Belangrijkste ISO 27001 MSP-vragen: bewijs, reikwijdte en bijlage A-controles uitgelegd

Waarom zijn ISO 27001-vragen aan MSP's nu belangrijker dan ooit?

ISO 27001-vragen aan MSP's zijn nu belangrijker dan ooit, omdat hun controlemechanismen direct van invloed zijn op de risico's en de blootstelling aan regelgeving van uw organisatie. Beveiligingsteams binnen bedrijven, zoals CISO's, beveiligingsmanagers, leveranciersrisico-eigenaren en externe risicomanagers, zijn nu afhankelijk van managed service providers voor kritieke activiteiten. Een gebrekkige ISO 27001-afstemming bij een provider wordt dus al snel een probleem. Door scherpere ISO 27001-vragen te stellen, krijgt u inzicht in hoe controlemechanismen in de praktijk dagelijks werken en kunt u aan besturen, auditcommissies en toezichthouders aantonen dat outsourcing uw beveiligingspositie versterkt in plaats van verwatert.

Toen u ISO 27001 intern voor het eerst implementeerde, richtte u zich waarschijnlijk op uw eigen datacenters, applicaties en teams. Tegenwoordig bevindt een aanzienlijk deel van dat netwerk zich mogelijk in de omgeving van een MSP of op cloudplatforms die zij beheren. Dit kan een beheerd Security Operations Center zijn dat al uw logs analyseert, of een beheerd identiteitsplatform dat single sign-on voor elke medewerker ondersteunt. De norm houdt u nog steeds verantwoordelijk voor informatiebeveiligingsrisico's, zelfs wanneer andere organisaties belangrijke controles namens u uitvoeren. ISO 27001 maakt dit expliciet door te eisen dat u uw organisatiecontext definieert, informatiebeveiligingsrisico's beoordeelt en uitbestede processen beheert in plaats van de verantwoordelijkheid volledig over te dragen aan leveranciers, zoals benadrukt in kernoverzichten van de ISO 27000-familie, zoals de inleiding van de ISO 27000-serie. Daarom is "Bent u ISO 27001-gecertificeerd?" het zwakste mogelijke startpunt geworden in plaats van een afdoende antwoord.

Uit het rapport 'State of Information Security 2025' blijkt dat klanten steeds vaker van leveranciers verwachten dat zij zich houden aan formele kaders zoals ISO 27001, ISO 27701, AVG, Cyber Essentials en SOC 2, in plaats van dat zij vertrouwen op algemene goede praktijken.

Vertrouwen groeit wanneer u ziet hoe controles elke dag plaatsvinden, niet alleen op het moment van certificering.

U moet begrijpen of het Information Security Management System (ISMS) van een MSP daadwerkelijk de diensten dekt die u van plan bent te gebruiken, hoe zij gedeelde verantwoordelijkheid interpreteren en hoe zij de voortdurende controle aantonen. Elk van deze thema's moet terugkomen in de vragen die u aan elke provider stelt en in het verhaal dat u later intern vertelt waarom een bepaalde MSP acceptabel is. Dit artikel biedt algemene informatie ter ondersteuning van deze gesprekken; het is geen juridisch of regelgevend advies. U dient altijd samen te werken met uw interne bestuursorganen en gekwalificeerde adviseurs bij het nemen van definitieve beslissingen.

Hoe outsourcing uw ISO 27001-risicolandschap heeft veranderd

Uw risicolandschap veranderde op het moment dat u een externe leverancier onderdelen van uw technologiestack liet beheren. U hebt de verantwoording niet uitbesteed, maar activiteiten uitbesteed, dus ISO 27001 verwacht nog steeds dat u de controle behoudt over hoe de beveiliging wordt beheerd.

De meeste organisaties gaven aan dat ze in het afgelopen jaar te maken hadden gehad met minimaal één beveiligingsincident gerelateerd aan een derde partij of leverancier.

ISO 27001 verwacht dat u:

Begrijp de interne en externe kwesties die van invloed zijn op uw ISMS.
Definieer de belanghebbende partijen, waaronder MSP's, en hun vereisten.
Beheer uitbestede processen die van invloed zijn op de informatiebeveiliging.

Wanneer kerndiensten zoals identiteit, infrastructuur, monitoring of incidentrespons bij MSP's liggen, worden die uitbestede processen centraal in uw risicobeheerplan. Als u niet kunt beschrijven hoe de controlemechanismen van een MSP uw eigen Annex A-controlemechanismen ondersteunen, kunt u een belangrijke blinde vlek creëren die waarschijnlijk uw bestuur, auditors, grote klanten en toezichthouders zorgen baart. De richtlijnen voor de toeleveringsketen van nationale cybersecurityautoriteiten, waaronder bronnen van CISA, benadrukken eveneens onbeheerde controlemechanismen van derden als een aanzienlijk governancerisico. Een praktische volgende stap is ervoor te zorgen dat elke strategische MSP expliciet in uw risicoregister wordt vermeld, met links naar de controlemechanismen waarop u vertrouwt voor de uitvoering ervan.

Vanuit het perspectief van de raad van bestuur gaan de vragen nu minder over de certificering en meer over de vraag of uw uitgebreide ecosysteem zich gedraagt als een coherent, goed beheerd ISMS. Daarom moet uw MSP-due diligence eruitzien als een verlengstuk van uw interne ISO 27001-werkzaamheden, en niet als een aparte inkoopchecklist of een eenmalige beveiligingsvragenlijst. Als u kunt aantonen dat de door MSP's beheerde controles zijn ingebed in uw risicoregister, Statement of Applicability (SoA) en managementreviews, wordt het veel gemakkelijker om outsourcingbeslissingen te verdedigen wanneer deze onder druk staan.

Waarom ben je gecertificeerd? is niet genoeg

Een certificaat geeft aan dat een certificeringsinstantie op bepaalde tijdstippen heeft vastgesteld dat een ISMS voldoet aan een bepaalde scope. Het geeft niet aan welke van uw diensten binnen die scope vallen, hoe de controlemaatregelen van Bijlage A zijn geïmplementeerd of of deze controlemaatregelen nog steeds effectief werken.

Het zegt ook niets over hoe de verantwoordelijkheden verdeeld zijn tussen provider en klant, waar veel incidenten en auditbevindingen naar voren komen. Als je stopt bij 'Bent u gecertificeerd?', leer je vrijwel niets over de vraag of de MSP-controles wel geschikt zijn voor jouw risicoprofiel. Sterke beveiligingsteams van bedrijven beschouwen het certificaat nu als toegangsbewijs, niet als de oplossing.

Het echte werk begint met vragen als:

Hoe sluit uw ISMS-scope aan op de services en regio's die we daadwerkelijk gaan gebruiken?
Laat ons zien hoe uw controlemaatregelen voor deze service aansluiten op Bijlage A in ISO 27001:2022.
Welk actueel bewijs kunt u delen dat deze controles blijven werken?

Een gedeeld ISMS-platform zoals ISMS.online kan u helpen deze vragen en antwoorden op één plek te bewaren en verspreide e-mailthreads en pdf's om te zetten in gestructureerde, herhaalbare assurance die eenvoudig te hergebruiken is voor uw raad van bestuur, auditcommissie, leveranciersrisicoforum en toezichthouders. Welke tool u ook kiest, door de antwoorden centraal vast te leggen, wordt het veel eenvoudiger om in de loop der tijd een consistente assurance-laag voor externe partijen te behouden.

Demo boeken

Wat vraagt ISO 27001:2022 nu eigenlijk van beheerde aanbieders?

ISO 27001:2022 vereist dat beheerde providers een risicogebaseerd ISMS hanteren dat duidelijk de diensten, locaties en processen bestrijkt die van invloed zijn op uw informatie, en dat zij hun keuze voor beheersmaatregelen volgens Bijlage A rechtvaardigen. Voor u als klant betekent dit vragen over de reikwijdte, risicobeoordeling, de selectie van beheersmaatregelen en hoe deze zich verhouden tot de specifieke diensten die de MSP voor u uitvoert.

Veel aanbieders praten nog steeds over ISO 27001 alsof het slechts een bibliotheek van maatregelen is. In werkelijkheid definieert de norm een volledig managementsysteem dat de organisatorische context moet begrijpen, risico's moet beoordelen, behandeling moet plannen, maatregelen moet nemen, prestaties moet monitoren en in de loop van de tijd moet verbeteren. De herziening van 2022 heeft dat beeld aangescherpt, Bijlage A gemoderniseerd en onderwerpen zoals threat intelligence, preventie van datalekken en cloudspecifieke risico's belicht die nu vaak voorkomen in due diligence-discussies van ondernemingen. Officiële beschrijvingen van ISO/IEC 27001:2022, waaronder het normoverzicht op de ISO-website, benadrukken deze structurele updates en de extra focus op moderne dreigings- en cloudscenario's.

Visueel: een eenvoudige kaart die ISO 27001-clausules koppelt aan de MSP-services die van invloed zijn op uw gegevens.

De ISO 27001:2022-elementen die het meest van invloed zijn op MSP's

Wanneer u met MSP's werkt, zijn verschillende onderdelen van ISO 27001:2022 bijzonder relevant en komen naar voren in de manier waarop ze uw vragen beantwoorden.

Artikelen 4-6 (context, leiderschap, planning): – De MSP moet een ISMS-scope definiëren die duidelijk de services, datacenters en ondersteunende systemen omvat die worden gebruikt om managed services te leveren. Ze moeten ook aantonen dat het management, en niet alleen de operationele staf, verantwoordelijk is voor informatiebeveiliging.

Artikelen 6–8 (risicobeoordeling en -behandeling): – een gecertificeerde MSP moet uitleggen hoe risico's voor klantgegevens, servicebeschikbaarheid en wettelijke verplichtingen worden geïdentificeerd, geëvalueerd en behandeld. Hun risicoregisters en behandelplannen moeten duidelijk de basis vormen voor de selectie van controlemaatregelen voor uw type service.

Bijlage A-controles (93 controles in vier thema's): – in de editie van 2022 bevat Bijlage A 93 controles gegroepeerd in organisatorisch, mensen, fysiek en technologisch Thema's, zoals beschreven in openbare samenvattingen van ISO/IEC 27001:2022 van normalisatie-instellingen en overzichten zoals de BSI ISO 27001-pagina over informatiebeveiliging en het ISO/IEC 27001-artikel. Voor MSP's is toegangscontrole, logging en monitoring, operationele beveiliging, leveranciersrelaties en bedrijfscontinuïteit van groot belang, en u wilt weten welke hiervan zijn geïmplementeerd voor de diensten die u afneemt.

Verklaring van toepasbaarheid (SoA): – De SoA registreert welke Annex A-controles van toepassing zijn, hoe ze worden geïmplementeerd en waarom ze worden uitgesloten. Voor u is dit de belangrijkste kaart om de controleomgeving van de MSP te begrijpen en ongebruikelijke uitsluitingen voor uw type service te ontdekken.

Sterkere aanbieders kunnen elk van deze gebieden concreet bespreken, met behulp van echte processen en artefacten. Zwakkere aanbieders blijven vaak hangen bij slogans zoals "in lijn met best practices" zonder die claims te koppelen aan specifieke clausules, controles of diensten. Vraag uzelf tijdens het luisteren af of u hun uitleg in heldere, niet-technische taal aan uw eigen managementteam zou kunnen navertellen.

Wat dit betekent voor uw due diligence-vragen

Wanneer u de norm vertaalt naar vragen voor MSP's, vraagt u hen in feite om u door hun ISMS te leiden, rekening houdend met uw diensten. In de praktijk betekent dit dat u verder gaat dan algemene 'ja/nee'-antwoorden en hen uitnodigt om te beschrijven hoe hun managementsysteem werkt.

Nuttige vragen zijn onder meer:

Omvang: “Beschrijf de omvang van het ISMS en bevestig hoe het de specifieke services, omgevingen en regio's bestrijkt die u voor ons zult gebruiken.”
Risico: “Hoe beïnvloeden klantspecifieke risico’s uw risicoregister en behandelplannen?”
Controles: “Welke Annex A-controles zijn geïmplementeerd voor onze dienstverlening, en waar zijn jullie nog in ontwikkeling?”
Operatie: “Hoe bewaak je de effectiviteit van de controle en hoe reageer je als iets niet werkt zoals bedoeld?”

De transitietijdlijn van 2013 tot 2022 is een andere nuttige invalshoek. Als een MSP nog gecertificeerd is volgens de oudere versie, vraag dan naar hun transitieplan, mijlpalen en welke wijzigingen ze verwachten om de dekking te beheersen. Branchespecifieke transitiehandleidingen voor ISO/IEC 27001:2022, waaronder blogs van aanbieders zoals OneTrust, adviseren vaak om gedocumenteerde transitieplannen en uitleg over de impact van de herziene maatregelen op diensten op te vragen, in plaats van ervan uit te gaan dat de nieuwe eisen al zijn gedekt.

Sterke MSP's tonen doorgaans een duidelijk, tijdgebonden plan met verantwoordelijkheids- en communicatiepunten. Zwakke MSP's reageren vaak vaag of zeggen dat ze er "aan werken" zonder concrete stappen.

Een praktische vervolgstap is om de antwoorden vast te leggen in een standaardsjabloon en deze te koppelen aan uw eigen risicoregister en SoA-items. Zo kunt u ze opnieuw bekijken tijdens managementreviews en leveranciersrisicoforums in plaats van ze te behandelen als eenmalige documenten die na de inkoop worden ingediend.

ISMS.online geeft u een voorsprong van 81% vanaf het moment dat u inlogt

ISO 27001 eenvoudig gemaakt

Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.

Start

Hoe gaat u van generieke besturingselementen over naar servicespecifieke Annex A-toewijzingen?

U gaat van generieke garanties naar servicespecifieke garanties door te eisen dat er een duidelijke mapping is die voor elke relevante Annex A-controle laat zien wie verantwoordelijk is, hoe deze wordt geïmplementeerd en welk bewijs dit ondersteunt voor de specifieke dienst die u inkoopt. Deze mapping verandert ISO 27001 van een abstract gemak in een concrete, controleerbare weergave van hoe uw risico's worden behandeld in een MSP-omgeving.

De meeste aanbieders kunnen in het algemeen spreken over "sterke toegangscontrole" of "veilige bedrijfsvoering". Minder aanbieders kunnen u, voor een specifieke beheerde dienst, precies laten zien hoe die uitspraken zich verhouden tot de genoemde Annex A-controles, gedocumenteerde procedures en daadwerkelijke monitoring. Daarop moet u zich richten als u materiaal wilt dat u kunt hergebruiken met auditors, inkoop en interne stakeholders.

Hoe een goede servicespecifieke controlemapping eruitziet

Een sterk mappingdocument voor één beheerde service bevat doorgaans een duidelijke beschrijving van de service, de Annex A-controles die van belang zijn voor die service, en hoe elke controle wordt beheerd en onderbouwd. De nadruk ligt op specificiteit in plaats van slogans.

Een sterk kaartdocument bevat doorgaans:

Een duidelijke servicebeschrijving en hoe deze past binnen de ISMS-scope van de MSP.
Een lijst met relevante Bijlage A-controles, gefilterd op de controles die daadwerkelijk van belang zijn voor die service.
Voor elke controle:
Of het is eigendom van de provider, klanteigendomof gedeeld.
Een korte beschrijving van hoe de controle is geïmplementeerd.
Verwijzingen naar bewijsmateriaal zoals beleid, procedures, logboeken, tickets en rapporten.

Een vereenvoudigd voorbeeld zou er zo uit kunnen zien:

Controle thema	Sterk antwoord van MSP	Antwoord met rode vlag
Toegangscontrole	"We beheren rolgebaseerde toegang voor deze service, met goedkeuringen, periodieke beoordelingen en centrale logging. U beheert uw gebruikersrollen; wij beheren de platformtoegang."	“De toegang is beperkt indien nodig; details zijn intern.”
Logboekregistratie en monitoring	Alle beheeracties in uw omgeving worden geregistreerd, gedurende een bepaalde periode bewaard en door ons operationele team beoordeeld aan de hand van duidelijke escalatieregels.	“We hebben logs, maar we bekijken ze alleen als er iets misgaat.”
Bedrijfscontinuïteit	“Deze service wordt gedekt door herstelprocedures, getest op afgesproken tijdstippen, met gedefinieerde hersteltijd- en herstelpuntdoelstellingen.”	“Onze datacenterprovider garandeert uptime; wij vertrouwen op hen.”
Incidentdetectie en -respons	"We hebben een SOC dat uw service bewaakt, met playbooks, op ernst gebaseerde SLA's en gezamenlijke incidentbeoordelingen voor gebeurtenissen die uw gegevens beïnvloeden."	"We laten het u weten als we iets ongewoons zien."

Beveiligingsteams die veel MSP's beoordelen, zien vaak dezelfde patronen: sterkere aanbieders geven antwoorden zoals die in de linkerkolom, met eigenaarschap, specifieke mechanismen en tijdgebonden tests. Zwakkere aanbieders bevinden zich in de rechterkolom, met vage garanties, een te grote afhankelijkheid van onderleveranciers en weinig bewijs dat iemand herstel of respons test. Zodra u een paar voorbeelden hebt, wordt het veel gemakkelijker om aan uw interne stakeholders uit te leggen hoe 'goed' eruitziet.

Hoe u servicespecifieke toewijzingen kunt aanvragen en gebruiken

Bij offerteaanvragen of due diligence-gesprekken kunt u dit vertalen naar expliciete verzoeken zoals:

“Voor deze beheerde service moet u een controlematrix verstrekken waarin uw controles worden gekoppeld aan ISO 27001:2022 Bijlage A, met verantwoordelijkheden en bewijs voor elke controle.”
'Wanneer er sprake is van gedeelde controle, beschrijf dan wat u doet en wat u van ons verwacht, inclusief eventuele configuratie- of procesvereisten aan onze kant.'
Leg uit hoe u deze mapping actueel houdt wanneer u de service wijzigt of wanneer ISO 27001 wordt bijgewerkt.

Zodra u de mapping hebt, behandelt u deze als een werkdocument in plaats van een statische bijlage. Uw beveiligingsarchitecten kunnen deze afstemmen op uw eigen controlekader en hiaten identificeren. Uw GRC- en leveranciersrisicoteams kunnen ernaar verwijzen in risicoregisters, SoA-vermeldingen en leveranciersrisicorapporten. Uw operationele teams en service-eigenaarsteams kunnen precies zien wat ze moeten configureren of monitoren om uw kant van de gedeelde controles te ondersteunen.

Na verloop van tijd kunt u de structuur van deze toewijzingen voor alle MSP's standaardiseren. Op dat moment wordt het gebruik van een gedeeld ISMS-platform zoals ISMS.online waardevol, omdat u hiermee deze matrices centraal kunt opslaan, vergelijken en onderhouden in plaats van ze te moeten beheren in losse spreadsheets of e-mailarchieven. Zelfs als u met eenvoudige documenten begint, is het afspreken van een gemeenschappelijk format een praktische eerste stap.

Hoe moet u het ISO 27001-certificaat en de SoA van een MSP met een sceptisch oog lezen?

U dient het ISO 27001-certificaat en de Verklaring van Toepasselijkheid van een MSP te beschouwen als uitgangspunten voor verdere vragen over scope, controles en volwassenheid. Een sceptische lezing bekijkt wat binnen de scope van het certificaat valt, wat erbuiten valt en hoe dat aansluit bij de diensten, locaties en subverwerkers die u belangrijk vindt, in plaats van ervan uit te gaan dat de badge alles dekt wat u nodig hebt.

Vrijwel alle respondenten noemden het behalen of behouden van beveiligingscertificeringen zoals ISO 27001 of SOC 2 als topprioriteit voor het komende jaar.

Een certificaat dat op het eerste gezicht indrukwekkend lijkt, kan belangrijke hiaten verhullen. Certificerings- en auditinstanties herinneren organisaties er regelmatig aan dat een certificaat slechts een assurance-oordeel is over een bepaalde scope en periode, en geen algemene garantie voor veiligheid. Zo benadrukken ISO 27001-certificeringsoverzichten van aanbieders zoals TÜV het belang van inzicht in de scope en beperkingen. Door deze documenten te lezen als een auditor of toezichthouder, is het veel gemakkelijker om dergelijke problemen vroegtijdig te signaleren.

Leesbereik en SoA zoals een auditor

Wanneer u een certificaat en de bijbehorende documenten beoordeelt, let dan op een aantal belangrijke punten. Deze laten zien of de documentatie overeenkomt met de werkelijke diensten die u koopt.

Besteed bijzondere aandacht aan:

Scope-verklaring: – wordt er expliciet vermeld welk type diensten u van plan bent te gebruiken (bijvoorbeeld ‘managed security operations center’ of ‘managed cloud hosting’) en vanaf welke locaties deze worden geleverd?

Locaties, rechtspersonen en subverwerkers: – Zijn de datacentra, ondersteuningscentra, groepsmaatschappijen en genoemde subverwerkers die uw gegevens zullen verwerken, vermeld? Of ontbreken er cruciale gegevens of wordt er slechts indirect naar verwezen?

SoA-dekking en uitsluitingen: – welke beheersmaatregelen in Bijlage A zijn van toepassing, welke zijn uitgesloten en waarom? Zijn er uitsluitingen die verrassend zijn voor een provider van dit type, zoals het uitsluiten van back-up, logging, bedrijfscontinuïteit of leveranciersbeheersmaatregelen?

Auditcyclus en bevindingen: – Wanneer heeft de laatste certificerings- of toezichtsaudit plaatsgevonden en zijn er bekende non-conformiteiten aangepakt die van invloed kunnen zijn op de diensten die u ontvangt?

Ervaren bedrijfsteams kunnen diensten ontdekken die worden geleverd vanuit locaties die niet in de scope vallen, subverwerkers of datacenters die niet onder het ISMS vallen, of Annex A-controles die als "niet van toepassing" zijn gemarkeerd en die zij als essentieel beschouwen. Risicobeoordelingen van derden en adviesinzichten, waaronder cyberrisicorapporten van bedrijven zoals Deloitte, beschrijven hiaten in de scope en verrassende uitsluitingen als veelvoorkomende bevindingen bij het beoordelen van leverancierscertificeringen. Teams die meerdere externe audits hebben ondergaan, zien vaak een patroon: sterke aanbieders kunnen de scope en SoA met vertrouwen doorlopen, uitsluitingen in begrijpelijke taal uitleggen en verbeterpunten erkennen. Zwakke aanbieders hebben moeite om de documenten te koppelen aan echte diensten en behandelen vragen over uitsluitingen soms als vijandig. Als praktische follow-up kunt u uw belangrijkste observaties samenvatten en deze samen met het certificaat in uw leveranciersrisicodossier opslaan.

Vragen die de beperkingen van het certificaat onthullen

Gewapend met deze sceptische blik kunt u vragen stellen die statische documenten omzetten in een rijkere conversatie in plaats van alleen op het certificaat te vertrouwen. Het doel is om te begrijpen in hoeverre de gedocumenteerde scope en controlemechanismen uw use cases daadwerkelijk ondersteunen.

Vragen als deze zijn nuttig:

“Welke van onze geplande diensten vallen volledig binnen het ISMS-bereik, en welke gedeeltelijk of nog niet?”
“Leg ons de belangrijkste controles van Bijlage A uit die ten grondslag liggen aan deze service, en leg eventuele uitsluitingen uit die voor ons van belang kunnen zijn.”
Hoe besluit u wanneer u een nieuwe service, functie, subprocessor of locatie in de scope opneemt, en hoe informeert u klanten wanneer dat gebeurt?
"Welke verbeterpunten kwamen uit uw meest recente interne en externe audits naar voren die voor ons van belang kunnen zijn?"

Deze vragen herinneren de leverancier eraan dat u ISO 27001 begrijpt als een levend systeem, niet als een marketinglabel. Ze vormen ook de basis voor latere gesprekken over gedeelde verantwoordelijkheden voor risico, incidentmanagement, continuïteit en wettelijke meldingen, waarbij duidelijkheid over de scope nog belangrijker wordt voor uw eigen SoA- en risicobehandelingsplannen. Door de antwoorden te documenteren in uw interne governancetools, kunt u besturen en toezichthouders gemakkelijker laten zien hoe u tot uw conclusies bent gekomen.

Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.

Boek uw demo

Hoe trek je de grens tussen gedeelde verantwoordelijkheid voor risico's, incidenten en continuïteit?

U trekt de grens van gedeelde verantwoordelijkheid door de ISO 27001-rollen en -verantwoordelijkheden op hoog niveau om te zetten in concrete, schriftelijke overeenkomsten die voor elk belangrijk risicogebied specificeren wat de MSP zal doen, wat u moet doen en hoe beide partijen zullen coördineren. Zonder die duidelijkheid kan zelfs een gecertificeerde provider u tijdens incidenten of verstoringen in een ongemakkelijke positie brengen.

ISO 27001 verwacht dat rollen, verantwoordelijkheden en bevoegdheden met betrekking tot informatiebeveiliging worden gedefinieerd en gecommuniceerd. Clausule 5.3 van ISO/IEC 27001 vereist expliciet dat u rollen, verantwoordelijkheden en bevoegdheden op het gebied van informatiebeveiliging definieert en communiceert, zoals benadrukt in de commentaren op de belangrijkste normen, zoals de inleiding van de ISO 27000-serie. In een MSP-relatie strekt die verwachting zich uit tot contracten, servicebeschrijvingen en operationele draaiboeken die bestand moeten zijn tegen audits en toezicht door toezichthouders wanneer er iets misgaat.

Duidelijke grenzen voorkomen dat er discussies ontstaan over verantwoordelijkheid wanneer de druk het hoogst is.

Verduidelijking van de verantwoordelijkheden op het gebied van risicomanagement

Het verduidelijken van de verantwoordelijkheden op het gebied van risicomanagement begint met inzicht in hoe uw risico's in de planning van de MSP voorkomen en hoe hun risico's in die van u voorkomen. Veel problemen ontstaan later omdat geen van beide partijen dit heeft vastgelegd.

Nuttige stappen en vragen zijn onder meer:

Vraag de MSP hoe risico's met betrekking tot uw diensten en gegevens in hun risicoregister en behandelplannen terechtkomen.
Maak duidelijk of ze van u verwachten dat u specifieke risicobeoordelingen uitvoert of dat u hen risico-informatie verstrekt voor hun eigen planning, met inbegrip van gegevensbeschermingseffectbeoordelingen waarbij privacy een rol speelt.
Zorg ervoor dat uw eigen risicoregister het gebruik van de MSP en de controles die u hiermee uitvoert, registreert.

Goede modellen voor gedeelde verantwoordelijkheid bevatten vaak een RACI-matrix (responsible, accountable, consulted, informed) voor belangrijke activiteiten zoals:

Toegangsvoorziening en periodieke beoordelingen.
Configuratie- en wijzigingsbeheer voor gedeelde platforms.
Patch- en kwetsbaarheidsbeheer in infrastructuur en applicaties.
Monitoring, afhandeling van meldingen en escalatie.

Best practices voor bedrijfsvoering en beveiliging, waaronder RACI-richtlijnen in whitepapers van het SANS Institute, bevelen dit type matrix vaak aan om hiaten en overlappingen in de verantwoording te voorkomen. In de praktijk kan een patchmanagement-RACI aangeven dat de MSP verantwoordelijk voor het patchen van het onderliggende besturingssysteem en platform; u bent verantwoordelijk voor het goedkeuren van onderhoudsvensters en het patchen van uw eigen applicaties; uw beveiligingsteam is geraadpleegd bij wijzigingen met een hoog risico; en uw service-eigenaren zijn op de hoogte van aankomende patchcycli. Zodra u akkoord bent met die splitsing, kunt u deze opnemen in uw risicoregister en SoA, zodat auditors een consistent beeld krijgen.

Je vragen moeten erop gericht zijn deze modellen bloot te leggen en te testen of ze aan beide kanten begrepen worden. Als jouw teams en de teams van de MSP verschillende antwoorden zouden geven over wie verantwoordelijk is voor een taak, dan heb je werk te doen voordat je je bestuur kunt vertellen dat de risico's onder controle zijn.

Het splitsen van incidentrespons en continuïteit in de praktijk

Risicomanagement wordt pas echt actueel wanneer er iets misgaat. Daarom hebt u dezelfde mate van duidelijkheid nodig voor incidentrespons en continuïteit. Hierbij zoekt u naar precieze overdrachten, tijdlijnen en aannames in plaats van beloftes op hoog niveau.

Twee cruciale gebieden zijn:

Reactie op incidenten: – wie toezicht houdt op gebeurtenissen, wie waarschuwingen sorteert, onder welke voorwaarden de MSP contact met u opneemt, via welke kanalen, en wie verantwoordelijk is voor forensisch onderzoek, het bewaren van bewijsmateriaal, meldingen aan klanten en toezichthouders en beoordelingen na incidenten.

Bedrijfscontinuïteit en noodherstel: – welke hersteltijd- en herstelpuntdoelstellingen de MSP voor de service nastreeft, hoe deze aansluiten bij uw business impact analyse en welke aannames de MSP doet over uw eigen continuïteitsregelingen, zoals alternatieve toegangsroutes of handmatige oplossingen.

Uw vragen kunnen als volgt klinken:

“Beschrijf het end-to-endproces voor het afhandelen van een incident dat onze beheerde service beïnvloedt, van detectie tot afsluiting, en laat ons zien waar onze verantwoordelijkheden beginnen.”
Welke scenario's met betrekking tot uitval en gegevensverlies worden voor deze service gedekt door uw continuïteits- en herstelplannen, en welke scenario's verwacht u dat wij zelf afhandelen?
“Hoe vaak test u gezamenlijke incident- en continuïteitsprocessen met klanten zoals wij, en hoe kunnen wij hieraan deelnemen?”

De antwoorden maken deel uit van uw eigen incidentrespons en bedrijfscontinuïteitsplanning en bieden belanghebbenden zoals uw auditcommissie, privacyfunctionaris en toezichthouder zekerheid wanneer zij uw afspraken beoordelen. Ze dragen ook bij aan het bewijsmateriaal waar u later om zult vragen: testrapporten, evaluaties na incidenten en verbeteringen die door beide partijen in de loop der tijd zijn geïmplementeerd. Het vastleggen van de overeengekomen splitsingen in uw incidentenrunbooks en continuïteitsplannen is een praktische manier om deze gesprekken om te zetten in controleerbare realiteit.

Hoe kan een MSP blijvend voldoen aan ISO 27001 en niet slechts een eenmalige certificering?

Een MSP kan blijvende naleving van ISO 27001 aantonen door gestructureerd bewijs te delen waaruit blijkt dat zijn ISMS en controles het hele jaar door werken en verbeteren, niet alleen ten tijde van de certificering. Dit bewijs omvat interne en externe audits, technische tests, activiteiten op het gebied van kwetsbaarheidsbeheer, leveranciersbeoordelingen, trainingsresultaten en statistieken die bijhouden hoe problemen worden gevonden en opgelost.

Een certificaat op zich is een momentopname: assurancerichtlijnen beschrijven certificeringen als meningen gebaseerd op het bewijsmateriaal dat beschikbaar was op de auditdatum, en niet als garanties voor toekomstige prestaties. Dit onderscheid wordt benadrukt in auditgerichte bronnen zoals Audit Analytics. Doorlopend bewijsmateriaal toont een gedragspatroon dat uw bestuur, auditors, privacytoezichthouders en leveranciersrisicoforums ervan verzekert dat de beveiligingshouding van de MSP actief wordt beheerd en niet zomaar wordt afgezwakt. Uw vragen moeten daarom gericht zijn op hoe zij de beveiliging continu plannen, testen en verbeteren, in plaats van alleen op wat er op een certificaat staat.

Ongeveer tweederde van de organisaties die deelnamen aan het ISMS.online-onderzoek uit 2025 gaf aan dat de snelheid en omvang van de veranderingen in de regelgeving het moeilijker maken om aan de regelgeving te voldoen.

Bewijstypes die een levend ISMS aantonen

Wanneer u om bewijs vraagt dat verder gaat dan het certificaat, vraagt u de aanbieder in feite aan te tonen dat de Plan-Do-Check-Act-cyclus in de praktijk voor uw diensten werkt. U hebt niet alle details nodig, maar wel voldoende om aan te tonen dat de controles, bevindingen en verbeteringen daadwerkelijk zijn.

Nuttig bewijsmateriaal omvat:

Interne auditrapporten of samenvattingen: – deze tonen aan dat de MSP regelmatig zijn eigen ISMS beoordeelt, non-conformiteiten vindt en corrigerende maatregelen neemt in plaats van te wachten tot externe audits problemen ontdekken.

Resultaten van toezicht en hercertificering: – uit de resultaten van externe audits op hoog niveau blijkt dat een onafhankelijke instantie ook de conformiteit tussen belangrijke certificeringsevenementen toetst en of verbeteracties volgens schema worden afgerond.

Penetratietesten en kwetsbaarheidsbeoordelingen: – Op de juiste wijze opgeschoonde rapporten kunnen laten zien wat er is getest, welke problemen er zijn gevonden, hoe deze zijn geclassificeerd en hoe snel ze zijn opgelost voor systemen die relevant zijn voor uw diensten.

Metrieken voor kwetsbaarheidsbeheer: – trends voor patch-implementatie, gemiddelde tijd voor het verhelpen van problemen met hoge ernst en het aantal openstaande kwetsbaarheden op platforms die uw informatie verwerken.

Beoordelingen van leveranciers en subverwerkers: – bewijs dat de MSP risico's met betrekking tot derden op een manier beheert die aansluit bij uw ISO 27001- en NIS 2-verwachtingen, in plaats van blindelings te vertrouwen op upstream-leveranciers.

Trainings- en bewustwordingsrecords: – gegevens over voltooiingspercentages voor beveiligingstrainingen, phishingoefeningen en rolspecifieke bewustmakingsactiviteiten voor personeel dat betrokken is bij het leveren van uw beheerde services.

Certificeringsinstellingen en assurance-aanbieders die ISO 27001-programma's beschrijven, zoals het overzicht van TÜV, verwijzen vaak naar dit soort artefacten als typische onderdelen van een effectief ISMS-borgingssysteem. In veel gevallen ziet u samenvattingen, trends en voorbeeldartefacten in plaats van volledige, vertrouwelijke rapporten, wat meestal redelijk is. De sleutel is dat u regelmatige controles, duidelijke bevindingen en follow-up kunt zien die direct betrekking hebben op uw diensten. Een praktische stap is om te definiëren welke soorten bewijs u voor elke strategische MSP verwacht en vast te leggen wat u tijdens jaarlijkse beoordelingen ontvangt.

Metrieken en vragen die ‘voortdurend’ concreet maken

Om 'doorlopend' meer te maken dan een modewoord, kunt u specifieke statistieken opvragen en bijhouden die direct van invloed zijn op uw risicobeeld. Dit maakt het ook gemakkelijker om interne stakeholders te informeren zonder hen te overladen met ruwe data.

Nuttige statistieken zijn onder meer:

Het aantal en de ernst van openlijke versus gesloten bevindingen uit interne audits en technische tests in systemen die uw services ondersteunen.
Gemiddelde tijd om kritieke kwetsbaarheden in die systemen te verhelpen, vergeleken met overeengekomen doelen.
De frequentie en omvang van continuïteits- of hersteltests die van invloed zijn op uw services, en of de doelstellingen zijn behaald.
Percentages van het voltooien van trainingen voor medewerkers met bevoorrechte toegang tot uw omgevingen of klantgegevens.
Het aantal, de impact en de hoofdoorzaken van incidenten die het afgelopen jaar van invloed waren op uw beheerde services.

Uw vragen kunnen zijn:

Hoe vaak voert u interne ISMS-audits uit, en wanneer was de laatste audit die betrekking had op de systemen die voor onze diensten worden gebruikt?
Welke serviceniveaudoelstellingen stelt u voor het oplossen van kwetsbaarheden met een hoge ernst, en in hoeverre heeft u deze de afgelopen twaalf maanden gehaald?
Hoe deelt u de lessen die u hebt geleerd uit incidenten of tests die van invloed kunnen zijn op ons risicobeeld, inclusief eventuele daaropvolgende wettelijke of klantmeldingen?

Sterkere MSP's kunnen duidelijke statistieken, trends in de loop van de tijd en voorbeelden laten zien van hoe die statistieken verbeteringen hebben opgeleverd, een patroon dat ook terugkomt in onderzoek naar risico's van derden en cybervolwassenheid van adviesbureaus zoals KPMG. Zwakkere MSP's reageren vaak met statische uitspraken zoals "we patchen snel" zonder deze te onderbouwen. Zodra u het gedragspatroon in de loop van de tijd begrijpt, kunt u de manier waarop u die antwoorden opvraagt, vastlegt en vergelijkt tussen providers standaardiseren, in plaats van elke opdracht als een eenmalige oefening te beschouwen.

ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.

Boek uw demo

Hoe vertaalt u ISO 27001-vragen naar een handboek voor het in kaart brengen van beheerde services?

U transformeert ISO 27001-vragen in een handboek voor het in kaart brengen van controles door de structuur van de vragen die u stelt, de manier waarop MSP's reageren en hoe die antwoorden aansluiten op controles, verantwoordelijkheden en bewijsmateriaal te standaardiseren. Het handboek vormt een herbruikbare basis voor due diligence, vergelijking, onboarding en continue governance van MSP's binnen de beveiligings-, risico-, leveranciersmanagement- en inkoopteams.

Ongeveer 41% van de organisaties die deelnamen aan het ISMS.online-onderzoek uit 2025 gaf aan dat het beheersen van risico's van derden en het bijhouden van de naleving door leveranciers een van hun grootste uitdagingen op het gebied van beveiliging was.

In plaats van uw aanpak telkens opnieuw uit te vinden wanneer er een nieuwe aanbieder op de markt komt, creëert u een consistent sjabloon dat elke MSP kan invullen en dat uw teams snel kunnen interpreteren. Na verloop van tijd krijgt u zo een portfoliobreed beeld van de volwassenheid van MSP's, dat u aan besturen en toezichthouders kunt uitleggen zonder dat u zich in elk individueel contract hoeft te verdiepen, omdat de opmaak en de score al bekend zijn.

Een herbruikbare kaartsjabloon ontwerpen

Een goede playbook-template bestaat doorgaans uit drie lagen die samenwerken: gestructureerde vragen, controletoewijzingen en commentaar of scores. Het consistent houden van deze lagen voor alle aanbieders is belangrijker dan het vanaf dag één perfect krijgen van alle details.

Een praktisch sjabloon bevat meestal:

Contact – prompts die aansluiten bij belangrijke ISO 27001-onderwerpen zoals scope, risicobeoordeling, Annex A-controles, gedeelde verantwoordelijkheid, bewijsvoering en privacy of wettelijke verplichtingen, indien van toepassing. Bijvoorbeeld:

“Beschrijf hoe uw ISMS-scope deze service bestrijkt.”
“Geef een Bijlage A-mapping voor deze service met verantwoordelijkheden.”

Controle mapping – een tabel die voor elke relevante bijlage A het volgende weergeeft:

Geeft aan of het eigendom is van de provider, van de klant of gedeeld wordt.
Links naar een korte beschrijving van de implementatie.
Verwijst naar bewijstypen en -locaties, inclusief eventuele koppelingen naar uw eigen processen.

Scoren en commentaar – een manier om de duidelijkheid en de kracht van de antwoorden te beoordelen en opmerkingen, hiaten of vervolgacties vast te leggen die u door de MSP wilt laten aanpakken.

Wanneer u deze template voor alle MSP's gebruikt, krijgt u een vergelijkbaar beeld van hun volwassenheid en geschiktheid. Inkoop-, beveiligings-, GRC-, juridische, privacy- en leveranciersrisicofuncties kunnen allemaal naar hetzelfde artefact verwijzen zonder dat u aparte vragenlijsten of spreadsheets hoeft te maken die niet meer synchroon lopen. Door het draaiboek minstens jaarlijks te herzien, of wanneer diensten of regelgeving veranderen, blijft het beeld actueel en blijft het niet een verouderde database. Als neutrale volgende stap kunt u de template testen bij een of twee risicovolle providers voordat u deze breder uitrolt.

Antwoorden omzetten in een vergelijkende scorekaart

Zodra uw template klaar is, wordt de scoring systematischer en minder gebaseerd op persoonlijke indrukken. U kunt de onderwerpen die het belangrijkst zijn voor uw organisatie wegen en vervolgens elke aanbieder consistent beoordelen op basis van die criteria.

Typische praktijken zijn onder meer:

Bepaalde gebieden zwaarder laten wegen, zoals:
Duidelijkheid en volledigheid van de scopebeschrijving.
Diepte en specificiteit van Annex A-toewijzingen.
Kwaliteit en actualiteit van voortdurend bewijsmateriaal.
Precisie van definities van gedeelde verantwoordelijkheid.
Afstemming op uw eigen risicobereidheid en regelgevingsprofiel.

Door vooraf te definiëren hoe een ‘sterk’ antwoord eruitziet, wordt het beoordelen van reacties minder subjectief en is het gemakkelijker uit te leggen aan belanghebbenden.

Op een vraag als "Hoe gaat u om met incidenten waarbij onze data betrokken is?" kan een sterk antwoord bijvoorbeeld gedefinieerde detectie- en triageprocessen omvatten met een duidelijke verantwoordelijkheid, overeengekomen tijdlijnen voor meldingen en kanalen gekoppeld aan ernst en wettelijke drempels, gezamenlijke stappen voor onderzoek en root-cause analyse, en koppelingen naar hersteldoelstellingen die aansluiten bij uw business impact analyse. Een zwak antwoord zou simpelweg kunnen luiden: "We onderzoeken en informeren u waar nodig", zonder details over timing, rollen of bewijs.

Door dit handboek consistent toe te passen, bouwt u een bibliotheek op met MSP-profielen die gebaseerd zijn op ISO 27001, niet op marketing. Door het af te stemmen op uw interne ISO 27001-processen wordt het nog krachtiger: het handboek kan worden gebruikt voor managementreviews, updates van het risicoregister, wijzigingen in de SoA en bestuursrapportage. Door de sjablonen, mappings en scores op te slaan in een collaboratief ISMS-platform zoals ISMS.online, kunt u het werk hergebruiken bij audits, verlengingen en nieuwe projecten, in plaats van telkens opnieuw te beginnen wanneer een stakeholder vraagt: "Hoe weten we dat onze MSP's echt voldoen aan ISO 27001?"

Boek vandaag nog een demo met ISMS.online

ISMS.online biedt u één gedeelde plek om ISO 27001-vragen, controletoewijzingen en bewijsstukken te structureren met uw MSP's, zodat externe zekerheid sneller, duidelijker en gemakkelijker te verdedigen is. In plaats van te jongleren met certificaten, spreadsheets en e-mailthreads, kunt u zien hoe interne en externe controles samenwerken om uw organisatie te beschermen en uw stakeholders tevreden te stellen.

Waarom een gedeeld ISMS-platform zowel u als uw MSP's helpt

Een gedeeld ISMS-platform helpt u en uw MSP's om antwoorden consistent, bewijs gecentraliseerd en zekerheid herhaalbaar te houden, zelfs wanneer services, controles en regelgeving veranderen. Wanneer beveiligingsteams van bedrijven en MSP's proberen samen te werken via alleen statische documenten, komen drie problemen steeds weer terug.

Veelvoorkomende problemen zijn:

Antwoorden lopen niet meer synchroon naarmate de diensten evolueren.
Bewijs is in meerdere tools aanwezig en is moeilijk te koppelen aan controles.
Elke controle of elk verzoek om een voorstel dwingt beide partijen om dezelfde verklaringen opnieuw op te stellen.

Een gedeeld ISMS-platform verandert die dynamiek. Met ISMS.online kunt u uw standaard ISO 27001 MSP-vragenset eenmalig vastleggen en hergebruiken voor meerdere providers. U kunt servicespecifieke Annex A-toewijzingen en gedeelde verantwoordelijkheidsmatrices opslaan in dezelfde structuur die u gebruikt voor uw interne controles. U kunt MSP-bewijsmateriaal, zoals auditsamenvattingen, testrapporten en belangrijke statistieken, rechtstreeks koppelen aan de controles en risico's die ze ondersteunen.

Die structuur is ook gunstig voor uw MSP's. Ze kunnen meerdere klanten beantwoorden op basis van één betrouwbare set mappings en bewijsmateriaal, in plaats van voor elke vragenlijst opnieuw content te moeten samenstellen. Na verloop van tijd vermindert dit de wrijving aan beide kanten en verhoogt het de kwaliteit van de assurancegesprekken, in plaats van dat ze in papieren rompslomp veranderen. Zelfs als u later van provider wisselt, maakt een consistent model het veel gemakkelijker om de overgang uit te leggen aan besturen en toezichthouders.

Praktische vervolgstappen om ISMS.online te verkennen

Als u de hier beschreven uitdagingen herkent, hoeft u uw externe governance niet helemaal opnieuw te ontwerpen. Een gerichte test is vaak voldoende om de waarde ervan aan te tonen zonder dat u zich hoeft te committeren aan een algehele transformatie, en u kunt deze naast uw huidige processen uitvoeren.

Je zou kunnen:

Kies één of twee strategische MSP's die diensten met een grote impact ondersteunen.
Gebruik uw bestaande ISO 27001-vragenset als uitgangspunt.
Configureer een eenvoudige toewijzingsjabloon en een model voor gedeelde verantwoordelijkheid in ISMS.online.
Nodig uw MSP-collega's uit om samen te werken aan het voltooien en verfijnen van de inhoud.
Gebruik de uitkomst om uw bestuur of auditcommissie te informeren over de manier waarop externe controles nu in uw ISMS zijn geïntegreerd.

Door een gedeelde omgeving op deze manier te gebruiken, kunt u duidelijkere mappings maken voor kritieke services, verrassingen bij audits met MSP's verminderen en een betrouwbaarder verhaal ontwikkelen voor toezichthouders en grote klanten. Een demo boeken is simpelweg een manier om te zien hoe dit er in uw eigen omgeving uit zou kunnen zien en om te beslissen of een gedeeld ISMS-platform de juiste manier is om het te beheren.

Als u ook een overgang naar ISO 27001:2022 plant of ondergaat, kan dezelfde omgeving u helpen bij het bijwerken van Annex A-koppelingen naar de herziene controleset voor zowel interne als door MSP's beheerde services. De overgangsrichtlijnen voor ISO/IEC 27001:2022 stellen dat organisaties Annex A-koppelingen, scopebeschrijvingen en gedocumenteerde informatie moeten bijwerken. Het gebruik van een gedeelde omgeving die zowel interne als door MSP's beheerde services ondersteunt, kan de coördinatie van deze updates vergemakkelijken, zoals benadrukt in overzichten van de ISO 27000-serie, zoals de ISO 27000-introductie. Elke beslissing om nieuwe tools te implementeren of van provider te veranderen, dient nog steeds uw gebruikelijke governanceprocessen te doorlopen en, waar nodig, te worden beoordeeld door gekwalificeerde juridische of regelgevende adviseurs.

Uiteindelijk gaan uw ISO 27001-vragen aan MSP's over meer dan alleen due diligence-checklists. Ze gaan over het aantonen dat uw uitgebreide digitale ecosysteem zich gedraagt als een coherent, risicogebaseerd managementsysteem waarop besturen, toezichthouders en klanten kunnen vertrouwen. Het boeken van een demo bij ISMS.online is een eenvoudige manier om te ontdekken hoe die coherentie in de praktijk kan werken voor uw organisatie en uw belangrijkste leveranciers, en om te zien of een gedeeld ISMS-platform u kan helpen om goede vragen om te zetten in duurzame assurance door derden.

Demo boeken

Veelgestelde Vragen / FAQ

Hoe stemmen we MSP due diligence af op ISO 27001:2022 zonder dat stakeholders overspoeld worden met clausulenummers?

U stemt MSP due diligence af op ISO 27001:2022 door vragen te formuleren over bedrijfsresultaten (risico's, uptime, gegevensverwerking en verantwoording) en alleen de antwoorden te koppelen aan clausules en bijlage A-controles binnen uw eigen ISMS.

Hoe zorgen we ervoor dat ISO 27001 wordt omgezet in thema's die bedrijven en MSP's daadwerkelijk herkennen?

Begin met de gesprekken die u al voert met belanghebbenden en managed service providers en koppel deze vervolgens aan een aantal herhaalbare thema's:

Service en scope passen: – “Welke van uw diensten, locaties, platforms en subverwerkers komen daadwerkelijk in aanraking met onze gegevens, en vallen deze binnen uw ISMS-bereik?”
Risico en veerkracht: – “Waar verschijnen onze beschikbaarheids-, vertrouwelijkheids- en regelgevingsrisico’s in uw risicoregister en hoe worden deze behandeld?”
Controle over eigendom en testen: – “Welke Annex A:2022-controles zijn er voor deze dienst van kracht, wie is de eigenaar ervan en hoe worden ze gedurende het jaar getest?”
Operationele zekerheid in de tijd: – “Wat hebben interne audits, penetratietests, monitoring en incidentbeoordelingen u de afgelopen 12-18 maanden verteld over deze service?”
Gedeelde verantwoordelijkheid: – “Wat betreft toegang, configuratie, monitoring, incidenten, continuïteit en leveranciersbeheer, welke activiteiten zijn uw eigendom, welke zijn onze eigendom en wat wordt er daadwerkelijk gedeeld?”
Verandering en routekaart: – “Hoe passen nieuwe diensten, platformmigraties en wetswijzigingen binnen uw scope, risicobeoordelingen en controles?”

Deze thema's vormen een stabiele basis voor MSP due diligence-vragenlijsten, RFP's en verlengingsbeoordelingen. Intern kunt u een heldere koppeling van elk thema en elke vraag naar ISO 27001:2022-clausules, Annex A-controles en leveranciersmanagementprocessen in uw ISMS of Annex L-gealigneerde geïntegreerde managementsysteem onderhouden. Extern ziet uw MSP alleen duidelijke vragen over serviceniveaus in plaats van clausuleverwijzingen.

Als u een platform zoals ISMS.online gebruikt, kunt u de vragenset, antwoorden en toewijzingen eenvoudig opslaan naast uw Verklaring van Toepasselijkheid en leveranciersgegevens. Zo kunt u auditors snel laten zien hoe toezicht door derden is ingebouwd in uw ISMS, in plaats van dat er geïmproviseerd wordt rond inkoopdeadlines.

Hoe kunnen we MSP-vragen opstellen die verwijzen naar ISO 27001-clausules zonder deze te citeren?

Werk vanuit echte situaties vooruit en vanuit ISO 27001 achteruit, en niet andersom:

Context, leiderschap en planning (clausules 4-6):

Vraag hoe de MSP de scope definieert, de behoeften van de klant begrijpt en de risicobehandeling plant die u kan beïnvloeden:
“Laat ons zien hoe risico’s met betrekking tot onze gegevens, uptime en wettelijke verplichtingen worden geïdentificeerd, geëvalueerd en geprioriteerd in uw risicoregister.”

Ondersteuning en werking (Artikelen 7–8):

Concentreer u op mensen, gedocumenteerde procedures en hoe de beheerde service daadwerkelijk functioneert:
“Welke gedocumenteerde procedures en competenties zijn vereist om deze dienst te verlenen, en hoe houdt u beide actueel?”

Prestatie-evaluatie en -verbetering (artikelen 9-10):

Ontdek hoe zij de effectiviteit monitoren, zichzelf controleren en veranderingen doorvoeren:
“Welke audits, KPI's en corrigerende maatregelen hadden het afgelopen jaar direct betrekking op de systemen waarop wij vertrouwen?”

U hoeft zich niet af te vragen "Hoe voldoet u aan clausule 8.1?" om uw eigen ISO 27001:2022-implementatie verdedigbaar te maken. Wat u wél nodig hebt, is een consistente reeks vragen die onthullen hoe het managementsysteem van de MSP zich gedraagt voor uw diensten, en een gedisciplineerde manier om die antwoorden terug te koppelen aan clausules en Annex A-controles binnen uw eigen ISMS. Door die koppeling te centraliseren in een gedeelde omgeving zoals ISMS.online, kan uw team vragen blijven verfijnen en tegelijkertijd een duidelijk audittraject behouden voor toezichthouders, klanten en certificeringsinstellingen.

Hoe kunnen we snel vaststellen of het ISO 27001-certificaat van een MSP daadwerkelijk de diensten dekt die wij willen gebruiken?

U kunt nagaan of het ISO 27001-certificaat van een MSP daadwerkelijk uw diensten dekt door de scope, de verklaring van toepasselijkheid en recente auditrapporten te lezen alsof het uw eigen rapporten zijn. Vervolgens kunt u eventuele hiaten testen met concrete vragen over het serviceniveau.

Welke onderdelen van het certificaatpakket zijn het belangrijkst voor MSP-services?

Beschouw de documentatie als risicobewijs, niet als verkoopmateriaal:

Omschrijving van het toepassingsgebied: – Controleer of de specifieke servicetypen die voor u van belang zijn (bijvoorbeeld beheerd SOC, beheerde database, beheerde identiteit, beheerde hosting) en de belangrijkste betrokken technologieën en platforms worden genoemd.
Locaties en leveringsketen: – Bevestig dat datacentra, ondersteuningslocaties en belangrijke subverwerkers voor uw workloads expliciet binnen het bereik vallen of duidelijk onder een bredere entiteit vallen.
Toepasbaarheid van de controle: – Bekijk Bijlage A:2022 over de toepasbaarheid van controlemaatregelen in de SoA; daag uitsluitingen uit met betrekking tot logging, monitoring, back-up, continuïteit, toezicht op leveranciers en beveiligde ontwikkeling wanneer uw eigen risicobeoordeling deze gebieden als niet-onderhandelbaar beschouwt.
Recentheid en focus van de audit: – Noteer wanneer de laatste toezicht- of hercertificeringsaudit heeft plaatsgevonden en of recente bevindingen betrekking hebben op de omgevingen en services die u verwacht te gebruiken.

Ga dan direct door naar gerichte vragen, bijvoorbeeld:

“Welke van de diensten die we evalueren, vallen volledig binnen uw huidige ISO 27001-scope? Welke worden slechts gedeeltelijk gedekt en welke vallen vandaag de dag buiten de scope?”
"Welke controles en verzekeringsmechanismen zijn van toepassing op systemen die onze gegevens ondersteunen en die buiten uw gecertificeerde scope vallen?"

Als u de antwoorden op die vragen vastlegt in uw leveranciersrisicodossiers, kunt u uw keuze later verdedigbaar maken als uw eigen accountants, raad van bestuur of klanten u vragen waarom u een bepaalde leverancier vertrouwde.

Als u leveranciersbewijs en -notities organiseert in een systeem zoals ISMS.online, kunt u scope statements, belangrijke SoA-extracten, uw vragen en de antwoorden van de MSP opslaan, samen met de Annex A-controles en -risico's die ze ondersteunen. Zo kunt u dezelfde beoordeling hergebruiken wanneer u verlengt, opnieuw aanbesteedt of zelf de controles uitvoert, in plaats van telkens met een lege spreadsheet te beginnen.

Wat zijn de praktische rode vlaggen in MSP-scope- en SoA-documenten?

U hoeft geen ISO-specialist te zijn om patronen te ontdekken die extra aandacht verdienen:

De reikwijdte is duidelijk beperkter dan de werkelijkheid: , zoals een certificaat dat alleen betrekking heeft op ‘hoofdkantooractiviteiten’ terwijl de werkelijke dienstverlening vanuit meerdere regio’s en cloudplatforms plaatsvindt.
Overdreven promotionele bewoordingen: in plaats van concrete informatie over activa, systemen en verantwoordelijkheden.
Verouderde audits: of een onduidelijk toezichtschema, wat kan duiden op afwijkende praktijken.
Clusters van ‘niet van toepassing’ controles: op gebieden die uw eigen risicoregister als materieel beschouwt, met name monitoring, back-up, continuïteit, toezicht op leveranciers of beveiligde ontwikkeling.

Als iets vaag lijkt, vraag de MSP dan om u door een specifieke service te leiden die u belangrijk vindt: waar uw gegevens zich bevinden, welke teams ermee kunnen werken en welke aspecten van hun ISMS-scope en -controles die componenten precies bestrijken. Sterke providers bieden u een consistent, toetsbaar verhaal. U kunt dat verhaal vervolgens als gestructureerd bewijsmateriaal aan uw eigen ISMS toevoegen, zodat u bij vragen van klanten of auditors kunt vertrouwen op een duidelijke registratie in plaats van op herinneringen.

Hoe kunnen we gedeelde verantwoordelijkheid afspreken met een ISO-gecertificeerde MSP, zodat niemand voor verrassingen komt te staan bij een echt incident?

U moet gedeelde verantwoordelijkheid afspreken met een ISO-gecertificeerde MSP door de Annex A:2022-maatregelen te nemen die beide organisaties raken, te bepalen wie wat doet voor elke organisatie en deze verdeling vervolgens consequent door te voeren in contracten, draaiboeken en uw ISMS.

Welke gebieden van gedeelde verantwoordelijkheid verdienen de meeste aandacht?

Begin waar onduidelijkheid duur wordt tijdens de dagelijkse werkzaamheden of bij incidenten:

Risicomanagement en -planning:

Maak de koppeling tussen uw bedrijfsrisico's en de technische risico's van de MSP expliciet.
– Vraag hoe scenario's uit uw risicoregister, zoals het verlies van een regio, het in gevaar brengen van bevoorrechte toegang of het overtreden van de regelgeving, in hun risicobeoordeling en behandelplannen voorkomen.
– Stel een beknopte RACI op die toegangsbeoordelingen, configuratiebasislijnen, kwetsbaarheidsbeheer, monitoring, back-up en herstel en regelmatige leveranciersbeoordelingen omvat.
– Sla de RACI op in uw risicobehandelingsrecords, SoA en leveranciersnotities, zodat auditors en managers hetzelfde beeld krijgen.

Detectie, reactie en communicatie:

– Maak duidelijk welke waarschuwingen en telemetrie de MSP moet bewaken, welke uw eigen team moet bewaken en hoe incidenten tussen de twee stromen.
– Stel drempelwaarden en tijdlijnen vast voor het melden van incidenten en bepaal welke organisatie de communicatie met toezichthouders, klanten en betrokkenen leidt op grond van wetten zoals de AVG of sectorregels.
– Documenteer deze stromen in gezamenlijke runbooks en oefen ze met realistische tafelscenario’s.

Continuïteit en herstel:

– Controleer of de hersteltijd en herstelpuntdoelstellingen van de MSP aansluiten op uw business impactanalyse en contractuele beloften.
– Vraag hen om een duidelijk onderscheid te maken tussen verstoringen waarvoor zij verantwoordelijk zijn (bijvoorbeeld platformstoringen) en die waarvoor u verantwoordelijk bent (bijvoorbeeld inbreuken op het lokale netwerk of eindpunten).

Vraag de MSP om u door een volledig, servicespecifiek incidentscenario te leiden: welke statistieken activeren actie, wie de eerste reactie oppakt, wanneer uw team betrokken raakt en hoe aan beide kanten lessen worden getrokken. Zodra dat model voor één strategische service werkt, kunt u het spiegelen aan andere MSP's en centraal vastleggen op een platform zoals ISMS.online, waarbij elke gedeelde verantwoordelijkheidskaart wordt gekoppeld aan de relevante Annex A-controles, risico's en contracten.

Hoe zorgen we ervoor dat het model van gedeelde verantwoordelijkheid aansluit bij ISO 27001 en een geïntegreerd systeem volgens Bijlage L?

Gebruik ISO 27001:2022 en eventuele bijbehorende normen als de structurele ruggengraat in plaats van als een bijzaak:

Identificeer de controles in Bijlage A die duidelijk betrekking hebben op zowel de leverancier als de klant (bijvoorbeeld controles voor logging en monitoring, beveiligde configuratie, back-up, leveranciersbeheer, netwerkbeveiliging en incidentbeheer) en bepaal of deze primair onder uw verantwoordelijkheid vallen, onder die van hen of onder die van een gedeelde verantwoordelijkheid.
Geef die beslissingen weer in uw planningsactiviteiten onder clausule 6 en operationele beschrijvingen onder clausule 8, zodat outsourcingkeuzes en -interfaces terugkomen in risicobehandelingsplannen, gedocumenteerde procedures en notities over uitbestede processen.
Zorg ervoor dat dezelfde toewijzing wordt gerespecteerd wanneer u een taak uitvoert prestatiebeoordeling onder clausule 9 en verbetering onder clausule 10, zodat gezamenlijke incidenten leiden tot corrigerende maatregelen in de managementsystemen van beide organisaties, en niet alleen in operationele ticketwachtrijen.

Als u een geïntegreerd managementsysteem gebruikt dat is afgestemd op Annex L en ISO 27001 combineert met normen zoals ISO 22301 voor continuïteit of ISO 27701 voor privacy, gebruik dan dezelfde logica van gedeelde verantwoordelijkheid. Reviewers moeten een rechte lijn kunnen volgen van een beheerde service via verantwoordelijkheden voor beveiliging, continuïteit en privacy, zonder tegenstrijdige aannames te vinden in verschillende onderdelen van uw IMS.

Welk bewijs moeten we van MSP's vragen om aan te tonen dat ze nog steeds voldoen aan de ISO 27001-richtlijnen, en niet alleen een ingelijst certificaat?

U moet MSP's om bewijs vragen dat aantoont hoe hun ISMS en Annex A-controles in de loop van de tijd werken voor de services waarvan u afhankelijk bent. Dat kunnen recente, gestructureerde artefacten zijn die de planning, uitvoering, meting en verbetering over ten minste het afgelopen jaar aantonen.

Welke soorten MSP-bewijsmateriaal houden het beste stand bij interne en externe audits?

Geef prioriteit aan een kleine set artefacten die duidelijk overeenkomen met controles en echte wijzigingen:

Interne ISMS-auditrapporten of momentopnamen: – welke controles werden bemonsterd, welke non-conformiteiten of zwakke punten werden gevonden en hoe corrigerende maatregelen werden gevolgd tot aan de afsluiting.
Samenvattingen van extern toezicht of hercertificering: – de resultaten van de certificeringsinstantie, met eventuele bevindingen of observaties die betrekking hebben op uw diensten, platforms of leveringslocaties.
Resultaten van de beveiligingstest: – scoped penetratietests en kwetsbaarheidsscans voor systemen die ten grondslag liggen aan uw workloads, met een duidelijk herstelplan en de status van belangrijke bevindingen.
Metrieken voor kwetsbaarheidsbeheer: – trends in hersteltijden, aantallen openstaande problemen per ernst en eventuele formeel geaccepteerde uitzonderingen.
Toezicht op leveranciers en subverwerkers: – documenten of dashboards waarin wordt getoond hoe zij hun eigen strategische leveranciers en cloudplatformen beoordelen en monitoren.
Trainings- en bewustwordingsindicatoren: – bewijs dat de mensen die de beheerde services ontwerpen, beheren en ondersteunen, de relevante training op het gebied van beveiliging en privacy hebben afgerond.

Combineer deze met directe vragen, zoals:

Hoe vaak worden interne audits, technische tests en managementbeoordelingen uitgevoerd op systemen die de diensten ondersteunen die we gaan gebruiken, en welke wijzigingen hebt u als gevolg daarvan doorgevoerd?
"Welke doelstellingen stelt u voor het sluiten van kritieke en grote kwetsbaarheden, en hoe heeft u de afgelopen 12 maanden gepresteerd ten opzichte van die doelstellingen?"

U hebt zelden onbewerkte event logs of alle details van hun tools nodig, maar u hebt wel voldoende actueel, gestructureerd bewijs nodig om aan te tonen dat het ISMS van de MSP actief en effectief is. Door vooraf af te spreken wat uw organisatie definieert als een "compleet bewijspakket" en die verwachting op te nemen in uw leveranciersmanagementprocedure, vermindert u de frictie later en worden uw eigen ISO 27001- en geïntegreerde systeemaudits eenvoudiger.

Hoe kunnen we MSP-bewijsmateriaal effectief opslaan en hergebruiken binnen ons ISMS of Annex L IMS?

Behandel MSP-bewijsmateriaal met dezelfde structuur en discipline die u intern verwacht:

Koppel elk artefact aan specifieke bedieningselementen en services: – koppel documenten aan de relevante Annex A:2022-controles, risico's, leveranciersrecords en servicedefinities, zodat u precies kunt uitleggen wat elk bewijsstuk ondersteunt.
Tag-eigendom en beoordelingsritme: – vastleggen wie verantwoordelijk is voor het beoordelen van het bewijsmateriaal, hoe vaak het moet worden vernieuwd en eventuele voorwaarden of geaccepteerde restrisico’s.
Hergebruik waar mogelijk in verschillende frameworks: – bijvoorbeeld, een penetratietest die betrekking heeft op systemen die binnen het bereik van ISO 27001, SOC 2 en NIS 2 vallen, moet één keer worden aangehaald op een manier die voldoet aan alle drie de regimes, in plaats van dat deze in afzonderlijke silo's wordt gedupliceerd.

Een gedeeld ISMS-platform zoals ISMS.online maakt die koppeling en hergebruik praktisch: MSP-bewijs kan direct worden gekoppeld aan controles, risico's, audits en leveranciersgegevens. Wanneer senior stakeholders of auditors vragen: "Hoe weet u dat deze MSP nog steeds veilig en in overeenstemming met uw beleid werkt?", kunt u hen door de gekoppelde items op het scherm leiden in plaats van te moeten zoeken in schijven en e-mailthreads.

Hoe kunnen we de ISO 27001-volwassenheid van verschillende MSP's vergelijken zonder telkens consultants in te schakelen?

U kunt de ISO 27001-volwassenheid van verschillende MSP's vergelijken door elke provider dezelfde gestructureerde vragen te stellen en hun antwoorden om te zetten in een eenvoudig scoremodel dat uw risicoprioriteiten weerspiegelt, in plaats van te proberen elk antwoord afzonderlijk te wegen.

Hoe ziet een praktische MSP-scorecard eruit op basis van ISO 27001?

Een bruikbare scorecard is compact genoeg om door niet-specialisten te worden begrepen, maar toch uitgebreid genoeg om beslissingen te ondersteunen:

Bereik en certificaatgeschiktheid (1–5): – hoe duidelijk de gecertificeerde scope van de MSP de diensten, locaties en platforms dekt die u van plan bent te gebruiken.
Servicespecifieke controletoewijzing (1–5): – hoe goed ze Annex A:2022-controles en andere relevante controles toewijzen aan uw services en gegevensstromen, met benoemde eigenaren.
Duidelijkheid van gedeelde verantwoordelijkheid (1–5): – hoe eenduidig hun contracten, SLA’s en RACI’s zijn over “wie doet wat” op het gebied van risicobehandeling, monitoring, incidenten en continuïteit.
Diepte en actualiteit van het bewijs (1–5): – hoe uitgebreid en actueel hun auditresultaten, tests, statistieken en leveranciersbeoordelingen zijn voor de omgevingen waarop u vertrouwt.
Openheid en responsiviteit (1–5): – hoe bereidwillig ze zijn om extra details te verstrekken, hiaten te erkennen en zich te committeren aan realistische verbeterplannen.

U kunt deze dimensies wegen om ze af te stemmen op uw sector en verplichtingen. Een organisatie die bijvoorbeeld gereguleerd wordt op operationele veerkracht, kan meer waarde hechten aan continuïteit en bewijs; een snelgroeiende SaaS-aanbieder kan de nadruk leggen op transparantie, grondigheid van beveiligingstests en platformcompetentie.

Door deze scorecard samen met inkoop, juridische zaken, beveiliging en zakelijke sponsors te gebruiken, krijgt u een gemeenschappelijke taal om uit te leggen waarom één MSP over het algemeen beter past bij het risico, zelfs wanneer de commerciële voorwaarden vergelijkbaar lijken. Door de onderliggende antwoorden, scores en onderbouwing in uw ISMS vast te leggen – in plaats van alleen in een diapresentatie – kunt u de beoordeling hergebruiken en bijwerken bij verlenging en tijdens audits, in plaats van telkens een onderbouwing uit het geheugen te moeten opbouwen wanneer iemand vraagt: "Waarom hebben we voor deze provider gekozen?".

Hoe kan een MSP-scorecard nuttig blijven voor verschillende normen en regio's?

Een goede scorecard richt zich op gedragingen en borgingsmechanismen waar meerdere normen en toezichthouders op letten, niet alleen op de ISO 27001-documentatie:

Je kunt hetzelfde kernmodel toepassen op MSP's die ook regimes ondersteunen zoals PCI DSS, SOC 2, NIS 2 of DORA, omdat u beoordeelt hoe zij de dienstverlening afbakenen, controles implementeren en testen, leveranciers beheren en risico's communiceren.
Besturen en toezichthouders zien een consistente, vergelijkbare visie op risico's van derden op het gebied van beveiliging, continuïteit en privacy, in plaats van een lappendeken van afzonderlijke vragenlijsten voor elk raamwerk.
Met uw geïntegreerde beheersysteem van Bijlage L beschikt u over een herhaalbare manier om externe kwesties en belanghebbenden aan te pakken onder Clausule 4, ongeacht welke specifieke normen op een bepaald moment van kracht zijn.

Naarmate u meer resultaten verzamelt, wordt de scorecard een levend referentiepunt. U kunt vragen verfijnen, wegingen aanpassen wanneer de regelgeving of de risicobereidheid van het bedrijf verandert, en interne benchmarks ontwikkelen die elke nieuwe MSP-beoordeling sneller, consistenter en gemakkelijker te verdedigen maken voor senior stakeholders.

Wanneer is het zinvol om MSP-toezicht onder te brengen op een gedeeld ISMS-platform in plaats van via e-mail en spreadsheets?

Het is zinvol om het MSP-toezicht onder te brengen op een gedeeld ISMS-platform als uw team herhaaldelijk dezelfde ISO 27001-informatie bij verschillende strategische leveranciers opvraagt, moeite heeft om bewijsstukken en overzichten in alle documenten up-to-date te houden en het lastig vindt om een samenhangend beeld van de risico's van derden te presenteren aan uw leidinggevenden of auditors.

Welke praktische voordelen kunnen we verwachten van het beheren van MSP's binnen een gedeeld ISMS-platform?

Als u met één of twee beheerde services met een grote impact begint, kunt u snel zien of dit model voor u geschikt is:

Uitgelijnde besturingsstructuren: – uw ISO 27001-vragensets, servicespecifieke Annex A:2022-controlematrices, gedeelde verantwoordelijkheidsverdelingen en risicoregistraties bevinden zich in één omgeving waartoe zowel uw team als de MSP toegang hebben met gecontroleerde machtigingen.
Levend, centraal bewijs: – interne en externe auditsamenvattingen, penetratietestrapporten, kwetsbaarheidsstatistieken en leveranciersbeoordelingen kunnen rechtstreeks worden gekoppeld aan de controles, risico's en services die ze ondersteunen, zodat u kunt reageren op 'toon mij'-verzoeken zonder dat u door mappen hoeft te zoeken.
Eén bron voor meerdere doelgroepen: – dezelfde gestructureerde informatie ondersteunt board packs, updates van risicocommissies, reacties op klantonderzoeken en certificeringsaudits, zonder dat de MSP dezelfde gegevens in verschillende formaten hoeft te verstrekken.
Snellere beoordelingen en verlengingen: – wanneer u de reikwijdte, de controledekking, het bewijsmateriaal en de scorecardresultaten naast elkaar in uw ISMS kunt bekijken, wordt het vergelijken van aanbieders en het rechtvaardigen van verlengingen minder een ad-hoc spreadsheet-oefening.

Een verstandige eerste stap is het kiezen van een dienst die belangrijk is voor uw bedrijf, zoals beheerde beveiligingsmonitoring of een centraal cloudplatform. Zet een eenvoudige, ISO-conforme structuur op voor die dienst in een tool zoals ISMS.online en nodig de MSP uit om daar bewijs en verbeteringen aan te leveren. Als u na een kwartaal uw bestuur, auditcommissie of belangrijke klanten door die gedeelde visie kunt loodsen zonder op het laatste moment naar documenten te moeten zoeken, heeft u sterk bewijs dat het uitbreiden van de aanpak naar andere MSP's lonend zal zijn. Tegelijkertijd groeit uw eigen ISMS of Annex L-geïntegreerd systeem, omdat toezicht door derden onderdeel wordt van routinematig beheer in plaats van een jaarlijkse papierwinkel.

Wij zijn een leider in ons vakgebied

Regionale leider - Winter 2026 Middenmarkt EU

Regionale leider - Winter 2026 Middenmarkt EMEA

"ISMS.Online, uitstekende tool voor naleving van regelgeving"
— Jim M.

"Maakt externe audits een fluitje van een cent en koppelt alle aspecten van uw ISMS naadloos aan elkaar"
— Karen C.

"Innovatieve oplossing voor het beheer van ISO en andere accreditaties"
— Ben H.

Top ISO 27001-vragen die Enterprise Security-teams aan MSPS stellen