4 Auditklare Templates voor ISO 27001 Projectrapportage

Een compliant ISO 27001-projectrapport toont scope en doelstellingen, actuele voortgang van de Statement of Applicability, de status van risicobehandeling met eigenaren, en een bewijsindex die auditors daadwerkelijk kunnen volgen. Het verloopt op een vaste cadans — doorgaans maandelijks naar stuurcomités en doorlopend naar het projectteam — met een uitgebreidere versie die voorafgaand aan Stage 1- en Stage 2-audits wordt voorbereid. De norm die dit alles onderbouwt is ISO/IEC 27001, en tools zoals ISO 27001 kosten- en inspanningscalculators kunnen de SoA-snapshots en Gantt-exports genereren die rechtstreeks in deze rapporten worden verwerkt.

TL;DR:

• De beheersmaatregelstatustabel moet regelmatig worden bijgewerkt met duidelijke bewijsverwijzingen en eigenaarstoewijzingen om hiaten tijdens audits te voorkomen.
• Risico's moeten actief worden beheerd met toegewezen eigenaren, actuele restrisicoscores, behandelstrategieën en beoogde sluitingsdata zodat geen enkel risico wordt over het hoofd gezien.
• De bewijsindex moet worden opgebouwd vóórdat het rapport wordt geschreven, om snelle verwijzing mogelijk te maken en ontbrekende artefacten bij vragen van reviewers te voorkomen.
• Het gebruik van rolgebaseerde toegang en het redigeren van gevoelige informatie helpt rapporten op de juiste wijze te verspreiden zonder commerciële of personeelsgegevens bloot te stellen.
• Het automatiseren van herinneringen voor het vernieuwen van bewijsmateriaal en het bijhouden van één goedgekeurde bewijsindex stroomlijnt de auditvoorbereiding en vermindert verouderde of onvolledige documentatie.

Inhoudsopgave

• Wat hoort er in een ISO 27001-projectrapport?
• Rapporttemplates en voorbeelden die u kunt kopiëren
• Metrieken, KPI's en dashboards voor ISO 27001-rapportage
• Wie heeft welk rapport nodig, en hoe vaak?
• Hoe bereidt u bewijsmateriaal voor dat auditors daadwerkelijk opvragen?
• Veelvoorkomende valkuilen in ISO 27001-projectrapportage
• Hoe ISMS Calculator ISO 27001-projectrapportage ondersteunt
• Projectritme en auditgereedheid in balans brengen
• Begin vandaag met het produceren van auditklare rapporten
• Normen en gidsen die de moeite waard zijn om te bewaren
• Bronnen
• FAQ

Wat hoort er in een ISO 27001-projectrapport?

De meeste rapporten mislukken niet omdat teams geen data hebben, maar omdat de data verspreid staat over vijf verschillende spreadsheets en niemand die heeft geïndexeerd. Auditors en stuurcomités hebben elke keer dezelfde vijf bouwstenen nodig, zo gestructureerd dat een lezer die niet bekend is met uw project de rode draad van risico naar beheersmaatregel naar bewijs kan volgen in minder dan tien minuten.

Managementsamenvatting. Één alinea, drie zinnen. Vermeld de huidige scope, de twee of drie belangrijkste actieve risico's, en de volgende mijlpaal of beslissing waarop de sponsor actie moet ondernemen. Niets anders hoort hier thuis. Als uw managementsamenvatting een tweede alinea vereist, hoort het detail verder naar beneden.

Scope en doelstellingen gekoppeld aan clausules. In plaats van scope in algemene termen te beschrijven, koppelt u deze rechtstreeks aan Clausule 4.3 (scope van het ISMS) en Clausule 6 (doelstellingen en planning). Beheersmaatregel A.5.8 vereist dat informatiebeveiliging wordt behandeld binnen projectmanagement zelf, inclusief risicobeoordelingen die specifiek zijn voor het project en duidelijk gedefinieerde beveiligingsrollen. Een rapport dat de clausule naast elke bewering vermeldt, oogt als bewuste, niet toevallige compliance.

SoA-voortgang. Dit is de sectie die auditors als eerste lezen. Rapporteer voor elke beheersmaatregel de status (niet gestart, in uitvoering, geïmplementeerd, geverifieerd), een eenregelige onderbouwing als de beheersmaatregel als niet van toepassing is aangemerkt, en een verwijzing naar waar het ondersteunende bewijsmateriaal zich bevindt. Een live CSV-export werkt hier beter dan tekst. Het is voor auditors eenvoudiger om een tabel te scannen dan een alinea te ontleden die hetzelfde uitlegt.

Samenvatting risicoregister. Vermeld actieve risico's met behandelbeslissing (accepteren, beperken, overdragen, vermijden), de toegewezen eigenaar, de actuele restrisicoscore en de beoogde sluitingsdatum. Een risico zonder eigenaar is een risico dat niemand daadwerkelijk beheert, en reviewers vallen die leemte snel op.

Bewijsindex. Een enkele referentietabel die elke beheersmaatregel of doelstelling koppelt aan het artefact dat dit bewijst: toegangsbeoordelinglogboeken, trainingsafrondingregistraties, wijzigingstickets, incidentlogboeken. Door rapportageonderdelen rechtstreeks te koppelen aan ISO-clausules vermindert u het aantal vervolgvragen dat auditors tijdens de beoordeling stellen, omdat de verbinding tussen bewering en bewijs al zichtbaar is.

Dit is de structuur in de praktijk:

• Managementsamenvatting (maximaal 3 zinnen)
• Scope en doelstellingen (gekoppeld aan Clausule 4.3 en Clausule 6)
• SoA-voortgangstabel (beheersmaatregel, status, bewijsverwijzing, eigenaar)
• Samenvatting risicoregister (toprisico's, behandeling, restrisicoscore, eigenaar)
• Bewijsindex (artefacttype, locatie, laatst bijgewerkt)

Pro-tip: Bouw de bewijsindex als eerste op, voordat u ook maar één narratieve zin schrijft. Elk ander onderdeel van het rapport moet kunnen terugverwijzen naar die index in plaats van bewijsmateriaal in tekstvorm te beschrijven.

Teams die de SoA-naar-bewijs-koppeling overslaan, ontdekken de leemte doorgaans tijdens Stage 2, wanneer een auditor vraagt naar een specifiek toegangslogboek en niemand meer weet op welke gedeelde schijf het is terechtgekomen.

Rapporttemplates en voorbeelden die u kunt kopiëren

Templates besparen tijd alleen als ze specifiek genoeg zijn om in te vullen zonder een vergadering. Hier zijn vier templates die u direct kunt aanpassen, gebouwd rond de bovenstaande secties.

1. Statusrapport op één pagina

Beperk dit tot één pagina, wekelijks of tweewekelijks verspreid naar het projectteam en maandelijks naar sponsors.

Voorbeeldformulering managementsamenvatting: "De scope omvat het klantdataplatform en de ondersteunende infrastructuur op twee kantoorlocaties. Een aanzienlijk deel van de van toepassing zijnde beheersmaatregelen is inmiddels geïmplementeerd, wat vooruitgang toont ten opzichte van de vorige periode. Twee risico's zijn nog gemarkeerd: toegangsbeoordelingen bij leveranciers lopen achter op schema, en het incident response-draaiboek heeft de goedkeuring van de sponsor nodig vóór Stage 1."

2. Voorbeeld risicorapport

Een risicorapport mag de toprisico's nooit begraven onder procestaal. Toon de vijf die er het meest toe doen, helder en direct.

1. Niet-gepatchte toegangscontroles bij leveranciers. Eigenaar: Hoofd IT Security. Behandeling: beperken via kwartaalmatige toegangsbeoordeling. Restrisico: gemiddeld. Bewijs: toegangsbeoordelingslogboek, Q3-cyclus. Beoogde datum: einde volgende maand.
2. Onvolledig activainventaris. Eigenaar: IT Operations Manager. Behandeling: beperken via uitrol van geautomatiseerde ontdekkingstool. Restrisico: gemiddeld. Bewijs: export van ontdekkingstool, gedateerd. Beoogde datum: over zes weken.
3. Uitstaande gegevensverwerkingsovereenkomsten met derden. Eigenaar: Legal/Compliance. Behandeling: overdragen via contractwijziging. Restrisico: hoog totdat getekend. Bewijs: contracttracker. Beoogde datum: volgend kwartaal.
4. Back-upherstel niet getest. Eigenaar: Infrastructuurverantwoordelijke. Behandeling: beperken via geplande hersteltest. Restrisico: gemiddeld. Bewijs: hersteltestlogboek. Beoogde datum: volgende cyclus.
5. Beveiligingsbewustzijnstraining medewerkers onvolledig. Eigenaar: HR/Compliance. Behandeling: beperken via verplichte module-uitrol. Restrisico: laag tot gemiddeld. Bewijs: LMS-afrondingexport. Beoogde datum: einde van de maand.

Voor teams die deze sectie nog opbouwen, biedt een methodologiegids voor risicobeoordeling een uitleg over het consistent scoren van kans en impact, zodat restrisicoscores in alle rapporten dezelfde betekenis hebben. Inzicht in de veelvoorkomende categorieën projectrisico die bij ISMS-implementaties steeds terugkeren, helpt u ook om voor de hand liggende risico's niet over het hoofd te zien.

3. SoA-voortgangstabel

4. Checklist bewijspakket vóór de audit

Controleer vóór Stage 1 of u beschikt over: een definitieve SoA met onderbouwingen voor elke uitsluiting, een gedocumenteerde risicobeoordelingmethodologie, een ingevuld risicoregister, notulen van managementreviews, en resultaten van interne audits. Voeg vóór Stage 2 toe: operationele logboeken die minimaal één volledige cyclus beslaan, afgeronde toegangsbeoordelingen en afgesloten correctieve maatregelen met bewijs van herstel. Stage 1 controleert of documentatie bestaat; Stage 2 verifieert of de beheersmaatregelen daadwerkelijk functioneren, dus laat het pakket voor Stage 2 niet uitsluitend steunen op beleidsdocumenten.

Metrieken, KPI's en dashboards voor ISO 27001-rapportage

Cijfers vertellen auditors en directieleden in vijf seconden meer dan drie alinea's tekst. De onderstaande KPI's zijn de KPI's die daadwerkelijk voorspellen of een certificeringsdatum zal uitlopen.

• SoA-dekkingspercentage. Beheersmaatregelen die als geïmplementeerd of geverifieerd zijn aangemerkt, gedeeld door het totaal aantal van toepassing zijnde beheersmaatregelen. Dit is het ene getal dat sponsors als eerste opvragen.
• Bewijsvolledigheidspercentage. Beheersmaatregelen met een geldige bewijsverwijzing, gedeeld door beheersmaatregelen die als geïmplementeerd zijn aangemerkt. Een hoog SoA-dekkingsgetal met een laag bewijsvolledigheidspercentage is een waarschuwingssignaal, geen succes.
• Openstaande non-conformiteiten. Aantal uit interne audits of managementreviews, uitgesplitst naar kleine en grote non-conformiteiten.
• Gemiddelde tijd voor het sluiten van correctieve maatregelen. Dagen van identificatie van de non-conformiteit tot geverifieerde sluiting. Trage sluitingstijden zijn een van de meest voorkomende bevindingen bij Stage 2.
• Trainingsafrondingpercentage. Medewerkers die de verplichte beveiligingsbewustzijnstraining hebben afgerond, gedeeld door het totale aantal in-scope medewerkers.

Dashboards moeten per doelgroep verschillen in plaats van driemaal dezelfde weergave te herhalen. Een directiedashboard heeft één pagina nodig: algemeen gereedheidspercentage, budgetstatus en één risico-indicator. Een stuurcomité-dashboard heeft een mijlpalentijdlijn naast een risicoheatmap nodig die kans tegen impact uitzet. Een auditpakketweergave heeft iets anders nodig: een tabel met bewijslinks en datums van de laatste wijziging, en een wijzigingsgeschiedenis zodat een auditor kan zien dat het dossier niet is gewijzigd nadat de interne audit het heeft beoordeeld.

Pro-tip: Stel KPI-doelstellingen in op basis van volwassenheidsfase, niet op basis van wensdenken. Een project van zes maanden vergelijken met een project van vijf jaar op dezelfde doellijn demotiveert het team alleen maar.

Wie heeft welk rapport nodig, en hoe vaak?

De rapportagecadans moet aansluiten op hoe snel een stakeholder op nieuwe informatie kan handelen, niet op een willekeurige kalendergewoonte. Een wekelijkse cadans voor interne projectteams en maandelijks voor stuurcomités en sponsors is het patroon dat in de praktijk het vaakst voorkomt, aangevuld met mijlpaalgetriggerde rapporten wanneer een fase wordt afgesloten en een uitgebreider pre-auditrapport dat ongeveer vier tot zes weken voor Stage 1 of Stage 2 wordt uitgegeven.

Directieleden willen het éénpagina-statusrapport: algehele gezondheid, budget en één risicovlag. Sponsors willen dat plus de mijlpalentijdlijn en elke beslissing die zij moeten nemen. Technische beheersmaatregeleigenaren hebben de SoA-tabel gefilterd op hun eigen beheersmaatregelen nodig, niet het volledige ISMS. Externe auditors hebben de bewijsindex en het SoA-voortgangsrapport nodig, apart verpakt van interne risicobesprekingen die mogelijk gevoelige commerciële details bevatten.

Distributie verdient dezelfde zorgvuldigheid als inhoud. Gebruik rolgebaseerde toegang zodat een beheersmaatregeleigenaar alleen zijn eigen deel ziet, redigeer commercieel gevoelige leveranciersprijzen of personeelsgegevens vóór bredere verspreiding, en deel met externe auditors via tijdgebonden links in plaats van permanente maptoegang. Richtlijnen voor het structureren van projectcommunicatie en kwaliteitsmanagement bevestigen hetzelfde principe: stem de boodschap en het kanaal af op wie er daadwerkelijk op gaat handelen.

Hoe bereidt u bewijsmateriaal voor dat auditors daadwerkelijk opvragen?

Auditors willen uw projectplan niet. Ze willen de resultaten die het plan heeft opgeleverd, zo georganiseerd dat een buitenstaander ze snel kan vinden. Hier volgt een werkbare volgorde voor het samenstellen van dat pakket.

1. Haal de deliverablelijst van de routekaart op. Uw implementatieroutekaart bevat al deliverables, eigenaren en datums. Behandel die deliverablekolom als uw conceptbewijsindex in plaats van een nieuw document van scratch te beginnen.
2. Verzamel de meest waardevolle artefacten. Risicoregisterextracts die relevant zijn voor de auditperiode, SoA-vermeldingen met hun ingevulde bewijslinks, incidentlogboeken, afgeronde toegangsbeoordelingen, trainingsafrondingexports en afgesloten wijzigingstickets.
3. Structureer mappen op clausule of domein, niet op datum. Auditors denken in termen van beheersmaatregelen en clausules, dus noem mappen "A.8 Activabeheer" of "Clausule 9 Prestatiebeoordeling" in plaats van "uploads maart."
4. Indexeer alles in één overzichtsblad. Één rij per artefact, met beheersmaatregelID, bestandslocatie en datum van laatste wijziging.
5. Bepaal het juiste tijdvenster voor verzameling. Verzamel minimaal drie maanden aan operationele logboeken, één volledige toegangsbeoordelingscyclus en een afgeronde interne audit voordat u Stage 2 inplant.

Stage 1-audits controleren of documentatie zoals de SoA en de risicometodologie aanwezig is; Stage 2 neemt steekproeven uit bewijsmateriaal om te bevestigen dat de beheersmaatregelen daadwerkelijk werken, en georganiseerd bewijsmateriaal verkort direct de duur van die steekproefname. Aanvullende richtlijnen in ISO/IEC 27007 beschrijven hoe auditors doorgaans steekproeven selecteren over functies heen, wat nuttige context biedt bij het bepalen hoe diep uw bewijspakket in een bepaald gebied moet gaan. Als u in een sterk gereguleerde sector werkt, toont een sectorspecifieke auditvoorbereidinggids hoe de bewijslat verschuift wanneer toezichthouders meekijken naast het certificeringsorgaan.

Veelvoorkomende valkuilen in ISO 27001-projectrapportage

Drie faalpatronen duiken op in vrijwel elk ISMS-project dat struikelt bij de audit, en geen van hen vereist een herontwerp om te verhelpen.

Ontbrekende traceerbaarheid tussen bewering en bewijs. Een rapport stelt "toegangsbeoordelingen zijn actueel" zonder enige onderbouwing. Oplossing: elke bewering in de SoA-tabel krijgt een eenregelige bewijsverwijzing, zonder uitzondering.

Zwakke onderbouwing voor uitgesloten beheersmaatregelen. Auditors signaleren SoA-uitsluitingen die als "niet van toepassing" zijn aangemerkt zonder redenering. Oplossing: vereis een eenzinse onderbouwing voor elke uitsluiting, beoordeeld door de complianceverantwoordelijke vóór het rapport wordt verspreid.

Verouderd bewijsmateriaal. Een trainingslogboek van acht maanden geleden bewijst geen actuele compliance. Oplossing: voeg een datum van laatste wijziging toe aan elke bewijsverwijzing en stel automatische herinneringen in 30 dagen voordat bewijsmateriaal vernieuwd moet worden.

• Wijs één bewijsindexeigenaar aan die aftekent vóór elke distributieroonde.
• Gebruik geautomatiseerde herinneringen gekoppeld aan vervaldatums van bewijsmateriaal in plaats van op geheugen te vertrouwen.
• Pas consistente redigeerrichtlijnen toe zodat gevoelige velden nooit verschijnen in extern gedeelde versies.

Pro-tip: Houd het project agiel door uw werkaantekeningen te scheiden van uw auditklare dossier. Brainstorm en itereer vrij in uw werkdocumenten, maar promoveer een deliverable pas naar de bewijsindex wanneer deze afgerond en gedateerd is. Het vermengen van conceptdenken met formeel bewijsmateriaal is hoe verouderd of half-afgewerkt materiaal voor een auditor terechtkomt.

Hoe ISMS Calculator ISO 27001-projectrapportage ondersteunt

Deze rapporten elke cyclus helemaal van nul af aan handmatig opbouwen is waar de meeste teams tijd verliezen. Een gratis gereedheidschecktool geeft u een eerste gereedheidsscore en een basislijnsnapshot van waar uw SoA waarschijnlijk staat, wat het eerste datapunt wordt in uw allereerste statusrapport.

Vanaf daar sluiten de exports rechtstreeks aan op de bovenstaande templates:

• De SoA-voortgangstracker exporteert naar de beheersmaatregelstatustabel vrijwel zonder bewerking.
• Gantt-chartexports vertalen zich naar de mijlpalensectie van uw statusrapport en stuurcomité-dashboard.
• Volwassenheidsbenchmarks over de vier Annex A-beheersmaatregelthema's geven u een vergelijkingspunt voor het stellen van realistische KPI-doelstellingen per volwassenheidsfase.
• PDF-rapportexports produceren een deelbare, boardklare versie zonder handmatige opmaak.
• Opgeslagen en vergeleken schattingen stellen u in staat om budget- en tijdlijnbewegingen over rapportagecycli te tonen, niet slechts één momentopname.

Dit vervangt geen oordeelsvorming. U bepaalt nog steeds welke risico's het meest relevant zijn en hoe u de managementsamenvatting formuleert. Maar wanneer de onderliggende data al gestructureerd is, wordt het rapport een kwestie van curatie in plaats van een haastige poging om te reconstrueren wat er het afgelopen kwartaal is gebeurd.

Projectritme en auditgereedheid in balans brengen

De spanning in ISO 27001-rapportage is niet technisch, maar cultureel. Projectteams willen snel bewegen en itereren; auditors willen een vast, traceerbaar dossier. De fout die ik het vaakst zie, is die twee als tegenstrijdige doelen behandelen terwijl ze dat niet zijn. Een rapport dat beknopt en clausule-gekoppeld is, doorloopt een stuurcomitébeoordeling sneller dan een lang narratief rapport, en het is ook precies wat een auditor wil zien. Beknoptheid en traceerbaarheid staan niet op gespannen voet. Vage samenvattingen en ongeorganiseerd bewijsmateriaal zijn de werkelijke obstakels voor snelheid.

Voordat een rapport de deur uitgaat, loop ik een korte checklist langs: past de managementsamenvatting in drie zinnen, heeft elke SoA-vermelding een bewijsverwijzing, heeft elk risico een benoemde eigenaar, en is elk bewijsartefact gedateerd binnen het vernieuwingsvenster? Als een antwoord nee is, is het rapport niet klaar, hoe goed de tekst ook leest.

— Martin

Begin vandaag met het produceren van auditklare rapporten

De meeste teams besteden hun eerste weken aan een ISMS-project aan het gissen naar scope en budget voordat ze ooit een bruikbaar rapport produceren. De gratis gereedheidscheck van 2 minuten van ISMS Calculator geeft u op dag één een gereedheidsscore en een vroege SoA-snapshot, zodat uw eerste statusrapport echte cijfers heeft in plaats van plaatshouders.

Vanaf daar is de workflow eenvoudig. Voer de gereedheidsbeoordeling uit om uw volwassenheidsbasislijn over alle vier de ISO/IEC 27001:2022-beheersmaatregelthema's te verkrijgen, genereer een Gantt-gebaseerde tijdlijn met de ISO 27001-kostencalculator, en exporteer beide naar de hierboven behandelde templates. Als een sponsor uw budgetcijfers ter discussie stelt, legt de pagina met de kostmodelmethodologie precies uit hoe die schattingen zijn opgebouwd, zodat u niet een getal hoeft te verdedigen dat u niet kunt onderbouwen. Voer de check uit, exporteer uw eerste SoA-snapshot en bouw uw volgende statusrapport op basis van echte data in plaats van een leeg template.

Normen en gidsen die de moeite waard zijn om te bewaren

Voor de norm zelf blijft ISO/IEC 27001 de primaire referentie voor ISMS-vereisten. ISO/IEC 27007 behandelt hoe ISMS-audits zijn gestructureerd en wat auditors steekproeven nemen. Voor documentatiespecificaties breekt de certificeringsauditdocumentgids af welke artefacten auditors het zwaarst wegen.

Aan de projectmanagementkant helpt een implementatieroutekaarttemplate bij het vertalen van deliverables naar een bruikbare bewijsindex, en een gids voor realistische implementatietijdlijnen stelt verwachtingen voor mijlpalenplanning. Als uw projectrapportage overlapt met incidentafhandeling, is een partner incident response-template een nuttige referentie voor het structureren van die specifieke bewijsstroom.

Bronnen

• Information Security Management Systems: A practical guide for SMEs — ISO
• Control 5.8 Information security in project management — Advisera
• ISO 27001 Audit Process: What to Expect at Every Stage — SecurityComplianceGuide
• ISO 27001 ISMS Project Plan and Implementation Roadmap Template (Excel) — SecurityScientist

FAQ

Wat is ISO 27001 in eenvoudige bewoordingen?

ISO 27001 is een internationale norm voor informatiebeveiligingsbeheersystemen, wat betekent dat het vereisten stelt voor het identificeren van beveiligingsrisico's en het invoeren van beheersmaatregelen om deze te beheren. Certificering bewijst aan klanten en toezichthouders dat een organisatie een gestructureerd, continu verbeterend beveiligingsprogramma uitvoert in plaats van een ad hoc aanpak.

Wat kost een ISO 27001-audit?

Auditkosten zijn sterk afhankelijk van de bedrijfsgrootte, het aantal medewerkers binnen scope en de auditduur, aangezien certificeringsorganen auditdagen berekenen op basis van personeelsbezetting en complexiteit. In plaats van één enkel bedrag te noemen dat niet bij uw situatie past, geeft het uitvoeren van een op maat gemaakte schatting via een tool zoals de ISO 27001-kostencalculator een veel nauwkeuriger startpunt.

Is NIST equivalent aan ISO 27001?

Niet precies. NIST-frameworks, zoals het NIST Cybersecurity Framework, zijn vrijwillige richtlijndocumenten die veel worden gebruikt in de Verenigde Staten, terwijl ISO 27001 een certificeerbare internationale norm is met een formeel audit- en certificeringsproces. Veel organisaties koppelen beheersmaatregelen tussen de twee, maar NIST-afstemming leidt niet automatisch tot ISO 27001-certificering.

Is ISO 27001-certificering verplicht?

ISO 27001-certificering is in de meeste rechtsgebieden niet wettelijk verplicht, maar veel contracten — met name met grote zakelijke klanten, overheidsinstanties of in gereguleerde sectoren — vereisen het of iets gelijkwaardigs voordat een leveranciersrelatie van start gaat. Organisaties beschouwen het steeds vaker als een concurrentieel vereiste in plaats van een wettelijke.

Hoe vaak moeten ISO 27001-projectrapporten worden uitgegeven?

Een wekelijkse cadans voor het interne projectteam en maandelijkse rapportage aan stuurcomités en sponsors werkt voor de meeste actieve implementatieprojecten, aangevuld met mijlpaalgetriggerde rapporten en een uitgebreidere versie die vier tot zes weken voor een Stage 1- of Stage 2-audit wordt voorbereid. Na certificering verschuift de rapportage doorgaans naar de doorlopende managementreviewcyclus die door de norm wordt vereist, in plaats van een projectcadans.

Aanbevolen

• Download kant-en-klare ISO 27001-rapporttemplates: 2 bewerkbare bestanden, 3 voorbeeldbevindingen
• 12-weeks ISO 27001-projectplan: kopieerbare week-voor-week deliverables
• 18 kernbeleiden voor een auditklare ISO 27001-beleidsset
• Voorbeeld intern auditrapport: templates die u nu kunt gebruiken