Direct antwoord
Clausule 8 van ISO 27001 is kort maar cruciaal: voer uit wat je gepland hebt. De organisatie moet haar processen operationeel beheersen en wijzigingen managen (8.1), de risicobeoordeling op geplande intervallen en bij grote veranderingen herhalen (8.2) en het risicobehandelplan daadwerkelijk implementeren (8.3). Dit is de brug tussen papier en praktijk.
Clausule 8 van ISO 27001, “Uitvoering”, is de kortste hoofdclausule maar de plek waar het systeem echt moet draaien: alles wat in clausule 6 is gepland, moet hier aantoonbaar in de praktijk gebeuren.
8.1: Operationele planning en beheersing
Voer de processen uit die nodig zijn om aan de beveiligingseisen te voldoen en om het behandelplan te realiseren. Concreet betekent dit: de maatregelen draaien, de afspraken worden nageleefd, wijzigingen worden beheerst doorgevoerd en uitbestede processen worden gemonitord. Houd registraties bij als bewijs dat de processen volgens plan verlopen.
8.2: Periodieke risicobeoordeling
Herhaal de risicobeoordeling op geplande intervallen en wanneer significante wijzigingen dat nodig maken. De resultaten bewaar je als gedocumenteerde informatie. Dit voorkomt dat de risicoanalyse een eenmalige oefening wordt: het dreigingslandschap en de organisatie veranderen, en het ISMS moet meebewegen.
8.3: Risicobehandeling uitvoeren
Implementeer het risicobehandelplan en bewaar het bewijs van de uitvoering. Elke maatregel uit het plan moet terug te vinden zijn in de praktijk: de toegangsrechten zijn daadwerkelijk beperkt, de back-ups draaien en worden getest, de leveranciers zijn beoordeeld.
Waar let de auditor op?
Clausule 8 wordt vrijwel volledig in de praktijk getoetst. De auditor pakt maatregelen uit je behandelplan en VvT en vraagt: laat zien. Systeemschermen, logs, registraties en gesprekken met uitvoerende medewerkers vormen het bewijs. De klassieke bevinding is het gat tussen papier en praktijk: een prachtig behandelplan waarvan de helft van de acties stilletjes is blijven liggen. Een actueel actie-overzicht met eigenaren en deadlines voorkomt dat.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Hoe vaak moet de risicobeoordeling herhaald worden (8.2)?
Op geplande intervallen (gebruikelijk: jaarlijks) én bij significante wijzigingen, zoals een nieuw systeem, een overname, een verhuizing of een groot incident. Leg het interval vast in je risicomethode.
Wat betekent operationele beheersing van uitbestede processen?
Processen die je uitbesteedt (hosting, ontwikkeling, administratie) blijven jouw verantwoordelijkheid. Je beheerst ze via afspraken, leveranciersbeoordelingen en monitoring; de auditor vraagt hoe je daarop stuurt.