Direct antwoord
Clausule 4 van ISO 27001 bevat vier eisen: begrijp de interne en externe factoren die informatiebeveiliging beïnvloeden (4.1), ken je belanghebbenden en hun eisen (4.2), bepaal en documenteer de scope van het ISMS (4.3) en richt het managementsysteem in (4.4). Deze clausule is het fundament: risicoanalyse, beleid en maatregelen bouwen er allemaal op voort.
Clausule 4 van ISO 27001, “Context van de organisatie”, legt het fundament van het managementsysteem voor informatiebeveiliging (ISMS). De clausule bestaat uit vier sub-eisen die samen bepalen waarvoor, voor wie en waarbinnen het ISMS werkt.
4.1: De organisatie en haar context
Breng de interne en externe factoren in kaart die van invloed zijn op informatiebeveiliging. Extern: het dreigingslandschap, wet- en regelgeving (zoals AVG en NIS2), klanteisen en ketenafhankelijkheden. Intern: de systemen, de cultuur, de beschikbare kennis en de manier van werken (zoals thuiswerken of uitbesteding). Een beknopte analyse van één à twee pagina’s volstaat, mits actueel.
4.2: Belanghebbenden en hun eisen
Bepaal welke partijen relevant zijn voor het ISMS en wat zij eisen: klanten (vertrouwelijkheid, beschikbaarheid), toezichthouders (AVG, sectorwetgeving), medewerkers, leveranciers en eigenaren. Leg per belanghebbende vast welke eisen je meeneemt in het systeem; deze eisen komen terug in je risicoanalyse en maatregelkeuzes.
4.3: De scope van het ISMS
Documenteer voor welk deel van de organisatie het ISMS geldt: diensten, afdelingen, locaties en systemen. Houd rekening met de context uit 4.1, de eisen uit 4.2 en de raakvlakken met wat buiten de scope valt. De scope-tekst komt letterlijk op het certificaat; klanten lezen hem om te zien of hun dienst gedekt is.
4.4: Het managementsysteem
Richt het ISMS in met de benodigde processen en hun samenhang: risicobeoordeling, documentbeheer, incidentproces, auditcyclus en verbetermanagement. Deze sub-clausule is de kapstok: hij verwijst vooruit naar alles wat in clausule 5 tot en met 10 wordt uitgewerkt.
Waar let de auditor op?
Actualiteit en samenhang. De contextanalyse moet aantoonbaar periodiek herzien worden (koppel dit aan de directiebeoordeling), de scope moet logisch zijn onderbouwd en de eisen van belanghebbenden moeten terugkomen in de risicoanalyse. De klassieke bevinding: een contextdocument uit het certificeringsjaar dat daarna nooit meer is aangeraakt.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Wat is het verschil met clausule 4 van ISO 9001?
De structuur is identiek; alleen de bril verschilt. Bij ISO 27001 kijk je naar factoren en belanghebbenden die relevant zijn voor informatiebeveiliging, zoals dreigingslandschap, beveiligingswetgeving en klanteisen over datavertrouwelijkheid.
Welke documentatie is verplicht in clausule 4?
Alleen de scope (4.3) moet als gedocumenteerde informatie beschikbaar zijn. De contextanalyse en het stakeholderoverzicht zijn niet expliciet verplicht als document, maar zonder vastlegging kun je ze niet aantonen; in de praktijk documenteert iedereen ze.