Informatiebeveiligingsdoelstellingen ISO 27001 (clausule 6.2) met voorbeeld
Informatiebeveiligingsdoelstellingen zijn concrete doelen die laten zien wat je met het ISMS wilt bereiken, en hoe je dat meet. ISO 27001 vraagt hierom in clausule 6.2: stel doelen vast op de relevante functies en niveaus, maak ze consistent met het beleid en bewaak ze. Een doel als “we zijn veilig” voldoet niet. Een doel als “95 procent van de medewerkers heeft de awareness-training vóór 1 december afgerond” wel. Ze volgen uit de risicoanalyse en horen bij het ISMS. Het beleid waar de doelen uit voortkomen, staat op de pagina informatiebeveiligingsbeleid.
Wat eist clausule 6.2?
Clausule 6.2 bevat een aantal eisen die samen het hart van de doelstellingen vormen. De kern:
- Consistent met het beleid. Elk doel moet aansluiten op het informatiebeveiligingsbeleid.
- Meetbaar, waar praktisch. De norm zegt “indien praktisch uitvoerbaar”. Kun je een doel niet meten, bedenk dan hoe je de voortgang anders beoordeelt.
- Rekening houden met eisen. Doelen houden rekening met toepasselijke eisen en de uitkomst van de risicoanalyse.
- Bewaken, communiceren en bijwerken. Je volgt de voortgang, deelt de doelen met wie ze raken en past ze aan als dat nodig is.
- Plannen. Per doel leg je vast wat je gaat doen, welke middelen je nodig hebt, wie verantwoordelijk is, wanneer het klaar moet zijn en hoe je het resultaat beoordeelt.
- Documenteren. Gedocumenteerde informatie bewaar je als bewijs.
De exacte formulering van clausule 6.2 staat in de norm zelf. Gebruik deze opsomming als overzicht en lees de tekst na in je eigen exemplaar van de norm voordat je hem als bron in een document zet.
Goed en slecht geformuleerd
Het verschil zit in meetbaarheid. Een doel dat je niet kunt controleren, is alleen een wens.
| Slecht | Waarom | Beter |
|---|---|---|
| We worden veiliger | Niet meetbaar, geen eindpunt | Het aantal open kritieke kwetsbaarheden staat vóór 31 december op nul |
| Medewerkers zijn bewust | Geen norm, geen meting | 95 procent van de medewerkers heeft de awareness-training afgerond |
| Incidenten pakken we goed op | Geen richtwaarde | Elk incident wordt binnen 5 werkdagen afgesloten met een evaluatie |
| Het ISMS is up-to-date | Geen controle mogelijk | De ISMS-documenten zijn in het afgelopen half jaar minstens één keer herzien |
Voorbeeld: doelstellingen voor “Voorbeeld BV”
Een klein softwarebedrijf van twaalf mensen, fictief. Per doel staat de meting en de eigenaar erbij.
| Doelstelling | Meting | Streefwaarde | Meetmoment | Eigenaar |
|---|---|---|---|---|
| Alle medewerkers hebben de awareness-training afgerond | Percentage afgeronde training uit het LMS | 95 procent | 1 december 2026 | HR-manager |
| Kritieke kwetsbaarheden worden snel gepatcht | Gemiddelde doorlooptijd van kritieke patches | Maximaal 14 dagen | Maandelijks | Systeembeheerder |
| Toegangsrechten worden tijdig ingetrokken | Aantal vertrokken medewerkers met actieve toegang na uitdienst | Nul | Maandelijks | IT-beheer |
| Incidenten worden op tijd afgehandeld | Percentage incidenten afgesloten binnen 5 werkdagen | 90 procent | Elk kwartaal | Security-officer |
| Leveranciers met toegang zijn beoordeeld | Percentage beoordeelde leveranciers | 100 procent | Jaarlijks | Inkoop |
Het zijn er vijf. Meer is niet beter. Liever vijf doelen die je haalt dan twintig die niemand bijhoudt. Veel doelen hangen samen met de maatregelen uit Annex A, bijvoorbeeld kwetsbaarheidsbeheer en incidentmanagement.
Hoe plan je één doelstelling?
Kies het doel en de meting
Eén doel, één meting, één streefwaarde. Als je het niet kunt meten, formuleer het dan om.
Bepaal de acties
Wat ga je concreet doen om het doel te halen? Schrijf maximaal drie acties op.
Benoem middelen en eigenaar
Welk budget, welke tijd en wie is verantwoordelijk? Eén eigenaar per doel, anders is niemand het.
Stel een moment van evaluatie vast
Wanneer kijk je of het werkt? Maandelijks, per kwartaal of jaarlijks. Leg het vast in de agenda.
Leg het vast en communiceer
Zet het in het doelstellingenoverzicht en deel het met de mensen die het raakt. Bewaar het bewijs van de meting.
Relatie met de risicoanalyse
Doelen komen niet uit de lucht vallen. De risicoanalyse laat zien waar de grootste risico’s zitten, en daar haal je je prioriteiten uit. Als je risico “ongeautoriseerde toegang tot klantdata” hoog scoort, is een doel over toegangsrechten logisch. Staat er geen enkel doel bij een hoog risico, dan vraagt de auditor waarom.
Wat vraagt de auditor?
De auditor vraagt naar je doelstellingenoverzicht en naar de meetresultaten van de afgelopen periode. Hij wil zien dat je de voortgang bewaakt, dat je bijstuurt als een doel niet wordt gehaald en dat het management ervan op de hoogte is. In de directiebeoordeling komt de mate van realisatie terug als input. Een doelstelling die twee jaar op rood staat zonder actie, kan de auditor als afwijking aanmerken.
Veelgemaakte fouten
- Doelen die het beleid herhalen. “We beschermen informatie” is een beleidszin, geen doel.
- Geen meting. Zonder meting kun je niet aantonen of je het doel hebt gehaald.
- Te veel doelen. Een lijst van twintig doelen wordt nooit bijgehouden.
- Geen eigenaar. Een doel dat “het team” moet halen, haalt niemand.
- Doelen die nooit wijzigen. Als alle doelen al drie jaar hetzelfde zijn, is het ISMS waarschijnlijk niet meer met de organisatie mee bewogen.
Veelgestelde vragen
Moeten doelstellingen voor elke maatregel uit Annex A? Nee. Doelen sturen op wat voor jouw organisatie belangrijk is, niet op alle 93 maatregelen. Zie Annex A voor de maatregelen die je wel selecteert.
Hoe vaak moet ik ze bijstellen? Jaarlijks nalopen is gangbaar, en ook na elke grote wijziging of ingrijpend incident. De norm vraagt om bijwerken waar nodig.
Is een doel dat ik niet haal, een probleem? Niet per se. Een niet-gehaald doel met een analyse en een nieuw plan is beter dan een doel dat je stilletjes laat vallen. Leg de oorzaak vast en beslis wat je doet.