Bestuurders moeten de effectiviteit van het managementsysteem bepalen, processen vaststellen, cyberbeveiligingsmaatregelen goedkeuren, toezien op de uitvoering en zelf voldoende kennis hebben. Dat staat hier in één zin, maar in de praktijk is het een flinke opgave. De managementreview is hét moment om die verantwoordelijkheid waar te maken, mits je hem goed inricht.
Begin bij de strategie, niet bij de maatregelen
In de managementreview beoordeelt het topmanagement of het managementsysteem nog geschikt, toereikend en doeltreffend is. Maar een managementsysteem dat voldoet aan een norm of wet, is geen doel op zich. Volgens clausule 5.1 van ISO 27001 moet het topmanagement ervoor zorgen dat beleid en doelstellingen verenigbaar zijn met de strategische richting van de organisatie.
De review toetst die keten:
missie en visie → strategie → risicobereidheid → doelstellingen en maatregelen → besluiten
Zo is elk besluit herleidbaar tot een strategisch doel. De koppeling werkt ook andersom: blijkt een strategische ambitie met de huidige middelen niet veilig haalbaar, dan kiest het bestuur bewust tussen investeren, bijsturen of het risico accepteren.
Veelgemaakte fouten
6 stappen om de managementreview relevant te maken voor de organisatie
1. Open met strategie, visie en missie
Zet niet de auditbevindingen bovenaan de agenda, maar de vraag wat er sinds de vorige review is veranderd in de strategie en de context van de organisatie. Nieuwe markten, een overname, een andere dienstverlening of nieuwe wetgeving bepalen welke risico's ertoe doen. Pas daarna bespreek je of het managementsysteem daar nog bij past.
2. Verzamel de invoer vooraf
ISO 27001 clausule 9.3 noemt de vaste invoer: de status van acties uit de vorige review, wijzigingen in interne en externe kwesties, de resultaten van monitoring, audits en doelstellingen, afwijkingen, feedback van belanghebbenden, de uitkomst van de risicobeoordeling en kansen voor verbetering. Verzamel dat vooraf en stuur het een week van tevoren rond. Dan gaat de vergadering over besluiten in plaats van over het voorlezen van cijfers.
3. Laat het bestuur restrisico's expliciet accepteren
ISO 27001 vraagt dat risico-eigenaren het risicobehandelplan goedkeuren en de restrisico's accepteren. Bij risico's die buiten de risicobereidheid van de organisatie vallen, hoort dat besluit bij het bestuur. Leg per risico vast: accepteren we het, investeren we of sturen we bij? Noteer wie het besluit nam, waarom en tot wanneer het geldt.
4. Leid SMART-doelstellingen af van de strategie
Doelstellingen moeten specifiek, meetbaar, acceptabel, realistisch en tijdgebonden zijn, en ze moeten herleidbaar zijn tot de strategie. Groeit de organisatie bijvoorbeeld in de zorgsector, dan is "NEN 7510-certificaat vóór eind Q3" een logische doelstelling. "We verbeteren de informatiebeveiliging" is dat niet.
5. Leg besluiten vast met eigenaar, deadline en strategische koppeling
Een verslag zonder besluiten is een momentopname. Leg elk besluit vast met een eigenaar, een deadline en het strategische doel dat het dient. Zo zie je bij de volgende review in één oogopslag wat is uitgevoerd, wat vastloopt en waarom het ertoe deed.
6. Review vaker en korter
Eén lange jaarvergadering is te traag voor een dreigingsbeeld dat elke maand verandert. Bespreek elk kwartaal kort de belangrijkste risico's, incidenten en openstaande acties, en houd één keer per jaar een uitgebreide review waarin alle verplichte onderwerpen aan bod komen. Zo blijft het bestuur aantoonbaar betrokken, zonder dat het een papieren exercitie wordt.
Eén review voor alle normen
ISO 9001, ISO 27001 en ISO 14001 delen dezelfde hoofdstructuur, en NEN 7510:2024 bouwt voort op ISO 27001. De eisen aan leiderschap, doelstellingen en de managementreview zijn daardoor vrijwel gelijk. Combineer ze in één integrale review, met de Cbw-verplichtingen van het bestuur als vast onderdeel. Dat scheelt overleg en geeft het bestuur één samenhangend beeld in plaats van vier losse.
Hoe uComply helpt
In uComply beheer je de contextanalyse, het risicoregister en de managementreview één keer voor alle normen. Je documenteert de review inclusief constateringen, besluiten en toegewezen acties, en koppelt die aan de normeisen van ISO 27001, ISO 9001, NEN 7510 en de Cbw, zodat het bewijs klaarstaat wanneer de auditor of toezichthouder erom vraagt. Acties krijgen een eigenaar en een deadline, en met Reminders en geplande taken plan je de kwartaal- en jaarreviews als terugkerende reeks. Het dashboard geeft het bestuur tussendoor het actuele overzicht van risico's, bevindingen en de voortgang per norm.
Veelgestelde vragen
Is een managementreview verplicht onder de Cbw?
De Cbw noemt het woord niet, maar verplicht het bestuur wel om maatregelen goed te keuren en toezicht te houden. Een managementreview volgens ISO/IEC 27001:2022 clausule 9.3 is de gangbaarste manier om dat aantoonbaar vast te leggen.
Hoe sluit de managementreview aan op de strategie?
Je begint bij de strategische doelen, bepaalt welke risico's daarbij horen, toetst restrisico's aan de risicobereidheid en leidt meetbare doelstellingen af. Elk besluit verwijst naar het strategische doel dat het dient.
Hoe vaak moet je een managementreview houden?
ISO 27001 vraagt om reviews "met geplande tussenpozen", in de praktijk minimaal jaarlijks. Onder de Cbw is een korte kwartaalreview plus één uitgebreide jaarlijkse review een werkbare aanpak.
Tot slot
Een managementreview die begint bij de strategie en eindigt met vastgelegde besluiten, maakt van compliance een bestuursinstrument. Dan kan het bestuur niet alleen laten zien dát het toezicht houdt, maar ook waaróm het welke keuzes maakt.
Wil je zien hoe je de managementreview voor al je normen op één plek vastlegt en opvolgt? Plan een vrijblijvende demo.
