basis:
| Kolom | Wat je invult | Voorbeeld |
|---|---|---|
| Functie | De functie of rol, niet de naam | Systeembeheerder |
| Verantwoordelijkheid voor ISMS | Wat deze rol raakt | Beheer van servers en back-ups |
| Vereiste competentie | Concreet: kennis, certificaat, ervaring | Kennis van hardening, back-upprocedure |
| Opleiding of certificaat | Wat de persoon heeft | Linux-certificaat, interne training back-ups |
| Ervaring | In jaren of projecten | 6 jaar Linux-beheer |
| Status | Voldoet, in opleiding, of actie nodig | Voldoet |
| Evaluatie en datum | Wanneer getoetst en door wie | Mei 2026, teamleider |
| Bewijs | Waar het document staat | Map HR, certificaat in personeelsdossier |
Veel teams houden het kleiner. Twee kolommen (vereist en aanwezig) met een link naar het bewijs zijn ook genoeg, zolang de logica klopt.
Voorbeeld: een matrix voor een klein IT-bedrijf
Dit is een fictief voorbeeld van “Voorbeeld BV”, een bedrijf met twaalf medewerkers.
| Functie | Vereiste competentie | Aanwezig | Status | Actie |
|---|---|---|---|---|
| Directie | Kennis van ISMS-verantwoordelijkheid en risico’s | Cursus bestuurders informatiebeveiliging (2025) | Voldoet | Jaarlijks opfrissen |
| Security-officer | Kennis van ISO 27001 en interne audit | Lead Implementer, interne auditor | Voldoet | Geen |
| Systeembeheerder | Hardening, back-ups, logbeheer | 6 jaar ervaring, Linux-certificaat | Voldoet | Geen |
| Helpdeskmedewerker | Herkennen van phishing en social engineering | Awareness-training (2026) | In opleiding | Training afronden vóór 1 december |
| Ontwikkelaar | Veilig programmeren (OWASP) | Nog geen formele training | Actie nodig | Training plannen in Q1 2027 |
| Externe beheerder | Vereiste beveiligingscontroles uit het contract | Verklaring van de leverancier | Voldoet | Verklaring jaarlijks opvragen |
Let op de laatste rij. Ook een externe partij moet aantoonbaar competent zijn. Dat hoort bij leveranciersbeheer.
Hoe stel je de matrix op in vier stappen?
Maak een lijst van functies die ISMS raken
Begin niet bij mensen maar bij rollen. Vraag: wie heeft toegang tot systemen, data of processen die we in de scope hebben?
Bepaal per functie wat nodig is
Schrijf concreet op wat iemand moet kunnen. “Goed in IT” is geen competentie. “Kan een back-up herstellen en het resultaat toetsen” wel.
Toets de huidige situatie
Ga per persoon na wat er aantoonbaar is. Gebruik diploma’s, certificaten, trainingsregistraties en functioneringsgesprekken.
Leg de acties vast
Voor elke lacune: wat ga je doen, wie is eigenaar, wanneer is het klaar en hoe weet je dat het werkt?
Herhaal dit minstens jaarlijks, en bij elke nieuwe rol of grote wijziging. De interne audit is een goed moment om de matrix te controleren op actualiteit.
Wat vraagt de auditor?
De auditor kiest een paar functies uit en vraagt om het bewijs. Hij wil zien dat de matrix klopt met de werkelijkheid: een beheerder die in de matrix staat met een certificaat, moet dat certificaat ook kunnen laten zien. Hij let ook op of de eisen in de matrix echt het werk raken. Een matrix met alleen “Microsoft Office” als competentie voor een securityrol valt meteen op. Zie de auditvragen en checklist voor de vragen per rol.
Veelgemaakte fouten
- Alles op “voldoet”. Zonder bewijs is elk “voldoet” een bewering.
- Vage competenties. “Ervaring met IT” zegt niets over wat iemand kan.
- De matrix wordt nooit bijgewerkt. Een matrix van twee jaar oud, met vertrokken medewerkers, is erger dan geen matrix.
- Externen worden vergeten. Inhuurkrachten en leveranciers met toegang vallen er ook onder.
- Geen link naar bewijs. De auditor moet het certificaat kunnen vinden, niet alleen de regel in de tabel.
Koppeling met bewustwording
Veel organisaties zien de competentiematrix en de bewustwordingsprogramma’s als twee losse dingen. Dat is het niet. Het awareness-programma is een middel om competentie te bereiken, en de matrix laat zien of het werkt. Een medewerker die de training heeft afgerond en een toets heeft gehaald, is een bewijspunt voor zowel A.6.3 als clausule 7.2.
Veelgestelde vragen
Moet elke medewerker in de matrix? Nee. Alleen functies die het ISMS raken. Een schoonmaker zonder systeemtoegang hoeft er niet in, tenzij het contract beveiligingseisen stelt.
Welke vorm is het beste? Die je bijhoudt. Excel, een tabel in SharePoint of een HR-systeem werken alle drie, zolang de versie en het bewijs kloppen.
Is een certificaat altijd nodig? Nee. Een certificaat is één vorm van bewijs. Een aantoonbare ervaring, een interne toets of een gesprek met vastgelegd resultaat kan ook.