GAP-analyse op het ISMS
Renco Schoemaker is een ervaren adviseur informatiebeveiliging en privacy. Hij heeft veel praktijkervaring met het ontwerpen en implementeren van ISMS-(deel)processen, waaronder risicomanagement. Hij weet dus welke vragen ertoe doen.
Wat verandert er met de BIO versie 2?
De Baseline Informatiebeveiliging Overheid 2 is eind 2025 vastgesteld in het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO). Voor het ISMS zijn dit de belangrijkste wijzigingen.
ISMS verplicht
Het managementsysteem voor informatiebeveiliging moet conform ISO 27001 zijn.
Juridische grondslag
Via de Cyberbeveiligingswet (Cbw), het Cbb en de Regeling wordt de BIO2 regelgeving.
Nieuwe structuur
De maatregelen volgen de indeling van NEN-EN-ISO/IEC 27002:2022 (nl).
Afgestemd op NIS2
Inhoudelijk in lijn met de NIS2-richtlijn, in het bijzonder artikel 21.
Inzicht geven en implementatie starten
Veel organisaties zien door de bomen (processen) het bos (in control komen) niet meer. Het verplichte ISMS, inclusief het risicomanagementproces, helpt daarbij. Met deze GAP-analyse maakt Renco concreet waaruit een ISMS bestaat en welke onderdelen al wel en nog niet zijn geïmplementeerd.
Dit is geen externe NEN-EN-ISO/IEC 27001-audit. Daarvoor werkt Renco samen met ProCertify. Zoek je iets anders? Kijk dan naar de GAP-analyse op de maatregelen of de volwassenheidsmeting.
Het stappenplan
Vooronderzoek en afbakening
Renco brengt eerst in kaart hoe de organisatie is gestructureerd en hoe de governance voor informatiebeveiliging op hoofdlijnen is ingericht. Ook wordt gekeken wat is uitbesteed aan marktpartijen, SSC's of zuster- en moederorganisaties. Hij vraagt documenten op, minimaal het informatiebeveiligingsbeleid. De afbakening kan de hele organisatie beslaan of een selectie van maximaal drie bedrijfskritieke processen. Op basis hiervan bakent hij de GAP-analyse af en stelt hij een lijst op van te interviewen functies.
Werkvorm: documentenanalyse
Interviews
Renco spreekt de functies uit stap 1 en loopt grofweg de ISMS-vereisten uit NEN-EN-ISO/IEC 27001 door. Vooraf bepaalt hij welke vragen bij welke functie horen, zodat de belasting voor de opdrachtgever beperkt blijft. De analyse beslaat alle vier de stappen van de Deming-cirkel (Plan-Do-Check-Act) en gaat ook in op de verwachte bewijslast per vereiste. Extra aandacht gaat naar risicomanagement, dat onder de Cyberbeveiligingswet een wettelijke verplichting is.
Werkvorm: gestructureerde interviews
Analyse en rapportage
Renco analyseert de uitkomsten en vraagt waar nodig aanvullende documentatie op. Het rapport bevat een visuele weergave per hoofdstuk en een geprioriteerd overzicht van nog te implementeren maatregelen. Op risicomanagement gaat hij dieper in, zodat je zoveel mogelijk handelingsperspectief krijgt. Met best practices en zijn eigen ervaring levert de GAP-analyse directe input voor een ISMS-implementatie.
Oplevering: visueel rapport, prioritering en focus op risicomanagement
Presentatie aan management en bestuur
Management en bestuur spelen een cruciale rol in het functioneren van het ISMS. Daarom vindt Renco een eindpresentatie aan hen noodzakelijk, naast het eindrapport. Dat levert betrokkenheid en eigenaarschap op. Onder de Cyberbeveiligingswet is die bestuurlijke betrokkenheid verplicht. De presentatie wordt vooraf afgestemd met de CISO en vindt bij voorkeur op locatie plaats.
Locatie: bij voorkeur bij de opdrachtgever
Wat levert de GAP-analyse op?
De GAP-analyse is geen volledigheidscheck op de NEN-EN-ISO/IEC 27001-norm. Het doel is de belangrijkste onderwerpen per stap in de PDCA-cyclus uit te diepen. Met de uitkomst stel je vast wat de aandachtspunten zijn voor een goed werkend managementsysteem voor informatiebeveiliging. Risicomanagement speelt daarin een grote rol. Lees er meer over op qeepposted.nl.
Een ISMS GAP-analyse laten uitvoeren?
Neem contact op voor een vrijblijvend kennismakingsgesprek.
Neem contact op