Oktober 2026. De overgang naar ISO 27001:2022 is voor iedereen afgerond, dus de controls die toen nieuw waren zijn nu gewoon onderdeel van de audit. Uit de praktijk blijken vijf controls bijzonder vaak tot vervolgvragen te leiden. Dit is wat de auditor wil zien. Een overzicht van alle controls vindt u bij Annex A.
5.23 Informatiebeveiliging voor cloudgebruik
De vraag: welke clouddiensten gebruikt u, wie is verantwoordelijk waarvoor en hoe stopt u ermee? Toon een overzicht van diensten met eigenaar, de verdeling van verantwoordelijkheden (shared responsibility) en een exitaanpak. Een dienst die niet in het overzicht staat, vindt de auditor vaak via de facturen.
5.30 ICT-gereedheid voor bedrijfscontinuïteit
Auditors vragen of uw herstelafspraken (RTO en RPO) zijn afgeleid van wat de business nodig heeft, en of ze zijn getest. Een document met doelen zonder testresultaat is een bevinding in wording. Zie back-up en herstel en bedrijfscontinuïteit.
8.9 Configuratiebeheer
Hoe weet u dat servers, laptops en SaaS-instellingen in de gewenste staat zijn? Toon baselines, een afwijkingenproces en bewijs dat afwijkingen worden opgepakt, bijvoorbeeld uit uw MDM of een configuratiescan.
8.10 Het verwijderen van informatie
Dit is de control waar veel MKB-bedrijven niets over hebben vastgelegd. Auditors willen zien wanneer gegevens worden verwijderd, hoe dat gebeurt en dat het ook geldt voor back-ups en leveranciers. Een bewaartermijnenoverzicht plus een voorbeeld van een uitgevoerde verwijdering is genoeg.
8.16 Monitoringactiviteiten
Wie kijkt naar de logs, waarop wordt gealarmeerd en wat gebeurt er daarna? Auditors vragen naar een recente melding en de afhandeling ervan. Alerts die niemand leest, tellen niet als monitoring.
Zo bereidt u zich voor
Kies per control één eigenaar en één recent voorbeeld. Loop het verhaal door voordat de auditor het doet: wat is het beleid, wie voert het uit en waar staat het bewijs? Meer over de voorbereiding leest u bij auditvoorbereiding.