Directiebeoordeling ISO 27001 met voorbeeld agenda
Een directiebeoordeling is het moment waarop het management het ISMS formeel doorloopt en beslist wat er moet veranderen. ISO 27001 schrijft dit voor in clausule 9.3, met geplande tussenpozen. Het sluit aan op de interne audit en op het ISMS als geheel. De norm geeft een vaste lijst onderwerpen die je moet bespreken en legt vast dat de uitkomst beslissingen en bewijs zijn. Zonder notulen met besluiten telt de beoordeling bij de auditor niet mee.
Wat eist clausule 9.3?
De directie bespreekt het ISMS aan de hand van vaste inputs. Die inputs zijn in de kern:
- de status van acties uit de vorige directiebeoordeling
- veranderingen in interne en externe zaken die voor het ISMS belangrijk zijn
- veranderingen in de behoeften van belanghebbenden, zoals klanten en toezichthouders
- feedback over de informatiebeveiliging, met de trends in afwijkingen en corrigerende acties, meetresultaten, auditresultaten en de mate waarin doelstellingen zijn gehaald
- feedback van belanghebbenden
- de resultaten van de risicobeoordeling en de stand van het risicobehandelingsplan
- kansen voor verbetering
De uitkomst (de output) bestaat uit beslissingen over verbeterkansen en over wijzigingen in het ISMS, zoals budget, personeel of een ander beleid. Daarnaast bewaar je documentatie als bewijs. Deze opsomming volgt clausule 9.3.2 en 9.3.3 van de 2022-versie. Controleer de exacte tekst in je eigen exemplaar van de norm.
De norm schrijft geen vaste frequentie voor. Jaarlijks is gangbaar en sluit aan bij de interne audit. Let erop dat de directiebeoordeling vóór de certificeringsaudit heeft plaatsgevonden.
Voorbeeld agenda
Hieronder een agenda voor een middelgroot IT-bedrijf, “Voorbeeld BV”, fictief. De tijden zijn indicatief.
| Tijd | Onderwerp | Input uit clausule 9.3 | Bewijs dat je meeneemt |
|---|---|---|---|
| 10 min | Opening en doel van de beoordeling | Geen, vast agendapunt | Vastgestelde agenda |
| 15 min | Opvolging van de vorige beoordeling | Status van eerdere acties | Actielijst met status |
| 20 min | Veranderingen in context en klanteisen | Interne en externe zaken, belanghebbenden | Overzicht nieuwe klanteisen, wetgeving |
| 25 min | Informatiebeveiligingsprestaties | Afwijkingen, auditresultaten, KPI’s | Afwijkingenregister, rapport interne audit |
| 15 min | Doelstellingen | Mate van realisatie | Doelstellingenoverzicht (doelstellingen) |
| 20 min | Risico’s en risicobehandeling | Risicoregister en stand behandelplan | Actuele risicoanalyse |
| 15 min | Verbeterkansen en besluiten | Output: beslissingen | Voorstellen met kosten en eigenaar |
| 10 min | Afsluiting en afspraken | Vastleggen besluiten | Ondertekende notulen |
Voorbeeld notulen
Notulen hoeven niet lang te zijn. Ze moeten wel laten zien dat er besloten is. Een fragment:
Besluit 2026-03: Het afwijkingenregister toont vier open punten, waarvan twee ouder dan 60 dagen. Directie besluit: elke afwijking krijgt vóór 15 december een eigenaar en een einddatum. Eigenaar: operations manager. Bewijs: bijgewerkt register op 1 december.
Besluit 2026-04: Het budget voor de penetratietest 2027 wordt verhoogd van 6.000 naar 9.000 euro, op basis van de risicoanalyse van oktober.
Let op de structuur: elk besluit heeft een eigenaar, een termijn en een verwijzing naar bewijs. Dat is wat de auditor zoekt.
Wat wil de auditor zien?
De externe auditor vraagt naar de notulen van de laatste directiebeoordeling en wil weten of het management er echt bij zat. Hij controleert of de agenda overeenkomt met de inputs van de norm, of er besluiten zijn genomen en of die zijn opgevolgd. Zie ook de auditvragen en checklist voor de vragen per rol. Zie het auditproces voor de volledige route naar het certificaat.
Veelgemaakte fouten
- Een pro-forma vergadering. Notulen met alleen “besproken, geen opmerkingen” laten zien dat de directie niet betrokken was.
- Geen besluiten. Een beoordeling zonder output is geen beoordeling.
- Inputs ontbreken. De agenda dekt bijvoorbeeld de risico’s niet, terwijl de norm die als input noemt.
- Te laat. Een beoordeling de week voor de audit wordt gezien als een reactie op de audit, niet als onderdeel van het systeem.
- Verwarring met de ISO 9001-beoordeling. Als je beide normen hebt, kun je één vergadering houden die beide afdekt. Zie directiebeoordeling bij ISO 9001 voor de kwaliteitsvariant.
Hoe bereid je de beoordeling voor?
- Verzamel de inputs van de hele vorige periode: auditrapport, afwijkingen, KPI’s, risicoregister.
- Stel de agenda op met de volgorde uit de tabel hierboven. Stuur hem minstens een week van tevoren.
- Zorg dat de directie de stukken kent. Een managementsamenvatting van twee pagina’s werkt beter dan een stapel bijlagen.
- Leg tijdens de vergadering de besluiten direct vast. Herhaal ze aan het eind.
- Verspreid de notulen binnen een paar dagen en zet de acties in je actielijst.
Het stappenplan laat zien waar de directiebeoordeling in de volgorde van het traject past.
Template: besluitenlijst
Naast de notulen houd je één besluitenlijst bij. Die is het werkdocument voor de komende periode, en de auditor vraagt er vaak naar.
| Besluit | Onderbouwing | Eigenaar | Termijn | Bewijs van uitvoering | Status |
|---|---|---|---|---|---|
| Budget pentest verhoogd naar 9.000 euro | Risicoanalyse oktober, hoog risico op webapplicatie | Operations manager | 31 maart 2027 | Offerte en rapport | Open |
| Afwijkingen krijgen vaste eigenaar en einddatum | Vier open afwijkingen, twee ouder dan 60 dagen | Security-officer | 15 december 2026 | Bijgewerkt register | Gesloten |
| Scope uitbreiden met nieuwe klantportaal | Nieuwe dienst, klantgegevens worden verwerkt | Directie | 1 juni 2027 | Gewijzigd scopedocument | Open |
Een besluit dat niet in de lijst staat, bestaat voor de auditor niet. Werk de status bij tijdens elke vergadering van het management, dan is de lijst bij de volgende directiebeoordeling direct bruikbaar als input.
Waarom dit onderdeel van het ISMS is
De directiebeoordeling is de plek waar het ISMS bij de baas komt. Zonder die koppeling blijft het een verzameling documenten bij de security-officer. Met een goede beoordeling krijgt het ISMS geld, tijd en gezag. Dat is ook wat de norm bedoelt met leiderschap in hoofdstuk 5.
Veelgestelde vragen
Mag de security-officer de directiebeoordeling voorzitten? De directie moet erbij zijn en de besluiten nemen. De voorzitter kan iemand anders zijn, zolang de directie aantoonbaar betrokken is.
Moet de beoordeling ook bij een klein bedrijf? Ja, maar die kan kort zijn. Een uur met een eenpagina-agenda en twee besluiten is voldoende.
Wat als er niets te besluiten valt? Dan leg je dat ook vast, met de onderbouwing. “Geen wijzigingen, risico’s zijn beoordeeld en blijven acceptabel” is een geldig besluit.