Onafhankelijk platform voor cybersecurity in Nederland

info@ibgids.nl Veelgestelde vragen Word partner

Aankoopgids ISO 27001 Interne Audit

Een interne audit ISO 27001 is de onafhankelijke toets waarmee je zelf controleert of je managementsysteem voor informatiebeveiliging voldoet aan de norm en in de praktijk ook echt werkt.

Jerrian van Slochteren6 min lezen

In deze gids9 onderdelen

2 maakt die audit verplicht: je moet een gepland auditprogramma hebben, de audit objectief laten uitvoeren en de bevindingen rapporteren aan het management. Je hebt hem nodig vóór je certificeringsaudit, en daarna elk jaar opnieuw voordat de certificerende instelling langskomt.

Zo verloopt een interne audit

Auditplan
Wie: Samen
Leg scope, criteria, interviews, steekproeven en planning vast.
Documentreview
Wie: Aanbieder
Controleer beleid, risicoanalyse, Verklaring van Toepasselijkheid en eerdere acties.
Interviews en bewijs
Wie: Aanbieder
Toets met proceseigenaren en registraties of afspraken werkelijk werken.
Rapportage
Wie: Aanbieder
Classificeer non-conformiteiten, observaties en verbetermogelijkheden met bewijs.
Opvolging
Wie: Jullie
Bepaal oorzaken, voer corrigerende maatregelen uit en sluit bevindingen aantoonbaar.

Plan rapportage ruim vóór de certificeringsaudit, zodat afwijkingen nog aantoonbaar kunnen worden gesloten.

Wat laat je intern auditen?

Een bruikbare audit verbindt normeisen aan processen, maatregelen en bewijs.

ISO 27001 Interne Audit

Normclausules
De managementsysteemeisen uit hoofdstuk 4 tot en met 10.
- Context en scope
- Leiderschap
- Planning en ondersteuning
- Evaluatie en verbetering
Annex A
De gekozen beheersmaatregelen uit de Verklaring van Toepasselijkheid.
- Organisatorisch
- Mensgericht
- Fysiek
- Technologisch
Werking
Steekproeven die aantonen of processen echt worden uitgevoerd.
- Interviews
- Registraties
- Systeeminspecties
- Corrigerende maatregelen

De drie manieren om je interne audit te regelen

Uitbesteden, een doorlopend programma inkopen of je eigen auditor opleiden.

Eenmalige interne audit

Prijs: €1.000 tot €5.000

Looptijd: Vanaf 1 auditdag

Scope: Externe lead auditor toetst de normclausules 4 tot en met 10 plus de Verklaring van Toepasselijkheid
Je krijgt: Auditrapport met non-conformiteiten, observaties en verbeterpunten
Waarom uitbesteden: Lost het onafhankelijkheidsprobleem in één keer op: de auditor beoordeelt niet zijn eigen werk

Let op: Plan minimaal 4 tot 6 weken vóór de externe audit, zodat je bevindingen nog kunt oplossen

Meerjarig auditprogramma

Prijs: Geen prijsindicatie

Looptijd: Per jaar, volgens het auditprogramma

Opzet: Auditprogramma met scope, frequentie, criteria, verantwoordelijkheden en methodiek zoals clausule 9.2.2 vraagt
Aanpak: Risicogebaseerd: hoog-risico processen komen vaker terug dan laag-risico processen
Voordeel: Een vaste auditor bouwt kennis van je organisatie op, wat de audits scherper maakt

Opleiding van je eigen auditor

Prijs: €495 tot €1.395

per deelnemer

Looptijd: 1 tot 2 opleidingsdagen

Je leert: Een ISMS-audit plannen, uitvoeren, rapporteren en opvolgen volgens de richtlijnen van ISO 19011
Vorm: Klassikaal, online of in-company
Norm-eis: Formele certificering van de auditor is geen eis; aantoonbare competentie via opleiding of ervaring wel

Let op: Goedkoopst op termijn, maar de onafhankelijkheidseis blijft: een getrainde collega mag zijn eigen proces niet auditen

Eenmalig uitbesteden of intern opbouwen?

Uitbesteden geeft direct onafhankelijkheid. Een eigen auditor maakt het programma goedkoper op termijn, maar moet buiten zijn eigen verantwoordelijkheidsgebied auditen.

Externe auditor (aanbevolen). Snel, onafhankelijk en ervaren; passend vóór een eerste certificeringsaudit.
Interne auditor. Kennis blijft in huis, mits opleiding, tijd en organisatorische onafhankelijkheid zijn geregeld.
Co-sourcing. Een externe lead auditor begeleidt medewerkers die delen van het programma uitvoeren.

Hoe de auditomvang wordt bepaald

De prijs volgt vooral uit scope, aantal locaties en de hoeveelheid bewijs die steekproefsgewijs moet worden gecontroleerd.

Compacte scope: reken op €1.000 tot €2.000 (Tot 25 medewerkers). Plus brede scope: €2.000 tot €5.000.

Indicatie uit deze aankoopgids.

Wat de prijs bepaalt

Aantal locatiesElke fysieke locatie kan aanvullende interviews en steekproeven vereisen.
VolwassenheidVersnipperd bewijs en onduidelijke eigenaars kosten meer audittijd dan een onderhouden auditdossier.
AuditprogrammaNiet ieder normonderdeel hoeft elk jaar even diep, zolang het meerjarige programma de volledige scope dekt.
OnafhankelijkheidDe auditor mag zijn eigen implementatiewerk niet beoordelen; controleer belangen en eerdere rollen.

Offertes naast elkaar leggen

Controleer of aanbieders dezelfde uitgangspunten gebruiken. Dan vergelijk je niet alleen het totaalbedrag, maar ook wat je daarvoor krijgt. Kijk per offerte welke punten erin staan.

Per punt

Dekking

In de offerte staat dat het auditprogramma alle hoofdstukken en de maatregelen uit de verklaring van toepasselijkheid dekt.Wat maakt dit goed
Waarom
Alle onderdelen moeten regelmatig worden geaudit.
Bewijs
De passage in de overeenkomst of offerte waarin dit staat.
In de offerte staat dat de auditor elke audit begint met een eigen auditplan, met onderdelen, criteria en planning.Wat maakt dit goed
Waarom
Zonder plan is niet controleerbaar wat er getoetst wordt.
Bewijs
De passage in de overeenkomst of offerte waarin dit staat.

Uitvoering

In de offerte staat dat de audit interviews en steekproeven op bewijs bevat.Wat maakt dit goed
Waarom
Een procedure die bestaat maar niet wordt gevolgd, is een bevinding.
Bewijs
De passage in de overeenkomst of offerte waarin dit staat.
In de offerte staat dat de audit ook toetst of maatregelen werken.Wat maakt dit goed
Waarom
Conformiteit zonder effectiviteit zegt weinig.
Bewijs
De passage in de overeenkomst of offerte waarin dit staat.

Resultaat

In de offerte staat dat het rapport per bevinding het bewijs en de ernst vermeldt.Wat maakt dit goed
Waarom
De IGJ vraagt per normelement welk bewijs is gebruikt.
Bewijs
De passage in de overeenkomst of offerte waarin dit staat.
In de offerte staat dat het rapport de bestede tijd vermeldt.Wat maakt dit goed
Waarom
Zo is te beoordelen of de audit grondig genoeg was.
Bewijs
De passage in de overeenkomst of offerte waarin dit staat.

Levering

In de offerte of overeenkomst staat een auditdatum ruim vóór de externe audit.Wat maakt dit goed
Waarom
Te laat gepland laat geen tijd om afwijkingen op te lossen.
Bewijs
De passage in de overeenkomst of offerte waarin dit staat.
In de offerte staat een levertermijn voor het rapport.Wat maakt dit goed
Waarom
Een rapport dat te laat komt, helpt niet meer.
Bewijs
De passage in de overeenkomst of offerte waarin dit staat.

Ondersteuning

In de offerte staat dat de auditor niet betrokken was bij het inrichten van je ISMS.Wat maakt dit goed
Waarom
De interne auditor mag niet het eigen werk auditen.
Bewijs
De passage in de overeenkomst of offerte waarin dit staat.
In de offerte staat dat de auditpartij niet de certificerende instelling is.Wat maakt dit goed
Waarom
Een certificeerder mag twee jaar niet certificeren waar hij intern heeft geaudit (ISO/IEC 17021-1, 5.2.6).
Bewijs
De passage in de overeenkomst of offerte waarin dit staat.

Wat de auditor vooraf nodig heeft

Met deze informatie kunnen aanbieders gericht reageren en worden offertes onderling vergelijkbaar.

Scope en auditprogramma. De actuele ISMS-scope en wat in eerdere audits al is behandeld.
Kernstukken. Risicoanalyse, Verklaring van Toepasselijkheid, beleid en directiebeoordeling.
Eerder werk. Vorige bevindingen, corrigerende maatregelen, klachten en incidenten.
Beschikbare mensen. Plan directie, IT, HR, inkoop en andere relevante proceseigenaren vooraf in.

Vragen die je in de aanvraag beantwoordt

Wat voor interne audit heb je nodig?
Wat moet de audit afdekken?
Welke normen moeten in dezelfde audit mee?
Hoeveel van je medewerkers vallen binnen de ISMS-scope?
Hoe wil je de audit laten uitvoeren?

Van bevinding naar aantoonbare verbetering

De certificerende auditor kijkt niet alleen naar het rapport, maar vooral naar de kwaliteit van de opvolging.

Oorzaak bepalen. Los niet alleen het symptoom op; leg vast waarom het proces faalde.
Maatregel beleggen. Geef iedere actie een eigenaar, deadline en verwacht bewijs.
Effectiviteit toetsen. Controleer na uitvoering of de maatregel het probleem werkelijk voorkomt.
Programma bijwerken. Gebruik patronen in bevindingen om de volgende auditcyclus risicogericht te plannen.

Veelgestelde vragen

Is een interne audit ISO 27001 verplicht?

Ja. Clausule 9.2 van ISO 27001 verplicht je om op geplande intervallen interne audits uit te voeren en daarvoor een auditprogramma op te stellen. Je certificerende instelling controleert bij de externe audit of dat auditspoor compleet, onpartijdig en gedocumenteerd is. Ontbrekende of zwakke interne audits leiden direct tot een afwijking.

Hoe vaak moet ik hem laten doen?

De norm schrijft geen vaste frequentie voor, alleen op geplande intervallen. In de praktijk voert vrijwel iedere organisatie minimaal één keer per jaar een volledige audit uit, omdat de certificerende instelling ook jaarlijks langskomt. Bij hogere risico's, incidenten of grote organisatorische veranderingen audit je vaker of tussentijds op specifieke onderdelen.

Mag ik de interne audit zelf uitvoeren?

Ja, mits de auditor objectief en onpartijdig is. De harde eis is dat een auditor niet zijn eigen werk of eigen proces beoordeelt: de proceseigenaar mag de naleving van zijn eigen proces niet toetsen. In kleine organisaties is dat vaak het knelpunt, omdat de persoon met de meeste ISMS-kennis meestal ook de bouwer van het ISMS is.

Mag mijn adviseur die het ISMS heeft ingericht ook de interne audit doen?

Dat ligt genuanceerd. Een adviseur die het beleid heeft geschreven en de risicoanalyse heeft gedaan, auditeert bij die onderdelen zijn eigen werk, en dat botst met de objectiviteitseis. Veel bureaus lossen dit op door een andere auditor uit hetzelfde team in te zetten dan de implementatieconsultant. Wat sowieso niet mag: dezelfde partij die je heeft begeleid, mag je niet certificeren.

Wat kost het?

Voor een organisatie tot 25 medewerkers kost een uitbestede interne audit doorgaans €1.000 tot €2.000, tot 100 medewerkers €2.000 tot €5.000, afhankelijk van locaties en scope. Een eigen auditor opleiden kost €495 tot €1.395 per deelnemer.

Wat gebeurt er met de bevindingen?

Het auditrapport legt non-conformiteiten, observaties en verbeterpunten vast. Voor elke non-conformiteit stel je een corrigerende maatregel op met eigenaar en termijn, en die volg je tot sluiting. De uitkomsten zijn verplichte input voor de directiebeoordeling (clausule 9.3), en de externe auditor kijkt expliciet of je de bevindingen daadwerkelijk hebt opgevolgd en niet alleen genoteerd.

Bronnen. Prijzen en doorlooptijden komen uit openbaar gepubliceerde tarieven van auditbureaus en opleiders: normwijzer.nl en auditdirect.nl voor de audit, bsigroup.com en nieuwhuisopleidingen.nl voor de auditoropleiding, nagekeken op 5 oktober 2026. Bedragen zijn marktindicaties; veel bureaus publiceren geen tarieven en werken met offerte op maat.