Werkwijze · Directiebeoordeling
Directiebeoordeling volgens ISO 27001: de input staat klaar, de besluiten worden werk
Voor een directiebeoordeling gaat vaak een week op aan verzamelen: auditresultaten, afwijkingen, doelstellingen, metingen en de stand van de risico's, uit vijf verschillende bestanden. ISO/IEC 27001 vraagt in clausule 9.3 dat de directie het ISMS met geplande tussenpozen beoordeelt, op vaste onderwerpen. In IRMA staat die input al klaar, rechtstreeks uit uw registers.
Vanaf € 149 per maand. Proefomgeving op aanvraag.
Wat de directie volgens 9.3 moet beoordelen
Clausule 9.3.2 noemt de onderwerpen die in elke directiebeoordeling aan bod komen: de stand van de acties uit eerdere beoordelingen, veranderingen in de context en bij belanghebbenden, de prestaties van het ISMS met afwijkingen, metingen, auditresultaten en de doelstellingen, de uitkomsten van de risicobeoordeling en de kansen op verbetering. Clausule 9.3.3 vraagt dat de besluiten over verbetering en over wijzigingen in het ISMS worden vastgelegd.
De input komt uit de registers, niet uit een presentatie
IRMA stelt de input samen uit de registers die u toch al bijhoudt. Per onderwerp ziet u de stand: hoeveel acties uit de vorige beoordeling nog open zijn of verlopen, hoeveel contextpunten en belanghebbenden er zijn en wat er nog openstaat, hoeveel audits zijn afgerond en hoeveel bevindingen open zijn, hoe de doelstellingen ervoor staan, welke metingen buiten de tolerantie vallen en welke risico's buiten de risicobereidheid. Bij het vastleggen van de beoordeling bewaart IRMA de input zoals die op dat moment was. Zo kunt u later laten zien waarop de directie haar besluiten nam.
Besluiten en acties vastleggen
Per beoordeling legt u de datum vast en de status: gepland, gehouden of afgerond. U legt de besluiten vast, per onderwerp, met een eigenaar en een datum. De acties voor continue verbetering krijgen elk een eigenaar, een termijn en een status. Uitkomsten die om een verbetering, extra middelen of een wijziging van het ISMS vragen, legt u als zodanig vast.
Van besluit naar taak en verbetering
Een besluit dat in een verslag blijft staan, gebeurt niet. In IRMA zet u de acties met één handeling om in taken bij de eigenaar. Uitkomsten die u markeert voor het verbeteringenregister, komen daar als verbetering terecht. Bij de volgende directiebeoordeling ziet u vervolgens vanzelf welke acties zijn afgerond en welke nog open zijn: dat is weer de eerste input.
Een conceptverslag om mee te beginnen
Op basis van de input en de uitkomsten stelt IRMA een conceptverslag van de directiebeoordeling op. Dat concept komt als werkversie in de documentenstroom, gemarkeerd als niet geverifieerd. U past het aan en stelt het vast. Zo begint de secretaris van het overleg bij een volledig verslag in plaats van bij een leeg document.
Stap voor stap
Zo doet u het in IRMA.
- 01Plan de directiebeoordelingLeg de datum vast; de beoordeling staat op gepland.
- 02Bekijk de inputNeem de input uit de registers door met de deelnemers, per onderwerp uit clausule 9.3.2.
- 03Leg besluiten en acties vastNoteer besluiten, acties en uitkomsten, elk met een eigenaar en een termijn.
- 04Zet de acties doorMaak van de acties taken en van de verbeterpunten verbeteringen in het register.
- 05Stel het verslag vastWerk het conceptverslag bij en stel het vast in de documentenstroom.
Normen en wetgeving
- ISO/IEC 27001:2022, clausule 9.3 (directiebeoordeling)
- ISO/IEC 27001:2022, clausule 9.3.2 (input) en 9.3.3 (resultaten)
- ISO/IEC 27001:2022, clausule 10.1 (continue verbetering)
- NEN 7510
- NIS2 en Cyberbeveiligingswet, toezicht door het bestuur
Vragen
Veelgestelde vragen.
Nee. IRMA stelt de input samen uit de registers: acties uit eerdere beoordelingen, context, belanghebbenden, audits, afwijkingen, doelstellingen, metingen, risico's en verbeteringen.
Ja. Bij het vastleggen van een beoordeling bewaart IRMA de input zoals die toen was. Latere wijzigingen in de registers veranderen dat beeld niet.
IRMA stelt een conceptverslag op uit de input en de uitkomsten. Het concept is gemarkeerd als niet geverifieerd; u past het aan en stelt het vast.
Verder lezen
Hoort hierbij.
- Voor wieBestuurderHet overzicht dat het bestuur onder NIS2 nodig heeft: risico's boven de risicobereidheid, open bevindingen, de directiebeoordeling en rapportages uit het eigen register.
- WerkwijzenInterne auditEen auditprogramma, een interne audit die opzet, bestaan en werking per maatregel nagaat, en bevindingen die doorlopen naar afwijking, verbetering en taak.
- WerkwijzenJaarplanningEen jaarkalender met documentreviews, certificeringsaudits en de geldigheid van certificaten, met reviewtaken en terugkerende taken die IRMA op tijd klaarzet.
- WerkwijzenRisicoanalyseInventariseer risico's met de mensen die ze kennen, scoor bruto en netto, leg risicobereidheid met reden vast en herbeoordeel zonder de historie te verliezen.
- FunctiesDocumentbeheer en reviewcyclusBeleid en procedures met versiebeheer, eigenaar, zichtbaarheid, reviewcyclus en kennisname, en een vastgelegd besluit bij elke publicatie.
Plan een demo
Begin bij een leeg register.
In een demo laten wij zien hoe IRMA uw risico's, maatregelen en bewijs in één keten brengt, gebaseerd op uw eigen documenten. Daarna zetten wij op aanvraag een proefomgeving klaar met voorbeeldinhoud van uw eigen organisatie. Vanaf € 149 per maand.
Verwerking & naleving
Prudai is gecertificeerd volgens ISO/IEC 27001:2022 en NEN 7510-1:2024