De directiebeoordeling heeft de reputatie van een verplicht nummer: een vergadering die vlak vóór de audit wordt gehouden om een vinkje te halen. Zonde, want clausule 9.3 kan juist het waardevolste sturingsmoment van je hele ISMS zijn.
Wat vraagt de norm?
De directie beoordeelt het ISMS periodiek op geschiktheid, toereikendheid en doeltreffendheid. De input is voorgeschreven, en juist die volledigheid maakt het een goed strategisch overzicht.
De verplichte inputs
- Status van acties uit eerdere beoordelingen
- Wijzigingen in interne en externe factoren die het ISMS raken
- Feedback over de beveiligingsprestaties: incidenten, monitoringresultaten, auditresultaten, doelrealisatie
- Feedback van belanghebbenden
- Resultaten van de risicobeoordeling en de status van het risicobehandelplan
- Kansen voor continue verbetering
De outputs die het waardevol maken
De output bevat besluiten over verbeterkansen, wijzigingen aan het ISMS en benodigde middelen. Dat laatste is het punt: hier beslist de directie over budget en prioriteiten voor het komende jaar. Behandel het als een strategiemoment, niet als administratie.
Frequentie: verdeel over het jaar
Jaarlijks is het minimum, maar verdelen over het jaar mag ook: de verplichte onderwerpen gespreid over kwartaaloverleggen. Dat houdt het levend in plaats van een jaarlijkse voorstelling, en zorgt dat je sneller kunt bijsturen.
Tip van Control One: De auditor herkent een directiebeoordeling die twee weken vóór de audit met terugwerkende kracht is geschreven. Het directiegesprek legt het bloot: als de directie de eigen besluiten niet kent, was het een papieren exercitie. Maak het echt, en het wordt zowel een beter systeem als een makkelijkere audit.
De koppeling met leiderschap
De directiebeoordeling is de plek waar directiebetrokkenheid tastbaar wordt. Het is expliciet de beoordeling van de directie zelf; de coördinator bereidt voor, maar de directie weegt en besluit.
Wil je je directiebeoordeling naar een echt sturingsmoment tillen? Bekijk de ISO 27001-checklist of doe de Quickscan.
Klaar om te starten met ISO 27001?
Control One begeleidt je stap voor stap door het ISMS-implementatieproces. Van gap-analyse tot certificeringsaudit — inclusief 120+ templates en de Annex A-controls.
Naslagwerk uit de kennisbank
Wat is een directiebeoordeling (management review)?
De directiebeoordeling is de verplichte periodieke evaluatie van het managementsysteem door de directie. Uitleg van de verplichte input, output en praktische invulling.
ISO 27001 voor kleine bedrijven: haalbaar of overkill?
Kan een bedrijf van 5, 10 of 20 mensen ISO 27001 halen? Ja: de norm schaalt mee. Wat er anders is bij klein, de valkuilen en de realistische aanpak.
Is ISO 27001 verplicht?
ISO 27001 is niet wettelijk verplicht, maar wordt in de praktijk vaak vereist door klanten, tenders en als invulling van wetgeving zoals NIS2. Lees wanneer je er niet omheen kunt.
Gerelateerde artikelen
ISO 27001 en de AVG samen inrichten: één systeem, twee gezichten
ISO 27001 en de AVG overlappen sterk. Zo richt je ze samen in, zodat je ISMS je AVG-verplichtingen meelift, en je niet twee keer hetzelfde doet.
Veilig informatie delen: het grootste lekkanaal dichten
De meeste datalekken ontstaan onderweg: de verkeerde geadresseerde, de open deellink. Zo regel je veilige informatieoverdracht volgens ISO 27001.
Apparatuur veilig afvoeren: voorkom het datalek op Marktplaats
De afgedankte laptop met de klantendatabase er nog op is een klassiek datalek. Zo voer je apparatuur veilig af volgens ISO 27001, met aantoonbaar wissen.
Capaciteitsbeheer: voorkom uitval door volgelopen systemen
De meest voorspelbare uitval is het systeem dat langzaam volloopt. Zo richt je capaciteitsbeheer in volgens ISO 27001, met alarmering vóór het te laat is.