Elke nieuwe norm voelt als een nieuw project. Dat hoeft niet, want het meeste werk heb je al gedaan.
Je hebt ISO 27001 nodig omdat een grote klant erom vraagt. Een jaar later wil een aanbesteding ISO 9001 zien. Dan treedt de Cyberbeveiligingswet in werking en vraagt je zorgklant naar NEN 7510. Voor je het weet, draai je vier compliance-programma's naast elkaar. Elk met een eigen spreadsheet, een eigen risicoanalyse en een net iets andere versie van hetzelfde beleid.
Dat is geen uitzondering. Het is de dagelijkse realiteit voor groeiende organisaties. Toch is het meeste van dat werk dubbelop.
De normen lijken meer op elkaar dan je denkt
Leg ISO 27001 en ISO 9001 naast elkaar en je herkent direct dezelfde structuur. Beide vereisen betrokkenheid van de directie en het management. Beide vragen om documentbeheer, interne audits, directiebeoordelingen en corrigerende maatregelen. Dat is geen toeval, want alle moderne ISO-managementsysteemnormen delen dezelfde high-level structure.
De overlap in de daadwerkelijke eisen is net zo groot. Voor ISO 27001, NEN 7510, NIS2 en ISO 42001 heb je een risicoanalyse nodig. Een MFA-maatregel telt mee voor informatiebeveiliging, maar ook voor de AVG en voor de zorgplicht onder de Cyberbeveiligingswet. Bewustwordingstraining komt in bijna elk raamwerk terug.
Als je elke norm als een apart project behandelt, doe je dat werk keer op keer opnieuw. Erger nog: de versies gaan uit elkaar lopen. Het beleid dat de ISO 27001-auditor zag, is niet langer hetzelfde als het beleid dat op tafel ligt bij de NEN 7510-audit.
De raamwerken waar je vandaag de dag mee te maken krijgt
De normen waar Nederlandse organisaties het vaakst mee te maken krijgen, zijn:
• ISO 27001 (informatiebeveiliging) en ISO 27701 (privacy)
• ISO 9001 (kwaliteit), ISO 14001 (milieu) en ISO 45001 (arbo)
• NEN 7510 voor de zorg en BIO voor de overheid
• NIS2, in Nederland geïmplementeerd via de Cyberbeveiligingswet
• AVG/GDPR
• ISO 42001 voor AI-managementsystemen
• SOC 2 voor organisaties met Amerikaanse klanten
Daarbovenop stellen klanten, investeerders en brancheorganisaties steeds vaker hun eigen eisen. Dit zijn geen officiële normen, maar je moet wel aantonen dat je eraan voldoet.
Stop met dubbel werk en benut de overlap tussen normen
Een geïntegreerd managementsysteem draait om één principe: je richt een beheersmaatregel één keer in en koppelt deze aan elke eis waaraan hij voldoet. Het bewijsmateriaal dat je verzamelt, zoals een MFA-rapport, een trainingslogboek of de notulen van een directiebeoordeling, telt vervolgens mee voor elke norm waar het relevant is.
Dat bespaart meer dan je misschien verwacht. Onze ervaring is dat organisaties die een tweede norm toevoegen binnen hetzelfde systeem, 30 tot 40% aan implementatie-inspanning besparen in vergelijking met een apart programma. Het grootste voordeel zit vaak in de consistentie: één versie van de waarheid, en dat is de versie die je aan elke auditor laat zien.
Een nieuwe versie van een norm is geen nieuwe start
Normen veranderen. Bij de overgang naar ISO 27001:2022 moesten veel organisaties hun volledige set beheersmaatregelen opnieuw doorlopen, inclusief de onderdelen die niet waren gewijzigd. Als u uw normen in één systeem beheert, hoeft u alleen te kijken naar wat er daadwerkelijk nieuw is. De rest blijft staan.
Hoe ISOPlanner™ dit aanpakt
ISOPlanner™ ondersteunt meer dan 40 raamwerken in één omgeving, en u kunt ook uw eigen raamwerken toevoegen. Overlap wordt automatisch afgehandeld: één beheersmaatregel voldoet aan de eisen van meerdere normen tegelijk, en bewijslast is zichtbaar op alle relevante plekken. Wanneer er een nieuwe versie van een norm uitkomt, wordt alles wat niet is veranderd automatisch overgenomen. Dochterondernemingen of locaties krijgen elk hun eigen set normen, binnen hetzelfde systeem. Omdat het platform in Microsoft 365 draait, werkt uw team gewoon vanuit SharePoint, Teams en Outlook.
