Wachtwoordbeleid volgens ISO 27001 (A.5.17) met voorbeeld
Een wachtwoordbeleid volgens ISO 27001 legt vast hoe je organisatie wachtwoorden en andere inloggegevens uitgeeft, gebruikt en beschermt. In ISO/IEC 27001:2022 valt dit onder beheersmaatregel A.5.17 “Authentication information” uit Annex A. Het technische deel, zoals multifactorauthenticatie (MFA), hoort bij A.8.5 “Secure authentication”.
Het NCSC raadt een wachtwoordzin van minimaal 12 tekens aan en adviseert tweefactorauthenticatie waar dat kan. Een goed ISO 27001-wachtwoordbeleid vertaalt zulke adviezen naar regels die je systemen ook echt afdwingen, en sluit aan op je toegangsrechtenmatrix.
Kort antwoord: ISO 27001 schrijft geen vaste wachtwoordlengte of wisselfrequentie voor. Je bepaalt de regels zelf op basis van je risico’s (A.5.17), dwingt ze technisch af (A.8.5) en kunt aantonen dat ze werken. Een modern beleid draait om lange wachtwoordzinnen, een wachtwoordmanager en MFA, niet om ingewikkelde tekens en maandelijks wisselen.
Wat eist ISO 27001 van een wachtwoordbeleid?
Annex A geeft alleen de titel en een korte omschrijving. De uitwerking staat in ISO 27002:2022 . Twee maatregelen zijn van belang:
| Maatregel | Titel (ISO/IEC 27001:2022) | Waar het over gaat |
|---|---|---|
| A.5.17 | Authentication information | Uitgifte, gebruik en beheer van wachtwoorden, pincodes en tokens |
| A.8.5 | Secure authentication | Technische inlogbeveiliging, zoals MFA en het blokkeren na mislukte pogingen |
| A.5.16 | Identity management | Elk account hoort bij één persoon of één systeem |
| A.8.2 | Privileged access rights | Extra eisen voor beheerdersaccounts |
A.5.17 vraagt in de kern dat je inloggegevens via een vastgesteld proces uitgeeft, dat gebruikers ze geheimhouden en dat je ze direct wijzigt bij een vermoeden van misbruik. De norm laat de concrete invulling aan jou. Daarom moet je keuze herleidbaar zijn naar je risicoanalyse.
Voorbeeld wachtwoordbeleid ISO 27001
Onderstaande tekst is geschreven voor een organisatie met Microsoft 365 of Google Workspace, een wachtwoordmanager en ongeveer 20 tot 100 medewerkers. Neem over wat past en schrap wat niet klopt met je systemen.
Wachtwoord- en authenticatiebeleid Versie 2.0, vastgesteld door de directie op 14 januari 2026. Eigenaar: IT-manager. Hoort bij ISO 27001 A.5.17 en A.8.5.
1. Lengte. Een wachtwoord bestaat uit minimaal 12 tekens. We raden een wachtwoordzin aan van vier of meer woorden. Beheerdersaccounts gebruiken minimaal 16 tekens.
2. Uniek. Je gebruikt voor elk systeem een ander wachtwoord. Je zakelijke wachtwoord gebruik je nooit voor privédiensten.
3. Wachtwoordmanager. Iedere medewerker krijgt de zakelijke wachtwoordmanager. Wachtwoorden bewaar je daarin, niet in een browser, Excel-bestand of op papier.
4. Multifactorauthenticatie. MFA staat aan voor e-mail, de cloudomgeving, de wachtwoordmanager, VPN en alle beheerdersaccounts. Waar het systeem het ondersteunt, gebruiken we passkeys of een authenticator-app in plaats van sms.
5. Wijzigen. Je hoeft je wachtwoord niet periodiek te wijzigen. Je wijzigt het direct als je vermoedt dat het bekend is geworden, en je meldt dat als beveiligingsincident.
6. Delen. Je deelt je wachtwoord met niemand, ook niet met IT of je leidinggevende. Gedeelde accounts zijn alleen toegestaan met toestemming van de IT-manager en worden beheerd in een gedeelde kluis in de wachtwoordmanager.
7. Uitgifte. Nieuwe accounts krijgen een eenmalig startwachtwoord dat bij de eerste aanmelding moet worden gewijzigd. Het startwachtwoord gaat via een ander kanaal dan de gebruikersnaam.
8. Blokkeren. Na 10 mislukte pogingen wordt een account 15 minuten geblokkeerd.
9. Standaardwachtwoorden. Standaardwachtwoorden van nieuwe apparatuur en software worden gewijzigd voordat het apparaat op het netwerk komt.
10. Opslag door systemen. Eigen applicaties slaan wachtwoorden alleen gehasht op met een modern algoritme, zoals Argon2 of PBKDF2.
De getallen in dit voorbeeld zijn keuzes, geen normeisen. Het NCSC noemt bijvoorbeeld tijdelijk afsluiten na 5 mislukte pogingen als mogelijkheid in zijn tips voor organisaties . Leg vast waarom je voor een bepaalde waarde kiest.
Moet je wachtwoorden periodiek wijzigen voor ISO 27001?
Nee. ISO 27001 schrijft geen wisselfrequentie voor. Verplicht wisselen elke 90 dagen leidt in de praktijk vaak tot voorspelbare reeksen zoals “Zomer2026!” en “Herfst2026!”. Het NCSC adviseert om je wachtwoord te veranderen wanneer je vermoedt dat het ergens bekend is geworden.
Kies je toch voor periodiek wisselen, bijvoorbeeld omdat een klantcontract het eist? Leg dat dan vast als bewuste keuze met de reden erbij. De auditor kijkt of je beleid onderbouwd is, niet of het een bepaalde mode volgt.
Wachtwoordbeleid technisch afdwingen
Een beleid dat alleen op papier staat, overleeft de eerste drukke week niet. Zet de regels daarom in je systemen. Zo ziet dat er in de praktijk uit:
| Regel uit het beleid | Waar je het instelt | Bewijs voor de audit |
|---|---|---|
| Minimale lengte 12 tekens | Wachtwoordbeleid in Entra ID of Google Admin | Screenshot van de instelling |
| MFA verplicht | Conditional Access of 2-stapsverificatie afdwingen | Rapport met MFA-status per gebruiker |
| Blokkeren na mislukte pogingen | Smart lockout of vergelijkbare functie | Instellingenoverzicht |
| Wachtwoordmanager voor iedereen | Licentieoverzicht van de wachtwoordmanager | Aantal actieve gebruikers tegenover aantal medewerkers |
| Beheerders apart | Aparte beheeraccounts zonder mailbox | Lijst van beheeraccounts |
Wat vraagt de auditor als bewijs voor A.5.17 en A.8.5?
De auditor wil zien dat het beleid bestaat, dat het is afgedwongen en dat uitzonderingen beheerst zijn. Reken op deze vragen tijdens de ISO 27001-audit:
- Laat het vastgestelde wachtwoordbeleid zien, met versie en goedkeuring.
- Toon de instellingen in je identiteitssysteem: lengte, MFA en blokkering.
- Hoeveel accounts hebben geen MFA, en waarom niet?
- Hoe krijgt een nieuwe medewerker zijn eerste wachtwoord?
- Wie beheert gedeelde accounts en waar staan die wachtwoorden?
- Wat deed je bij het laatste vermoeden van een gelekt wachtwoord?
Veel bevindingen gaan over uitzonderingen: een oud serviceaccount zonder MFA, of een gedeeld beheerwachtwoord in een spreadsheet. Draai vóór de audit een rapport van alle accounts zonder MFA en leg per account vast waarom dat zo is.
Veelgemaakte fouten bij een wachtwoordbeleid
Complexiteitsregels zonder lengte. “8 tekens met hoofdletter, cijfer en leesteken” levert zwakke wachtwoorden op. Lengte helpt meer.
Geen wachtwoordmanager aanbieden. Wie twintig unieke wachtwoorden moet onthouden, gaat hergebruiken of opschrijven. Geef mensen het gereedschap.
MFA alleen voor e-mail. Juist beheeraccounts en de wachtwoordmanager zelf hebben MFA nodig.
Leveranciers vergeten. Externe beheerders hebben vaak eigen accounts in je omgeving. Neem ze op in het beleid en in je leveranciersbeheer.
Beleid en praktijk lopen uiteen. Staat er “14 tekens” in het beleid en 8 in je systeem, dan is dat een afwijking. Pas het een of het ander aan.
Wachtwoordbeleid en je verklaring van toepasselijkheid
In je verklaring van toepasselijkheid neem je A.5.17 en A.8.5 vrijwel altijd op als toepasselijk. Verwijs in de kolom “verwijzing” naar dit beleid en naar de technische instellingen. Zo kan de auditor in één stap van maatregel naar bewijs.
Werk je voor de overheid? De BIO2 maakt van een aantal van deze keuzes een verplichte overheidsmaatregel, zoals MFA voor internet-bereikbare accounts en beheeraccounts en een wachtwoordmanager voor alle medewerkers.
Veelgestelde vragen over het wachtwoordbeleid
Is MFA verplicht voor ISO 27001?
Niet letterlijk. A.8.5 vraagt om veilige authenticatie passend bij je risico’s. Voor e-mail, cloudomgevingen en beheeraccounts is het lastig uit te leggen waarom je géén MFA gebruikt.
Mag een wachtwoordmanager in de cloud staan?
Ja, als je hem beoordeelt als leverancier en de kluis zelf met een sterke hoofdwachtwoordzin en MFA beveiligt. Het NCSC geeft tips voor het kiezen van een wachtwoordmanager .
Meer informatie
- Annex A: alle 93 maatregelen, waaronder identiteits- en toegangsbeheer
- Toegangsrechtenmatrix: wie krijgt toegang tot welk systeem
- Clean desk policy: schermvergrendeling en geen wachtwoorden op briefjes
- Thuiswerken en BYOD-beleid: inloggen vanaf privéapparaten
- Incidentmanagement: wat je doet bij een gelekt wachtwoord
- NCSC: zo gebruik je veilig je wachtwoorden