Een klant eist ISO 27001, en niemand heeft er tijd voor.
Een klant of aanbesteding eist een ISO 27001-certificaat, meestal met een datum erbij, en intern heeft niemand de tijd of de ervaring om dat traject te trekken. Binnen twee dagen heb je een ervaren lead implementer op gesprek die dit al vaker deed. Blijkt het eigenlijk een vaste security officer te zijn die je zoekt, dan werven we die net zo goed, al gaat dat niet in twee dagen.
Het moment
De vraag komt zelden uit de IT-hoek. Hij komt van sales. Een grote klant zet "ISO 27001 vereist" in de leveranciersvoorwaarden, een aanbesteding vraagt om het certificaat bij inschrijving, of een bestaande klant wil bij de contractverlenging weten wanneer jullie gecertificeerd zijn. Vanaf dat moment is het geen security-wens meer maar een commerciële deadline, en dan blijkt dat de IT-manager die het "er wel bij zou doen" daar geen drie dagen per week voor over heeft. Dat is het punt waarop organisaties ons bellen: niet voor een adviesrapport, maar voor iemand die het traject gaat trekken en op tijd bij de audit uitkomt.
Wat de norm van je vraagt
ISO 27001 is geen checklist maar een managementsysteem voor informatiebeveiliging (een ISMS): je bepaalt de scope, doet een risicoanalyse, kiest maatregelen uit de 93 beheersmaatregelen van de 2022-versie, legt vast waarom je sommige niet toepast, en bewijst met een interne audit en een managementreview dat het systeem draait. Daarna volgt de externe audit in twee fasen, en het certificaat is drie jaar geldig met een jaarlijkse surveillance-audit. Sinds 31 oktober 2025 gelden alleen nog certificaten op de 2022-versie; de oude 2013-certificaten zijn toen verlopen of ingetrokken. Hoe lang het duurt hangt af van wat er al ligt; een lead implementer zegt je na de gap-analyse wat realistisch is, en dat is eerlijker dan een datum die we nu zouden roepen.
Wat er nu moet gebeuren
- Scope en gap-analyse. Welke diensten, locaties en systemen vallen eronder, en wat ontbreekt er tussen wat je nu doet en wat de norm vraagt. Werk van de lead implementer, in de eerste weken.
- Risicoanalyse en Verklaring van Toepasselijkheid. Het hart van het systeem: welke risico's, welke maatregelen, en welke bewust niet. Lead implementer, samen met de mensen die de processen kennen.
- Beleid en maatregelen die bij jullie passen. Geen map vol documenten die niemand leest, maar afspraken die in de praktijk werken en bewezen kunnen worden. Lead implementer met de lijn; een security officer voor de dagelijkse uitvoering.
- Interne audit en managementreview. De norm eist dat je jezelf toetst vóór de auditor komt. Een onafhankelijke blik, dus liever niet dezelfde persoon die het heeft gebouwd.
- De certificatie-audit. Fase 1 (documentatie) en fase 2 (werking), met een certificerende instelling die je zelf kiest. Daarna moet iemand het systeem blijven onderhouden, anders is het bij de surveillance-audit weer weg.
Wie dit trekt
Voor het halen van het certificaat zoeken organisaties een ISO 27001 lead implementer: iemand die het systeem opzet, de organisatie meeneemt en bij de audit naast je staat. Voor het beheer erna een security officer of ISO die blijft, en als het bestuur ook mee moet in het verhaal een interim CISO. Welke van die rollen het bij jou wordt hangt af van wat er al ligt en wie er al is; daar beginnen we mee in de intake, en vaak blijkt de vraag anders dan de functietitel. Zoek je iemand voor vast, dan is dat gewoon werving & selectie; tijdelijk is het interim. Allebei doen we al jaren.
Interim: binnen twee dagen, en wat het kost
Snel betekent bij ons niet slordig. We beginnen met een echte intake: welk certificaat, welke datum, wat ligt er al, wie moet deze persoon meekrijgen. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat, want een profiel dat je tijd kost is erger dan een eerlijk nee. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.
Zzp, en de Wet DBA
Een certificaat halen is een opdracht met een kop en een staart: er is een resultaat, de professional bepaalt zelf hoe het werk gebeurt, en er is geen gezagsverhouding zoals bij een werknemer. Dat is precies wat de Belastingdienst wil zien sinds de handhaving op schijnzelfstandigheid in 2025 weer is begonnen, en dus past zzp hier goed, met een modelovereenkomst. Het beheer daarna is een ander verhaal: een security officer die elke week terugkomt en in de lijn werkt, is eigenlijk een functie. Dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.
Vandaag bellen?.
Bel, of plan zelf een moment. Dan weet je binnen een kwartier of we kunnen helpen en wie daarvoor de juiste persoon is.
Bellen: 020 399 1●●●
Nu beschikbaar voor interim.
Een greep uit de interimmers die op dit moment kunnen starten. Anoniem tot je contact opneemt; tarief en beschikbaarheid staan erbij.
NIS2 / Cyberbeveiligingswet · DORA · SOX (ITGC)
- interim · €95k–100k bruto per jaar
ISO 27001 · ISO 27002 · NIS2 / Cyberbeveiligingswet
- Interim / ZZP · €120–130 per uur
ISO 27001 · NIS2 / Cyberbeveiligingswet · AVG/GDPR
- Arnhem-Nijmegen
- interim / zzp · €120–130 per uur
Veelgestelde vragen.
Hoe lang duurt het om ISO 27001 te halen?
Dat hangt af van wat er al ligt: een organisatie met beleid, back-ups en toegangsbeheer op orde is sneller klaar dan een die bij nul begint. Een lead implementer kan na de gap-analyse in de eerste weken zeggen wat realistisch is, en dat is eerlijker dan een datum die wij nu zouden noemen. Wat wel vaststaat: de certificerende instelling plant de audit in twee fasen, dus die moet je op tijd vastleggen.
Hoe snel kunnen jullie iemand leveren?
Voor interim geldt: binnen twee dagen heb je je eerste kandidaat op gesprek; voor een vaste rol duurt het langer, omdat de beste kandidaten zelden actief zoeken en met de juiste argumenten in beweging moeten komen; wat realistisch is, bespreken we bij de intake. We beginnen met een intake over het certificaat, de datum van de klant en wat er al ligt, en zoeken daarna in een netwerk van interimmers die we meestal al jaren kennen. Hebben we niemand die echt past, dan zeggen we dat ook.
Zzp'er, detachering of vast: wat past bij een certificeringstraject?
Het halen van het certificaat is een opdracht met een kop en een staart, en dan past een zzp'er met een modelovereenkomst goed. Het beheer van het managementsysteem daarna is meestal een functie: een security officer die blijft. Dan zeggen we dat en werven we die voor vast. Wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern.
Wat kost een interim ISO 27001 lead implementer?
Dat hangt af van de persoon en de opdracht, en je ziet het tarief van de professional altijd los van onze marge. Die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. De tariefbanden van wie nu beschikbaar is staan anoniem bij de interimmers op deze site.
Onze klant accepteert ook SOC 2 of een ISAE 3402-verklaring. Wat is slimmer?
Dat bepaalt je klant, niet wij. ISO 27001 is een certificaat op een managementsysteem; SOC 2 is een auditrapport op beheersmaatregelen over een periode. Veel Nederlandse klanten vragen om ISO 27001, internationale en Amerikaanse klanten vaker om SOC 2. De lead implementers in ons netwerk hebben meestal met beide gewerkt, dus vertel bij de intake wat de klant precies eist.
Wij hebben nog een certificaat op de 2013-versie. Is dat nog geldig?
Nee. De overgangstermijn naar ISO 27001:2022 liep af op 31 oktober 2025; certificaten op de 2013-versie zijn toen verlopen of ingetrokken. Wie niet op tijd is overgestapt wordt door de certificerende instelling als nieuwe klant behandeld en doorloopt een volledige initiële audit. Ook dat is een traject waar iemand aan moet trekken.
Wat gebeurt er na het certificaat?
Dan moet het managementsysteem blijven draaien: risicoanalyse bijwerken, maatregelen bewijzen, interne audits doen en een jaarlijkse surveillance-audit doorstaan. Dat is doorlopend werk voor een security officer of ISO, soms parttime. Veel organisaties regelen het certificaat met een interimmer en werven daarna iemand voor vast; dat kunnen we in één beweging doen.
Helpt ISO 27001 ook voor NIS2 en de Cyberbeveiligingswet?
Ja, voor een groot deel. De zorgplicht uit de Cyberbeveiligingswet vraagt om een onderbouwde risicoanalyse en aantoonbare maatregelen, en dat is precies wat een ISMS levert. Een certificaat is geen vrijbrief, maar wie ISO 27001 heeft, heeft het fundament staan. Valt jouw organisatie onder de Cbw, kijk dan ook bij onze pagina over NIS2 en de Cyberbeveiligingswet.
Kan dit ook parttime, bijvoorbeeld twee dagen per week?
Ja, een deel van de interimmers in ons netwerk werkt juist op die basis voor meerdere organisaties tegelijk. Bij een parttime opdracht kan onze marge per uur hoger liggen dan bij fulltime; dat zie je vooraf, net als het tarief.
Deadline van de klant in zicht?
Vertel welk certificaat gevraagd wordt en wanneer. Zoek je een interimmer, dan zit je eerste kandidaat binnen twee dagen op gesprek — en hebben we niemand die past, dan zeggen we dat ook.