De management review-agenda die voldoet aan Clausule 9.3 bestaat uit drie onderdelen: een getimede volgorde, een checklist van de vereiste Clausule 9.3-inputs en een beslissingen-en-actielog met benoemde eigenaren en deadlines. Deze structuur werkt voor een standaard kwartaalsessie van 60 tot 90 minuten en schaalt mee naar een langere jaarlijkse review zonder dat de basisopbouw wijzigt. Hieronder lees je hoe je die agenda bouwt en uitvoert.
Samenvatting:
- Koppel elk agendapunt aan de bijbehorende Clausule 9.3.2-input, voeg gedateerd bewijs toe voor alle vereiste inputs en leg een beslissing vast in plaats van alleen een discussie.
- Houd kwartaalreviews met een uitgebreidere jaarlijkse sessie, en plan een ad-hocvergadering na een groot incident, een significante scopewijziging of een gefaald auditbevinding.
- Stuur de genummerde agenda en het bewijspakket minimaal drie werkdagen van tevoren; zorg dat leidinggevenden met budgetbevoegdheid, de ISMS-eigenaar en relevante afdelingshoofden aanwezig zijn.
- Geef elke actie een benoemde eigenaar, deadline, acceptatiecriteria, bewijslink en een onafhankelijke verificateur; werk één centraal register maandelijks bij en voer afsluitingsbewijs door naar volgende sessies.
- Als klimaatgerelateerde risico's relevant zijn voor jouw organisatie, documenteer deze dan onder wijzigingen in relevante interne of externe kwesties conform de amendement van 2024.
Inhoudsopgave
- Wat Clausule 9.3 vereist: doel, toepassingsgebied en definities
- Wat er veranderde in ISO/IEC 27001:2022 en het amendement
- Vereiste management review-inputs: een auditeerbare checklist
- Auditklaar agenda-sjabloon voor de management review
- De review voorbereiden en uitvoeren: deelnemers, materialen en rollen
- Resultaten vastleggen en het actielog
- Opvolging: bewaken, verifiëren en acties afsluiten
- Wat auditors controleren en bevindingen die je wilt vermijden
- Hoe ISMS Calculator de vergadervoorbereiding versnelt
- Praktisch perspectief: maak reviews traceerbaar, geen ritueel
- ISMS Calculator: stel uw auditklaar vergaderpakket samen
- FAQ
- Bronnen
Wat Clausule 9.3 vereist: doel, toepassingsgebied en definities
Clausule 9.3 van ISO/IEC 27001:2022 is bedoeld om het topmanagement periodiek te laten bevestigen dat het informatiebeveiligingsmanagementsysteem geschikt, adequaat en effectief blijft. Het is geen statusupdate. Het is een beslissingsmoment waarop het management het ISMS bijstuurt of bevestigt dat het op koers ligt, op basis van bewijs in plaats van aannames.
"Topmanagement" zijn doorgaans de mensen die budget kunnen toewijzen, beleid kunnen wijzigen en medewerkers kunnen herindelen: een algemeen directeur, een operationeel directeur, een chief information security officer of een vergelijkbare groep afhankelijk van de omvang van de organisatie. In een klein bedrijf kunnen dat twee personen zijn. In een grotere organisatie kan het een stuurgroep zijn. Wie er ook aanwezig is, moet ter plekke beslissingen kunnen nemen over middelen en beleidswijzigingen; anders wordt de review een rapportageoefening zonder slagkracht.
De clausule werkt via een eenvoudige keten:
- Inputs worden verzameld (auditresultaten, incidentdata, risicostatus, meetwaarden, feedback).
- Het topmanagement beoordeelt die inputs aan de hand van de ISMS-doelstellingen.
- Beslissingen en acties volgen, elk met een eigenaar.
Het overslaan van een schakel in die keten is de meest voorkomende reden waarom organisaties tijdens audits niet voldoen aan deze clausule.
Wat er veranderde in ISO/IEC 27001:2022 en het amendement
De editie van 2022 heeft de taal rondom continue verbetering aangescherpt en de management review explicieter gekoppeld aan uitkomsten van risicobehandeling en beslissingen over middelen. Een aantal verschuivingen zijn relevant voor hoe je uw reviewpakket samenstelt:
- Inputs leggen nu meer nadruk op de status van acties uit vorige reviews, niet alleen op nieuwe bevindingen.
- De norm verwacht een zichtbare koppeling tussen reviewuitkomsten en wijzigingen in middelen of beleid, niet alleen een lijst van aandachtspunten.
- ISO/IEC 27001:2022/Amd 1:2024 voegt klimaatoverwegingen toe aan de norm, die kunnen opduiken als een 'wijziging in externe en interne kwesties'-input waar klimaatgerelateerde risico's relevant zijn voor uw organisatie.
Wanneer uw review raakt aan milieu- of toeleveringsketenrisico's, biedt het amendement een verdedigbare reden om dit als formele input te documenteren in plaats van als informele kanttekening. Gebruik de officiële normentekst van ISO als gezaghebbende bron voor exacte formuleringen, ook ten opzichte van samenvattingen zoals deze.
Vereiste management review-inputs: een auditeerbare checklist
Clausule 9.3.2 somt specifieke inputs op die het topmanagement in overweging moet nemen. Behandel dit als een checklist die u letterlijk afvinkt in uw vergaderpakket, want een auditor zoekt naar elk punt bij naam, niet bij implicatie.
| Vereiste input (Clausule 9.3.2) | Voorbeeld van bewijs | Hoe te presenteren |
|---|---|---|
| Status van acties uit vorige reviews | Afgesloten, openstaande en achterstallige actiepunten met datums | Geannoteerd extract uit het actielog |
| Wijzigingen in externe en interne kwesties die relevant zijn voor het ISMS | Nieuwe regelgeving, marktverschuiving, klimaatgerelateerde blootstelling | Samenvatting van één pagina met datumgestempelde bronnen |
| Wijzigingen in behoeften en verwachtingen van belanghebbenden | Beveiligingsvragenlijsten van klanten, updates van toezichthouders | Korte opsomming met bron en datum |
| Feedback over ISMS-prestaties, inclusief trends in non-conformiteiten en corrigerende maatregelen | Interne auditbevindingen, non-conformiteitslog | Trendgrafiek over de laatste twee tot vier reviewcycli |
| Resultaten van monitoring en meting | KPI-dashboard, incidentaantallen, patchcompliancepercentage | Enkel dashboardscherm of tabel |
| Auditresultaten (intern en extern) | Samenvatting interne audit, bevindingen certificerende instelling | Auditoverzicht van één pagina met openstaande punten gemarkeerd |
| Vervulling van informatiebeveiligingsdoelstellingen | Status per doelstelling | Eenvoudige statustabel: op schema, risico, gemist |
| Feedback van belanghebbenden | Enquêtereacties, klachten, feedback van partners | Korte beschrijving met representatieve voorbeelden |
| Resultaten van risicoanalyse en status van het risicobehandelingsplan | Momentopname risicoregister, voortgang behandelingsplan | Extract uit het register gefilterd op hoge en middelgrote risico's |
| Mogelijkheden voor continue verbetering | Suggestielog, lessen geleerd uit incidenten | Geprioriteerde lijst met voorgestelde vervolgstap |
De minimaal acceptabele versie van deze tabel is een opsommingspunt per rubriek met een datum en een bron. Betere praktijk vervangt opsommingspunten door een grafiek of dashboardschermafbeelding waar een trend belangrijker is dan één enkel getal, omdat topmanagement sneller reageert op een lijn die de verkeerde kant opgaat dan op een alinea die dit beschrijft.
Pro Tip: Houd elke input op één pagina per onderwerp. Als een input twee pagina's nodig heeft om te verduidelijken, hoort het in een bijlage, niet in het hoofdpakket.
Auditklaar agenda-sjabloon voor de management review
Nummer elk agendapunt zodat het overeenkomt met de Clausule 9.3.2-input die het dekt. Die nummering stelt een auditor in staat om een regel in de notulen rechtstreeks te herleiden tot de eis in de norm, wat de snelste manier is om een management review-bevinding te sluiten tijdens certificerings- of surveillance-audits.
Een getimede kwartaalvergadering van 75 minuten:
- Opening en beoordeling van vorige acties (10 minuten): Clausule 9.3.2(a). Facilitator vraagt: welke acties zijn afgesloten, welke zijn achterstallig, en waarom.
- Wijzigingen in externe en interne context (10 minuten): Clausule 9.3.2(b). Facilitator vraagt: wat is er dit kwartaal veranderd dat invloed heeft op ons risicobeeld.
- Behoeften en feedback van belanghebbenden (10 minuten): Clausule 9.3.2(c) en (h). Facilitator vraagt: heeft een klant, toezichthouder of partner een nieuwe verwachting gesteld.
- ISMS-prestaties en auditresultaten (15 minuten): Clausule 9.3.2(d) en (f). Facilitator vraagt: wat laten de trendlijnen zien, en wat heeft de laatste audit opgeleverd.
- Status risicoanalyse en risicobehandelingsplan (15 minuten): Clausule 9.3.2(g). Facilitator vraagt: welke risico's zijn verschoven, en ligt het behandelingsplan op schema.
- Doelstellingen en verbetermogelijkheden (10 minuten): Clausule 9.3.2(e) en (i). Facilitator vraagt: behalen we onze gestelde doelstellingen, en wat zouden we hierna kunnen proberen.
- Beslissingen, middelen en actietoewijzing (5 minuten): Clausule 9.3.3-outputs. Facilitator vraagt: wie is eigenaar van elke nieuwe actie, en voor wanneer.
Breid voor een jaarlijkse review de punten 2, 4 en 5 uit naar 20 tot 25 minuten elk en voeg een apart slot toe voor een jaaroverzicht van trends, omdat twaalf maanden aan data meer ruimte vraagt dan een kwartaalupdate.
Pro Tip: Stuur de genummerde agenda mee met het voorleespakket zodat deelnemers al bij aankomst weten welke slides bij welke clausulenummers horen, in plaats van tijdens de vergadering te vragen wat elke sectie betekent.
De review voorbereiden en uitvoeren: deelnemers, materialen en rollen
De vergadering slaagt of mislukt voordat ze begint, afhankelijk van wie er aanwezig is en wat ze al hebben gelezen.
- Deelnemers: topmanagement met budgetbevoegdheid, de informatiebeveiligingsmanager of ISMS-eigenaar, en elk afdelingshoofd waarvan het aandachtsgebied openstaande risico-items heeft.
- Voorleespakket: de genummerde agenda, de inputchecklist met bijgevoegd bewijs, interne auditresultaten, status van het actielog en een samenvatting van het risicoregister op één pagina.
- Frequentie: kwartaallijks voor de meeste organisaties, met een uitgebreidere jaarlijkse sessie; voeg een ad-hocreview toe na een groot incident, een significante scopewijziging of een gefaald auditbevinding.
- Voorzitter: doorgaans de ISMS-eigenaar of beveiligingsmanager, verantwoordelijk voor tijdsbewaking en voor het zekerstellen dat elk genummerd punt leidt tot een beslissing, niet alleen een discussie.
- Notulist: legt beslissingen en acties in realtime vast, niet achteraf uit het geheugen.
- Actie-eigenaar: de benoemde persoon die verantwoordelijk is voor het afsluiten van elke actie, onderscheiden van degene die de actie heeft aangedragen.
- Bewijs-eigenaar: de persoon die het bewijs verzamelt en bijvoegt dat een actie daadwerkelijk is afgesloten, wat vaak iemand anders is dan de actie-eigenaar.
Het pakket minimaal drie werkdagen van tevoren rondsturen stelt deelnemers in staat met vragen te komen, in plaats van tijdens de vergadering voor het eerst te lezen.
Resultaten vastleggen en het actielog
Notulen die voldoen aan Clausule 9.3.3 moeten de genomen beslissingen tonen, niet alleen de besproken onderwerpen. Leg minimaal vast: elk genummerd agendapunt, de input die het betrof, de genomen beslissing of conclusie, en elke daaruit voortkomende actie met een eigenaar en een deadline.
- Schrijf acties met vier onderdelen: eigenaar, deadline, acceptatiecriteria en een link naar het bewijs dat de afsluiting aantoont.
- Sla notulen en het actielog op in een versiebeheerde locatie, met een datum en versienummer op elke revisie.
- Een minimale registratie vermeldt de beslissing in één regel. Een aanbevolen registratie voegt de bewijsreferentie toe en verwijst terug naar het specifieke Clausule 9.3.2-inputnummer.
- Bewaar één centraal exemplaar van het actielog in plaats van één per vergadering, zodat de actiehistorie zichtbaar is over reviewcycli heen.
Praktijkrichtlijnen over de structuur van management reviews bevelen aan om agendapunten rechtstreeks te koppelen aan de inputlijst van de norm, wat precies de traceerbaarheid is die auditors zoeken wanneer ze een steekproef van notulen trekken en u vragen te laten zien waar een beslissing vandaan komt.
Statistiek: ISO/IEC 27001 beschouwt de management review als een kernelement voor continue verbetering, wat betekent dat de review zelf auditeerbaar bewijs is dat uw ISMS actief wordt beheerd en niet slechts een formaliteit is om op te bergen.
Opvolging: bewaken, verifiëren en acties afsluiten
Een actielog is alleen van waarde als acties daadwerkelijk worden afgesloten en die afsluiting aantoonbaar is.
- Bouw het register met kolommen voor eigenaar, deadline, status, verificatiemethode en bewijslink, zodat niets wordt afgesloten zonder bijgevoegd bewijs.
- Wijs een verificateur aan die niet de actie-eigenaar is, want zelfverificatie is een veelvoorkomend zwak punt dat auditors aanvlagen.
- Definieer wat "afgesloten" betekent voordat de actie begint: een geslaagde test, een nieuwe meetdrempel of een goedgekeurd document, niet slechts een statuswijziging.
- Werk het register bij op een vaste frequentie, zoals maandelijks, zodat items niet onaangeroerd blijven tussen kwartaalreviews.
- Open elke volgende review met de status van eerdere acties, waarbij afgesloten items worden weergegeven met hun bewijslink in plaats van alleen een vinkje.
Deze cyclus — voorbereiding leidt tot uitvoering, uitvoering leidt tot documentatie, documentatie leidt tot opvolging — is de structuur waaromheen praktijkgidsen en checklists de management review consequent opbouwen, omdat het de volgorde is die auditors verwachten te zien bewezen.
Wat auditors controleren en bevindingen die je wilt vermijden
Auditors trekken doorgaans een steekproef van eerdere reviews en controleren telkens dezelfde punten.
- Aanwezigheid van alle vereiste Clausule 9.3.2-inputs, niet alleen de gemakkelijke.
- Duidelijk bewijs dat een beslissing is genomen, niet alleen dat een onderwerp is besproken.
- Opvolgingsbewijs dat eerdere acties zijn gevolgd tot afsluiting, met datums.
- Zichtbare tekenen van continue verbetering in plaats van dezelfde bevindingen die herhaaldelijk zonder aanpak terugkeren.
Veelvoorkomende non-conformiteiten zijn terug te voeren op dunne notulen die discussies samenvatten zonder een beslissing vast te leggen, ontbrekende bewijslinks waardoor de afsluiting van een actie niet verifieerbaar is, en onduidelijk eigenaarschap waarbij twee personen aannemen dat de ander verantwoordelijk is. Commissierichtlijnen over het auditeren van risicobeheerprocessen merken op dat organisaties hun eigen risicometodologie mogen kiezen, maar dat de review nog steeds bewijs moet laten zien dat de gekozen methode daadwerkelijk is toegepast en beoordeeld.
Pro Tip: Trek vóór een externe audit uw laatste twee reviewpakketten door en bevestig dat elke Clausule 9.3.2-input een gedateerd bewijsitem heeft bijgevoegd. Gaps die nu worden gevonden zijn goedkoop te herstellen; gaps die een auditor vindt, zijn een bevinding.
Als uw organisatie basistechnische beheersmaatregelen naast beleidswerk uitvoert, is een praktische checklist voor basisbeveiliging van kleine bedrijven een nuttige kruiscontrole voor het soort dagelijks beheersbewijsmateriaal dat uiteindelijk uw prestatiemetrieken-input voedt.
Hoe ISMS Calculator de vergadervoorbereiding versnelt
Verschillende reviewinputs zijn eenvoudiger te produceren met gestructureerde hulpmiddelen dan met een leeg spreadsheet.
- Een gereedheidssnapshot van de gratis 2-minutencheck geeft u snel een basisniveau dat u als bewijs van de huidige ISMS-status kunt bijvoegen.
- De ISO 27001 Gereedheidsassessment produceert volwassenheidsscores over de vier Annex A-controlethema's, nuttig voor de prestatie- en doelstellingen-inputs.
- Exporteerbare grafieken en Gantt-tijdlijnen uit de assessment werken rechtstreeks als het dashboard- of trendgrafiekformaat waarop auditors goed reageren.
- Een eenvoudige workflow: voer de mini-assessment uit, exporteer het resulterende rapport, voeg het toe aan het vergaderpakket en werk vervolgens het actielog bij met eventuele gaps die naar voren komen.
Elke export bevat een datum en een gedocumenteerde methodologie, wat van belang is wanneer een bewijs-eigenaar maanden later moet uitleggen waar een getal vandaan komt.
Praktisch perspectief: maak reviews traceerbaar, geen ritueel
Elk agendapunt nummeren zodat het overeenkomt met de bijbehorende Clausule 9.3.2-input is de hoogst waardevolle gewoonte in dit hele proces. Het verandert een vage vergadering in een document dat een auditor regel voor regel kan natrekken, en het dwingt de voorzitter op te merken wanneer een input twee kwartalen achter elkaar stil is overgeslagen.
Reviews mislukken niet door gebrek aan enthousiasme maar door het ontbreken van beslissingen: een groep die risicotrends bespreekt zonder een eigenaar te benoemen, heeft niets geproduceerd wat een auditor kan crediteren. Schaal de frequentie af op de volwassenheid van uw organisatie — een klein team kan volstaan met een beknopte kwartaalcheck-in, terwijl een grotere organisatie de uitgebreidere jaarlijkse versie nodig heeft — maar laat het format nooit de discipline vervangen van opschrijven wie wat doet en wanneer.
— Martin
ISMS Calculator: stel uw auditklaar vergaderpakket samen
We hebben onze hulpmiddelen gebouwd rondom de realiteit dat het meeste werk bij het voorbereiden van een management review bestaat uit het verzamelen en opmaken van bewijs, niet uit het bedenken van wat te zeggen. Onze ISO 27001 Gereedheidsassessment scoort uw ISMS over de vier Annex A-controlethema's en exporteert een rapport dat u direct in uw vergaderpakket kunt plaatsen. Onze gratis 2-minutencheck vereist geen aanmelding en geeft u direct een gereedheidssnapshot om als bewijs bij te voegen vóór uw volgende review.
Als het budgetteren voor herstelwerkzaamheden deel uitmaakt van uw volgende agendapunt, geeft onze ISO 27001 Kostencalculator u een op maat gemaakte schatting op basis van uw bedrijfsomvang, sector en huidige volwassenheid, met aanpasbare aannames die u kunt betwisten en bijstellen. Voer vandaag een mini-assessment uit en loop uw volgende review in met bewijs al bij de hand.
FAQ
Wat is het doel van een ISO 27001 management review?
Het doel is dat het topmanagement bevestigt dat het informatiebeveiligingsmanagementsysteem geschikt, adequaat en effectief blijft, en beslissingen neemt over middelen of beleidswijzigingen op basis van gedocumenteerd bewijs conform Clausule 9.3 van ISO/IEC 27001:2022. Het is een beslissingsmoment, geen statusrapport.
Hoe vaak moeten we een ISO 27001 management review houden?
De meeste organisaties houden een kwartaallijkse review met een uitgebreidere jaarlijkse sessie, aangevuld met een ad-hocreview na een groot incident of significante scopewijziging. De juiste frequentie hangt af van de omvang van de organisatie en de ISMS-volwassenheid, niet van een vaste regel in de norm.
Welke inputs moet een management review dekken conform Clausule 9.3.2?
Clausule 9.3.2 vereist inputs waaronder de status van eerdere acties, wijzigingen in interne en externe kwesties, feedback van belanghebbenden, ISMS-prestatietrends, auditresultaten, doelstellingsstatus en de status van de risicoanalyse en het risicobehandelingsplan. Elke input heeft gedocumenteerd, gedateerd bewijs nodig in plaats van een mondelinge update.
Wat moeten notulen van de management review bevatten om auditors tevreden te stellen?
Notulen moeten elk agendapunt koppelen aan de Clausule 9.3.2-input die het betreft, de genomen beslissing, en elke daaruit voortkomende actie met een benoemde eigenaar, deadline en bewijslink. Auditors zoeken specifiek naar traceerbaarheid tussen inputs, beslissingen en opvolgingsafsluiting.
Kan ISMS Calculator helpen bij het voorbereiden van bewijs voor een management review?
Ja, onze ISO 27001 Gereedheidsassessment produceert volwassenheidsscores en exporteerbare rapporten over de vier Annex A-controlethema's die kunnen dienen als prestatie- en doelstellingsbewijs in een reviewpakket. Onze gratis 2-minutencheck genereert ook direct een gereedheidssnapshot zonder aanmelding.
Bronnen
- ISO/IEC 27001:2022 - Informatiebeveiligingsmanagementsystemen
- ISO/IEC JTC 1/SC 27 N 23202 (commissierichtlijnen over het auditeren van risicobeheerprocessen)