Juli 2026. ISO 27001 vereist periodieke management review van het ISMS. In surveillance vragen auditors: zagen bestuurders risico’s, incidenten en resources, en namen ze besluiten over acceptatie, investering en prioriteit?
Verplichte input (minimum)
- status acties uit eerdere reviews;
- wijzigingen in context, scope, risico’s, requirements;
- resultaten interne audit, externe audit, CAP;
- incidenten, near-misses, klachten, metrics;
- leveranciers/keten, awareness, continue verbetering.
Output die telt
Notulen met besluiten: welke risico’s geaccepteerd, welke investering goedgekeurd, welke scope-wijziging. Algemene “we zijn voortgang” zonder besluit is onvoldoende. Koppel output aan verbeterregister en budget.
Meer: ISMS en auditvoorbereiding. Voeg NIS2/AVG-items toe waar relevant, één agenda.
Bestuurlijke aanwezigheid: CEO of gedelegeerd bestuur moet zichtbaar, CISO-only review is zwak bewijs voor NIS2 en ISO.
KPI’s die bestuur snapt
Vertaal security-metrics naar business-taal: uitval minuten, open major CAP’s, phishing click-rate, gemiddelde patch-tijd, open ketenrisico’s bij top vendors. Vermijd jargon zonder uitleg.
Acties uit management review moeten in verbeterregister met eigenaar, follow-up next review is verplichte input. Auditors steekproeven op closed loop.
NIS2 en AVG items op dezelfde agenda voorkomen dat bestuur twee verhalen hoort. Eén notulen-set, tags per kader.
Vervolgstappen in uw ISMS
Vertaal dit artikel naar één concrete actie in uw risicoregister of verbeterplan: eigenaar, deadline, gewenst bewijs. Bespreek voortgang in het eerstvolgende management review-overleg, auditors en ketenpartners willen besluiten zien, niet alleen beleidsintentie. Koppel waar mogelijk aan bestaande ISO 27001-, NIS2- of AVG-documentatie zodat u geen parallelle mappen onderhoudt.
Heeft u vragen over scope, certificering of keteneisen? Gebruik onze readiness-overzicht en kennisbank-pagina’s voor diepere guidance. Dit artikel vervangt geen juridisch of auditorisch advies voor uw specifieke situatie.
Deel relevante bevindingen kort met lijnmanagement en inkoop, compliance wordt pas werkbaar wanneer de hele organisatie dezelfde prioriteiten herkent. Herhaal de gekozen actie kwartaal in teamoverleg en update evidence-locaties in uw SoA of controleplan zodat surveillance steekproeven snel te beantwoorden zijn.