#iso27002/2022/NL
---
Standard: ISO 27002:2022 NL
---

+------------------------+----------------------------------------------------+----------------------+----------------------------------------+---------------------+
| **Type**             | **Informatie-**                                  | **Cybersecurity-** | **Operationele**                     | **Beveiligings-** |
|                      |                                                  |                    |                                      |                   |
| **beheersmaatregel** | **beveiligings-**                                | **concepten**      | **capaciteiten**                     | **domeinen**      |
|                        |                                                  |                      |                                        |                     |
|                        | **eigenschappen**                                |                      |                                        |                     |
+========================+====================================================+======================+========================================+=====================+
| #Preventief          | #Vertrouwelijkheid #Integriteit #Beschikbaarheid | #Identificeren     | #Borging_van_infor- matiebeveiliging | #Governance_en\_  |
|                      |                                                    |                    |                                        |                   |
| #Corrigerend         |                                                    | #Beschermen        |                                        | Ecosysteem        |
+------------------------+----------------------------------------------------+----------------------+----------------------------------------+---------------------+

**Beheersmaatregel**

De aanpak van de organisatie ten aanzien van het beheer van informatiebeveiliging en de implementatie ervan, met inbegrip van mensen, processen en technologieën, behoren onafhankelijk en met geplande tussenpozen of zodra zich belangrijke veranderingen voordoen, te worden beoordeeld.

**Doel**

Waarborgen dat de organisatie continu een geschikte, toereikende en doeltreffende aanpak voor het beheer van informatiebeveiliging hanteert.

**Richtlijn**

De organisatie behoort te beschikken over processen om onafhankelijke beoordelingen uit te voeren.

Het management behoort periodieke onafhankelijke beoordelingen te plannen en te initiërene beoordelingen behoren tevens het beoordelen van verbetermogelijkheden en de noodzaak om wijzigingen aan te brengen in de informatiebeveiligingsaanpak te omvatten, met inbegrip van het informatiebeveiligingsbeleid, onderwerpspecifieke beleidsregels en andere beheersmaatregelen.

Dergelijke beoordelingen behoren te worden uitgevoerd door personen met een onafhankelijke positie ten opzichte van het te beoordelen gebied (bijvoor de interne auditor, een onafhankelijke manager of een externe organisatie die gespecialiseerd is in dergelijke beoordelingen)ersonen die deze beoordelingen uitvoeren, behoren te beschikken over de passende competentiem te garanderen dat de persoon die de beoordelingen uitvoert voldoende onafhankelijk is om een beoordeling uit te voeren, behoort hij of zij geen deel uit te maken van de hiërarchie.

De resultaten van de onafhankelijke beoordelingen behoren te worden gerapporteerd aan het management dat de beoordelingen heeft geïnitieerd en, indien van toepassing, de directieeze registraties behoren te worden bewaard.

Indien in de onafhankelijke beoordelingen wordt vastgesteld dat de aanpak en de implementatie van het beheer van informatiebeveiliging van de organisatie niet voldoen [bijvedocumenteerde doelstellingen en eisen zijn niet gehaald of niet in overeenstemming met de koers voor informatiebeveiliging zoals opgenomen in het beleid voor informatiebeveiliging en onderwerpspecifieke beleidsregels (zie 5.1)], behoort het management corrigerende maatregelen te initiëren.




In aanvulling op de periodieke onafhankelijke beoordelingen behoort de organisatie te overwegen onafhankelijke beoordelingen uit te voeren wanneer:

a) wet- en regelgeving die van invloed is op de organisatie, verandert;

b) er zich belangrijke incidenten voordoen;

c) de organisatie een nieuw bedrijf start of een bestaand bedrijf verandert;

d) de organisatie een nieuw product of nieuwe dienst gaat gebruiken of het gebruik van een actueel

gebruikt(e) product of dienst wijzigt;

e) de organisatie de beheersmaatregelen en procedures voor informatiebeveiliging significant wijzigt.

**Overige informatie**

ISO/IEC 27007 en ISO/IEC TS 27008 voorzien in richtlijnen voor het uitvoeren van onafhankelijke beoordelingen.
